Hackéame una vez, qué vergüenza. Hackéame dos veces, qué vergüenza.
La popular empresa de marketing por correo electrónico, MailChimp, sufrió una violación de datos el año pasado después de que los atacantes cibernéticos explotaran una herramienta interna de la empresa para obtener acceso a las cuentas de los clientes. Los delincuentes pudieron ver alrededor de 300 cuentas y extraer datos de 102 clientes. También accedieron a las claves AIP de algunos clientes, lo que les habría permitido enviar campañas de correo electrónico haciéndose pasar por esos clientes.
Este ataque de violación de datos no fue particularmente notable, hasta que menos de seis meses después, volvió a suceder. Como antes, un intruso accedió a herramientas internas para comprometer datos en 133 cuentas de MailChimp. La brecha fue posible gracias a un ataque de ingeniería social a los empleados y contratistas para obtener acceso a las contraseñas de los empleados.
El ataque generó ataques de seguimiento. Uno de los clientes de MailChimp era el proveedor de servicios en la nube, DigitalOcean. Como resultado del ataque, esa empresa no pudo comunicarse con los clientes durante unos días y tuvo que solicitar que los clientes restablecieran sus contraseñas.
Después de la primera violación, MailChimp le dijo a TechCrunch que había agregado un «conjunto adicional de medidas de seguridad mejoradas» no especificado y reemplazó a su CISO.
La experiencia de ser atacado de manera similar a un ataque anterior no es rara. De hecho, es muy común.
MailChimp es solo un ejemplo de muchos
Los ataques repetidos son en realidad la norma, no la excepción. Alrededor de dos tercios (67%) de las empresas atacadas son atacadas nuevamente dentro de un año, según un estudio global realizado por la empresa de gestión de la postura de seguridad, Cymulate. Y el 10% de las empresas experimentó 10 o más incidentes en un solo año.
Específicamente para los ataques de ransomware, la cantidad de empresas que sufren ataques repetidos de ransomware aumentó al 80%, según una encuesta internacional de Cybereason.
Lo que plantea la pregunta: ¿Por qué los ataques repetidos son tan increíblemente comunes?
¿Qué falla en la recuperación de ataques que invita a nuevos ataques?
Aquí hay un hecho subestimado sobre lo que sucede después de un ataque cibernético: los actores malintencionados aprenden lo que es posible.
En el ejemplo de MailChimp, los atacantes cibernéticos descubrieron que 1) las herramientas internas eran vulnerables y 2) podían usarse para robar datos de clientes.
Una vez que ese conocimiento estuvo disponible, les dio a los delincuentes cibernéticos un incentivo y un objetivo. En otras palabras, podemos suponer que el próximo ataque más probable apuntará a las mismas vulnerabilidades que el último ataque. En el momento en que se publica un incidente cibernético, el reloj comienza a correr en un ataque de imitación.
Lo peor que una empresa puede hacer es nada.
Lo mejor es enfocarse como un rayo láser en las vulnerabilidades específicas que conducen al ataque en primer lugar para que los atacantes imitadores no puedan explotar los mismos problemas.
¿Qué deben hacer las empresas para evitar ataques repetidos?
Si bien, por supuesto, todas las empresas deben hacer todo lo posible para evitar los ataques cibernéticos, es especialmente importante priorizar la protección contra el tipo de ataque que ya ocurrió.
La respuesta correcta a un ataque cibernético importante es iniciar un restablecimiento completo del enfoque y la postura de seguridad cibernética de la organización. El truco de SolarWinds es un gran ejemplo.
En diciembre de 2020, nos enteramos de un ciberataque sofisticado a la cadena de suministro lanzado por un estado-nación utilizando el sistema de gestión de red SolarWinds Orion. A través de este software, los atacantes cibernéticos respaldados por Rusia (APT29, también conocido como Cozy Bear) violaron los sistemas dentro de varias agencias gubernamentales y empresas privadas de EE. UU. y Europa, incluida la multinacional farmacéutica y biotecnológica AstraZeneca. El ataque fue descubierto por la empresa de seguridad FireEye cuando ella misma se vio comprometida por el ataque.
Los cambios en la política industrial y nacional después de la catástrofe de SolarWinds son bien conocidos. Pero menos apreciados son los pasos que tomó SolarWinds después del ataque. Manejaron bien las secuelas.
SolarWinds agregó un comité de seguridad cibernética a su junta directiva, agregó al exjefe de CISA, Chris Krebs, y al exjefe de seguridad de Facebook y Yahoo, Alex Stamos, como consultores de la junta, e instituyeron cambios importantes en la forma en que construyen software para respaldar una seguridad cibernética sólida.
Por supuesto, es poco probable que la mayoría de las empresas incorporen a dos de los nombres más destacados en ciberseguridad. Pero el ejemplo de SolarWinds captura el espíritu de cambio necesario, impulsando las mejores prácticas de seguridad en todo, desde cómo el liderazgo conduce al código de la empresa.
Reagruparse efectivamente después de un ataque
Después de un gran ataque, cada organización debe hacer un examen de conciencia. Es importante evaluar cómo el liderazgo no logró liderar, cómo la empresa no invirtió, cómo las políticas fueron inadecuadas y cómo la cultura de la empresa en torno a la ciberseguridad fue insuficiente para prevenir ataques maliciosos a través de la ingeniería social u otros métodos. El resultado de esta autopsia debe ser:
- Cambios en el organigrama: Adiciones al personal de especialistas en seguridad de alto nivel como un CISO, un cambio en quién informa a quién o la inyección de una sólida experiencia en seguridad cibernética a la junta directiva.
- Una revisión total de la formación en ciberseguridad para los empleados
- Fuertes mejoras en cómo y cuándo ocurren los parches y las actualizaciones
- La revisión de la postura de seguridad para adoptar Zero Trust.
En resumen, las vulnerabilidades particulares que abrieron la puerta a un ataque cibernético deben priorizarse agresivamente para su remediación. Porque los malos ven los detalles publicados de un ciberataque como un manual de instrucciones para lanzar otro.
Si tiene problemas de seguridad cibernética o un incidente, comuníquese con X-Force para obtener ayuda: línea directa de EE. UU. 1-888-241-9812 | Línea directa mundial (+001) 312-212-8034.
