Malas noticias: hay mucha gente que quiere sus contraseñas. Y las quiere por muchos motivos, pero por desgracia ninguno es bueno. Aquí veremos cuáles son los perfiles de los ciberdelincuentes que quieren sus contraseñas, por qué tratan de conseguirlas a toda costa, cómo acceden a ellas y qué puede hacer para minimizar las consecuencias en caso de que una contraseña acabe en las manos equivocadas.

Vamos a dividirlos en tres grandes grupos: estados nación, ciberdelincuentes e insiders maliciosos. Tras leer estas líneas se dará cuenta de que las motivaciones son diferentes, aunque el objetivo final es siempre el mismo: acceder a datos o sistemas confidenciales.
<h4><strong>Estados nación</strong></h4>
Es un término culto (utilizado también en ciencias políticas y relaciones internacionales) para hablar de los gobiernos. Los estados nación quieren contraseñas para acceder a sistemas, información o ambas cosas. Y quieren el acceso para robar datos, afianzar su presencia en dichos sistemas o hacer las dos cosas a la vez. En algunos casos esporádicos van un paso más allá y destruyen los datos o el sistema por completo. Este último escenario puede tener unas consecuencias gravísimas, sobre todo si los datos o el sistema tienen relación con infraestructuras críticas (como la red eléctrica, para poner un ejemplo).
<h4><strong>Ciberdelincuentes</strong></h4>
El nombre lo dice todo. Las motivaciones están claras: estamos ante delincuentes que buscan hacer dinero fácil. Y con las contraseñas pueden conseguirlo de dos maneras: vendiendo las contraseñas directamente (en la Dark Web se pagan unos 10 dólares por unas credenciales) o accediendo a cuentas o sistemas para generar dinero a través de diferentes vías, como ransomware, filtración de datos o extorsión. Y si se trata de una cuenta bancaria o similar, vaciándola sin más.
<h4><strong>Insiders maliciosos</strong></h4>
Aunque sería una aplicación más que correcta del término, no estamos hablando de compañeros que utilizan el microondas del comedor del trabajo para calentar brócoli o pescado. Son personas de nuestra misma empresa que quieren hacer daño aprovechando su acceso a las redes de la compañía. Quizás les interese tener su contraseña para llevar a cabo sus estrategias desde su cuenta, para cargarle la culpa y dificultar las investigaciones. O puede que necesiten su contraseña para acceder a otras partes de la red de la empresa, como información financiera delicada, y para acceder a sistemas de control industrial con la capacidad de provocar daños físicos.
<h3><strong>¿Cómo consiguen las contraseñas?</strong></h3>
Existen algunos puntos en común en las estrategias utilizadas por estos diferentes actores para conseguir su contraseña, ya sea utilizando “commodity malware” adquirido online o comprando credenciales a través de la Dark Web tras una filtración anterior. Sin embargo, también hay algunas diferencias en sus métodos. Vamos a ver cuáles.

Los estados nación son los que tienen más formación y recursos (es decir, personas y dinero), lo que se traduce en más posibilidades de éxito. A menudo desarrollan su propio malware, a partir de vulnerabilidades de software nuevas o no publicadas todavía, para tratar de acceder a dispositivos o redes y filtrar contraseñas. Otra estrategia es preparar minuciosamente un correo de spearphishing dirigido a una persona concreta para que revele su contraseña sin darse cuenta. En ocasiones su objetivo son directamente operadores de servicios, como un proveedor de servicios en la nube, porque les permiten acceder a numerosas cuentas y credenciales al mismo tiempo.

Los ciberdelincuentes tienen un modus operandi bastante más expeditivo. Algunos grupos se dedican básicamente a obtener contraseñas a través de infostealers o correos de phishing y luego venden estas credenciales en la Dark Web (tiene más información sobre los infostealers en esta <a href="https://blog.lastpass.com/2023/07/infostealers-the-widespread-threat-from-information-stealing-malware/">entrada del blog</a>). Otros, en cambio, recurren al malware creado por otros grupos. Se trata de kits de phishing o infostealers que se venden como servicio, igual que los paquetes de software de oficina. Estos productos de malware-as-a-service (MaaS) están diseñados para que cualquiera con unos conocimientos técnicos mínimos pueda configurar y lanzar campañas de phishing o malware. Tienen interfaces intuitivas que facilitan todo el proceso de configuración de los ataques.

Los insiders maliciosos están un paso por delante de los demás, porque suelen tener acceso a sus oficinas y redes. Buscan contraseñas apuntadas en una mesa o entran en las carpetas compartidas de la red para mirar si alguien ha guardado contraseñas en un sitio de SharePoint o en cualquier otro espacio compartido. A veces se cuelan también en repositorios de códigos para acceder a contraseñas protegidas, siempre con el objetivo de acceder sin autorización y provocar algún tipo de daño a la empresa o los compañeros.
<h3><strong>¿Qué puede hacer para minimizar el impacto?</strong></h3>
La respuesta no es muy original: usar un gestor de contraseñas. Solo es necesario recordar una contraseña maestra, tiene todas las facilidades para crear y guardar contraseñas complejas y únicas para cada cuenta y, si una contraseña se filtra a raíz de un ataque, es sencillo generar otra. Además, LastPass permite a todos los clientes supervisar sus credenciales sin ningún coste extra. Si utiliza la supervisión de Dark Web, nuestro servicio contrasta constantemente su información con una base de datos de credenciales expuestas y le alerta de inmediato para que pueda actuar enseguida. El hecho de tener contraseñas únicas en cada cuenta minimiza también el riesgo en caso de exposición de sus credenciales y limita la capacidad de acción de los ciberdelincuentes si caen en sus redes. Hoy, la pregunta no es si un hacker atacará, sino cuándo lo hará. Lo mejor es estar preparado cuando ocurra y, con eso, nosotros podemos ayudarle.

¿Quién quiere sus contraseñas y por qué?

Malas noticias: hay mucha gente que quiere sus contraseñas. Y las quiere por muchos motivos, pero por desgracia ninguno es bueno. Aquí veremos cuáles son los perfiles de los ciberdelincuentes que quie[..]

Acceder a Internet por un motivo u otro es una necesidad para la mayoría de la gente, igual que conducir un vehículo. Pero tanto en un caso como en el otro, hay riesgos. De hecho, según la Agencia de Seguridad de Infraestructuras y Ciberseguridad de Estados Unidos, <a href="https://www.cisa.gov/be-cyber-smart/facts">uno de cada tres hogares</a> con ordenadores está infectado por software malicioso. Y el 65% de los estadounidenses que navegan por la red reciben al menos una oferta fraudulenta. Igual que aprendemos a conducir para evitar peligros, podemos aprender a identificar y evitar ciberataques para proteger nuestra información de los envites de los ciberdelincuentes.

Aunque la mayoría de las ciberamenazas pueden desactivarse automáticamente usando servicios antivirus, firewalls u otras medidas de protección, las más peligrosas aprovechan el componente humano para sortear estas defensas. En algunos casos, los delincuentes interactúan directamente con la víctima (estos supuestos entrarían dentro de la categoría de ingeniería social) y en otros tienden una trampa con la esperanza de que un usuario poco precavido muerda el anzuelo (por ejemplo, aplicaciones falsas comercializadas en tiendas de aplicaciones no reguladas). En este artículo veremos estos dos tipos de amenazas y descubriremos cómo evitarlas. Y nos fijaremos también en la reutilización de contraseñas, el peligro que representa y cómo evitar cometer este tipo de errores.
<h3><strong>Ingeniería social </strong></h3>
Ingeniería social es un término que se utiliza para describir un amplio abanico de actividades fraudulentas con un patrón similar, concretamente, la interacción directa con la víctima (a través de correo, SMS, llamadas telefónicas u otros métodos) para que facilite información confidencial o acceda a un sitio web diseñado para infectar su ordenador con malware. Aunque todos estos ataques tienen un componente humano, los métodos y las señales de alerta van cambiando. A continuación vamos a repasar los principales tipos de ataques de ingeniería social.

<strong>Phishing</strong>

Se trata del ciberataque más habitual y las cifras lo corroboran: cada día se envían unos <a href="https://www.splunk.com/en_us/blog/learn/phishing-scams-attacks.html#:~:text=3.4%20billion%20phishing%20emails%20are,compromised%20due%20to%20phishing%20attacks">3.400 millones de correos de phishing</a>. A simple vista, estos correos parecen tener un origen legítimo y recurren a diferentes temas o enfoques, conocidos como “cebos”, para captar la atención del destinatario y conseguir que interactúe. A veces estos cebos tienen relación con las vacaciones o desastres naturales. Otras son correos de una empresa que informa de la filtración de la cuenta del receptor o incluye una “factura” falsa de una compra reciente con un importe considerable con un tiempo limitado para responder en caso de cobro incorrecto. Estos correos ponen presión psicológica en el destinatario para que responda, ya sea por su propio interés o para evitar ser víctima de otro fraude.

<strong>Cómo protegerse de los ataques de phishing</strong>

Tradicionalmente uno de los signos de alerta más reveladores eran las faltas de ortografía y gramática. Sin embargo, con la generalización del ChatGPT y otros grandes modelos de lenguaje, ahora los ciberdelincuentes lo tienen más fácil para crear correos con una gramática impecable y un contenido convincente, que son mucho más difíciles de detectar. El mejor consejo es extremar las precauciones al recibir consejos de remitentes desconocidos y seguir estas recomendaciones:
<ul>
 	<li>Lea con atención toda la información del remitente en correos que le pidan que haga clic en un enlace o que llame a un centro de atención al cliente. Por ejemplo, podemos encontrarnos con un correo de una empresa conocida, pero al revisar la dirección del remitente darnos cuenta de que el dominio no es el esperado, como en el ejemplo siguiente:</li>
 	<li>No haga clic en enlaces incluidos en correos enviados por remitentes que no conozca.</li>
 	<li>En caso de duda, póngase en contacto directamente con la empresa que teóricamente le ha enviado el correo para asegurarse de que es legítimo, pero utilice la información de contacto que aparece en el sitio web principal de la empresa.</li>
 	<li>Deje que su gestor de contraseñas le eche una mano. Si tiene activada la función de autocompletado de las cuentas conocidas, pero la información no se rellena automáticamente en el sitio web que ha visitado, quizás esté ante un caso de phishing.</li>
</ul>
<strong>Vishing</strong>

Vishing es la abreviatura de “voice phishing”, es decir, el equivalente a phishing por voz. En general, el modus operandi es llamar a la víctima haciéndose pasar por una empresa conocida, una fuerza policial o una agencia tributaria para que esa persona facilite información confidencial, como el número de una tarjeta de crédito o de la seguridad social, contraseñas o datos sobre sus finanzas.

<strong>Cómo protegerse de los ataques de vishing</strong>
<ul>
 	<li>Permita a las personas que llaman desde números no conocidos dejar un mensaje en su buzón de voz.</li>
 	<li>Póngase en contacto directamente con la empresa o la agencia que supuestamente le llama para asegurarse de que todo es correcto. Llame al número que aparece en el sitio web principal de dicha empresa o agencia en lugar de llamar al número indicado por el posible “visher”.</li>
</ul>
<strong>Smishing</strong>

El smishing es muy parecido al vishing y al phishing, pero en este caso los atacantes utilizan mensajes SMS para contactar con sus víctimas. Algunos mensajes incluyen enlaces a sitios fraudulentos, mientras que otros son enviados teóricamente por fuerzas del orden, empresas de transporte o compañías conocidas. Su objetivo es informarle de que su cuenta ha sido hackeada y pedirle que se conecte (a un sitio falso) para obtener sus credenciales.

Otra táctica bastante habitual consiste en enviar un mensaje a una persona haciéndose pasar por uno de sus jefes, que le pide que compre una tarjeta regalo en su nombre. En general, el jefe asegura estar reunido y necesitar ayuda de inmediato porque no puede encargarse personalmente de la compra. Esta estrategia transmite al destinatario una sensación de urgencia con la esperanza de que actúe rápido y no caiga en la cuenta de la estafa.

<strong>Cómo evitar los ataques de smishing</strong>
<ul>
 	<li>No responda ni haga clic en enlaces de mensajes de texto que haya recibido sin más.</li>
 	<li>Póngase en contacto directamente con la persona que lo ha enviado antes de hacer nada.</li>
 	<li>Elimine y, si es posible, denuncie la recepción de mensajes de smishing a su operador de telefonía y a la empresa que teóricamente está detrás del mensaje.</li>
</ul>
<h3><strong>Aplicaciones maliciosas </strong></h3>
Algunos delincuentes desarrollan aplicaciones que se parecen muchísimo a las apps de empresas conocidas con el objetivo de robar información o infectar el dispositivo móvil o el ordenador de un usuario con malware. Estas aplicaciones tienen un diseño idéntico a la oficial y pueden ser difíciles de identificar. Sin embargo, son varias las cosas que puede hacer para no caer en las redes de estos clones:
<ul>
 	<li>Utilice solo tiendas oficiales de aplicaciones como la App Store de Apple o Google Play.</li>
 	<li>Compruebe quién es el desarrollador de la aplicación. Por ejemplo, en el caso de <strong>LastPass</strong> aparece <strong>LogMeIn, Inc.</strong> como desarrollador en la App Store de Apple y <strong>GoTo Technologies</strong> en Google Play. Si aparece otro desarrollador o empresa, estaríamos ante una aplicación maliciosa.</li>
 	<li>Fíjese en si hay errores ortográficos o gramaticales en la descripción de la aplicación.</li>
</ul>
<h3><strong>Reutilización de contraseñas </strong></h3>
Según el <a href="https://www.lastpass.com/resources/ebook/psychology-of-passwords-2022">informe Psicología de las contraseñas 2022</a> de LastPass, casi el 62% de los usuarios utilizan variantes de una misma contraseñas. Y aquellos que han recibido formación sobre los peligros de reutilizar contraseñas solo abandonan esta práctica en un 31% de los casos y únicamente un 25% empieza a usar un gestor de contraseñas. La situación se complica cuando estas contraseñas se filtran, porque los ciberdelincuentes utilizan las credenciales robadas en sus ataques. Según el Informe de investigación sobre las filtraciones de datos de 2023 elaborado por Verizon, el <a href="https://www.verizon.com/business/resources/reports/dbir/">86% de los ataques a aplicaciones web básicas</a> que consiguen su objetivo tienen su origen en el uso de credenciales robadas.

Lo mejor para evitar estas situaciones es crear contraseñas únicas y complejas para cada una de sus cuentas. Para ayudarle, nada como un gestor de contraseñas. Y en un momento en que la autenticación sin contraseña empieza a estar sobre la mesa, vale la pena elegir un gestor que le permita dar el paso a esta nueva tecnología cuando esté preparado.

Aunque las ciberamenazas están por todas partes, conocer los tipos de ataques más frecuentes y seguir estas recomendaciones prácticas puede ayudarle a evitar filtraciones de datos y otras desagradables consecuencias, tanto en su vida personal como en el trabajo o en su familia.

Reconocer y evitar los ciberataques más habituales

Acceder a Internet por un motivo u otro es una necesidad para la mayoría de la gente, igual que conducir un vehículo. Pero tanto en un caso como en el otro, hay riesgos. De hecho, según la Agencia de [..]

<strong><em>LastPass Labs es el centro de contenidos del equipo de inteligencia, mitigación y escalada de amenazas (TIME) en LastPass. Centramos nuestros esfuerzos en el análisis en profundidad de los desarrollos en seguridad más recientes, y estamos pendientes de la tecnología a futuro y las perspectivas de amenazas únicas. </em></strong>

La ciberseguridad es una necesidad en todas las empresas, desde las grandes multinacionales hasta las start-ups formadas por una sola persona. Aunque algunas compañías tienen la suerte de poder destinar partidas importantes a este frente, otras se ven obligadas a priorizar los esfuerzos con unos recursos limitados en busca de los mejores resultados posibles.  Además de imponer unos estrictos controles sobre el correo (para detectar y bloquear mensajes maliciosos) y ofrecer formación a los empleados para reducir el riesgo de sufrir ataques de ingeniería social, la gestión de las vulnerabilidades es un pilar clave de cualquier programa básico de ciberseguridad y ofrece una rentabilidad inmediata. La explotación de las vulnerabilidades se sitúa en lo alto en la lista de causas de ciberincidentes. En el <a href="https://www.mandiant.com/resources/blog/m-trends-2023">informe M-Trends de 2023</a>, Mandiant reveló que en el 36% de sus investigaciones sobre intrusiones aparecía la explotación de una vulnerabilidad.

Conocer su infraestructura tecnológica y los dispositivos que forman parte de su red a través de la gestión de activos es fundamental según varios esquemas de ciberseguridad, como el del National Institute of Standards and Technology (NIST). Cuando una empresa (sea del tamaño que sea) tiene controlado su inventario tecnológico resulta más fácil identificar el impacto de nuevas vulnerabilidades y tomar las medidas adecuadas para corregirlas. Es imposible proteger algo si no sabemos que lo tenemos. La importancia de identificar la presencia de vulnerabilidades en su entorno y corregirlas lo antes posible está más que justificada.  Según el <a href="https://www.rapid7.com/blog/post/2023/02/28/a-shifting-attack-landscape-rapid7s-2022-vulnerability-intelligence-report/">informe 2022 Vulnerability Intelligence</a> de Rapid7, más de la mitad de las vulnerabilidades estudiadas se explotaron en los siete días posteriores a su divulgación, lo que representa un aumento del 12% con respecto a 2021 y del 87% en relación con 2020.

Aunque en general se asocian las vulnerabilidades a los grandes proveedores de software, el uso de software de código abierto complica todavía más el panorama. Según un <a href="https://openuk.uk/wp-content/uploads/2021/10/openuk-state-of-open_final-version.pdf">estudio elaborado por OpenUK</a>, el 90% de las empresas utiliza software de código abierto, lo que aumenta los posibles riesgos de seguridad en la cadena de suministro más allá de los problemas estándar con los sistemas operativos y/o el software de propiedad. Además, <a href="https://www.gartner.com/en/articles/7-top-trends-in-cybersecurity-for-2022">Gartner</a> asegura que el 45% de las organizaciones van a sufrir un ataque en su cadena de suministro de software antes de que termine 2025. Por su propia naturaleza, el software de código abierto crea dependencias que pueden resultar difíciles de identificar si no se examinan específicamente. Por ejemplo, un año después de su divulgación inicial y pese a contarse entre las vulnerabilidades más explotadas de 2022, la vulnerabilidad Apache Log4j (CVE-2021-44228) seguía apareciendo en el 5% de las bases de código auditadas por Synopsys según su <a href="https://www.synopsys.com/software-integrity/resources/analyst-reports/open-source-security-risk-analysis.html?intcmp=sig-blog-ossra22">informe Open-Source Security and Risk Analysis de 2023</a>.

Por último, el incremento del teletrabajo y de los programas de uso de dispositivos personales ha aumentado la superficie de exposición a ataques más allá de los límites tradicionales de la infraestructura de la mayoría de empresas, por lo que las compañías se han visto obligadas a actuar sobre posibles vulnerabilidades que están fuera de su control directo.  Para reforzar todos estos frentes, es imprescindible contar con políticas sólidas de corrección de errores, así como programas de formación de los empleados y comunicación.
<h3><strong>¿Qué medidas se pueden tomar? </strong></h3>
<ul>
 	<li>Establecer unas políticas y procedimientos de gestión de vulnerabilidades y parches acordes con las prioridades de la empresa y las prácticas recomendadas en el sector. Cuando contamos con políticas claras que nos dicen cómo responder frente a nuevas vulnerabilidades, la situación se resuelve de forma más rápida y sencilla.</li>
 	<li>Cuando sea posible, invertir en herramientas que faciliten la detección automática de activos y vulnerabilidades y/o errores con una posible influencia.</li>
 	<li>Elaborar un inventario exhaustivo con el software privado de su entorno, pero tener también muy en cuenta las dependencias del código abierto que puedan existir en sus aplicaciones. Las listas de material de software son útiles para identificar qué componentes de código abierto pueden ser críticos para sus operaciones y abrir la puerta a una respuesta más rápida en caso de que aparezca una nueva vulnerabilidad.</li>
 	<li>Siempre que sea posible, la activación de las actualizaciones automáticas permite responder a las vulnerabilidades con la máxima celeridad. Si es necesario hacer pruebas para tener la seguridad de que la actualización no afectará a la actividad de la empresa, es importante realizarlas lo antes posible.</li>
 	<li>La cantidad de vulnerabilidades identificadas cada año es escalofriante: <a href="https://www.cve.org/About/Metrics">en 2022 se publicaron</a> más de 25.000. Ante tal magnitud, hay que priorizar la corrección de las vulnerabilidades en función de su gravedad y la explotación activa por parte de los actores maliciosos. Para facilitar este proceso, la CISA, la Agencia de Seguridad de Infraestructuras y Ciberseguridad de Estados Unidos, dispone de un catálogo con las vulnerabilidades explotadas conocidas que actualiza periódicamente (el catálogo se puede consultar aquí). La lista es pública y gratuita. Se trata de un recurso fundamental para saber qué parches priorizar teniendo en cuenta el nivel de amenaza que representan realmente.  El Forum of Incident Response and Security Teams (FIRST) ha creado también un <a href="https://www.first.org/epss/">sistema de puntuación para la predicción de explotaciones</a> (EPSS), que puede ayudar a tomar decisiones en función de la probabilidad de explotación de las vulnerabilidades.</li>
 	<li>La creación de una metodología de priorización personalizada puede resultar también de gran ayuda para responder con rapidez y acierto cuando aparecen nuevas vulnerabilidades. Este modelo depende de una serie de elementos externos, como la puntuación CVSS de la vulnerabilidad y las pruebas de explotación activa, y también de elementos internos como si los activos afectados son críticos y se utilizan en la interacción de cara al público.</li>
 	<li>Definir unas políticas claras sobre la actualización de los dispositivos personales utilizados en el trabajo y comunicar estas expectativas a los empleados. Explicarles las nuevas vulnerabilidades que pueden afectar a estos dispositivos (como teléfonos móviles y ordenadores) para que tomen las medidas adecuadas lo antes posible.</li>
</ul>
Aunque la creación de un programa de gestión de vulnerabilidades puede parecer un proyecto titánico, estas medidas pueden ayudarle a poner en marcha un plan que le permita priorizar sus esfuerzos en función de las amenazas, aunque sus recursos sean limitados.  Este enfoque basado en los riesgos puede permitir a las empresas maximizar la rentabilidad de su inversión aplicando la regla de 80-20: el 80% de los beneficios de un programa de gestión de vulnerabilidades se obtiene con el primer 20% del esfuerzo.

<em>El equipo de inteligencia, mitigación y escalada de amenazas (TIME) de LastPass está enfocado en proteger a nuestra comunidad supervisando, analizando y mitigando las amenazas dirigidas a nuestros clientes, nuestra empresa y nuestra industria. El equipo cuenta con un total de casi 50 años de experiencia en inteligencia y cibernética, y cree firmemente que el intercambio de información y el desarrollo de relaciones son la clave de un programa de inteligencia de éxito. Nuestro objetivo en LastPass es proporcionar inteligencia oportuna y práctica a las partes interesadas que permita a nuestros equipos de seguridad proteger a nuestros clientes, sus datos y el conjunto de la empresa. Además de realizar análisis y notificar a nuestros equipos de seguridad sobre desarrollos en el entorno global de las ciberamenazas, también nos esforzamos en automatizar nuestros desarrollos en inteligencia en los procesos de nuestros socios y en minimizar el plazo entre la concienciación sobre las amenazas y la mitigación.</em>

Ciberseguridad: Por qué son tan importantes los parches para reforzar la protección

<strong><em>LastPass Labs es el centro de contenidos del equipo de inteligencia, mitigación y escalada de amenazas (TIME) en LastPass. Centramos nuestros esfuerzos en el análisis en profundidad de los[..]

Los millones de sitios y aplicaciones que conforman nuestro mundo digital son un campo abonado para los ciberdelincuentes, siempre al acecho esperando un paso en falso para actuar sin compasión. ¿Y sabe cuál es el objetivo más fácil para ellos? Las empresas y los particulares que usan aplicaciones de software y tecnologías desfasadas. En otra publicación del blog (<a href="https://blog.lastpass.com/2023/08/cybersecurity-as-a-quilt-why-patches-are-key-to-a-strong-defense/">aquí</a>) hablamos de la importancia de una buena gestión de las vulnerabilidades y de un control exhaustivo del inventario de activos. En este artículo publicado con motivo del Mes de la Concienciación en Ciberseguridad, vamos a centrarnos en otro aspecto clave: la imperiosa necesidad de analizar y modernizar nuestras soluciones tecnológicas.

Tanto si sus empleados se mueven bien con la tecnología como si no, el análisis y la modernización de sus soluciones es imprescindible para asegurarse de que todas sus aplicaciones y los dispositivos de su red están actualizados y de que tiene las herramientas adecuadas para proteger su empresa (el uso de recursos desfasados se traduce en un aumento objetivo de los ciberriesgos). A medida que el software y los dispositivos suman años, baja su seguridad. ¿Acaso seguimos usando pestillos cuando tenemos la opción de instalar cerraduras magnéticas o soluciones de acceso biométricas? Sus clientes y su negocio son las joyas de la corona... Se merecen tener la tecnología siempre al día para disfrutar de la máxima protección.

Para simplificar la aproximación a este desafío, vamos a dividirlo en tres grandes objetivos: 1) reducir los riesgos de ciberseguridad, 2) eliminar la deuda técnica y 3) unificar y catalogar su infraestructura tecnológica. Vamos a analizarlos uno a uno.

<strong><u>Reducir los riesgos de ciberseguridad</u></strong>

La principal motivación para actualizar sus soluciones tecnológicas es reducir los riesgos de ciberseguridad.  Entre las opciones para protegerse de los ciberdelincuentes, encontramos el uso de versiones actualizadas del software y herramientas de última generación, la mejora de su resiliencia apostando por una infraestructura híbrida o en la nube y la evaluación de las brechas en sus controles actuales teniendo en cuenta las últimas ciberamenazas para solucionarlas. Si es capaz de detectar rápidamente sus vulnerabilidades y también las estrategias, técnicas y procedimientos que podrían derribar sus mecanismos de defensa actuales, podrá actuar con mayor rapidez para proteger a sus clientes, su información y su empresa cuando aparezca una nueva amenaza.

<strong><u>Eliminar la deuda técnica</u></strong>

La deuda técnica es inevitable.  Los años no pasan en balde para el hardware y el software, a veces hacen falta soluciones rápidas y el código evoluciona queramos o no. Si no le prestamos la atención que merece, la deuda técnica puede crear ineficiencias e introducir riesgos. Un <a href="https://www.outsystems.com/1/growing-threat-technical-debt/">estudio de 2021 realizado por Outsystems</a> detectó que las empresas dedican el 28% de su presupuesto de TI a corregir la deuda técnica. La cifra se situaba en un 40% en el caso de las empresas grandes.  Un planteamiento bien calculado a la hora de modernizar sus soluciones tecnológicas ofrece a las empresas la posibilidad de poner a cero, por así decirlo, esta deuda técnica. Aunque la actualización del código o la familiarización con nuevas herramientas o sistemas implican un coste, también aportan mejoras a largo plazo en terrenos como la eficiencia y la seguridad.  Un <a href="https://stripe.com/files/reports/the-developer-coefficient.pdf">estudio publicado en 2018 por Stripe</a> reveló que los ingenieros dedican de promedio el 33% de su tiempo a solventar la deuda técnica.  Renovando sus recursos tecnológicos podrá recuperar parte de este tiempo y su equipo podrá centrarse en introducir mejoras en los procesos y en la seguridad.

<strong><u>Unificación y catalogación de su infraestructura tecnológica</u></strong>

Tal y como hemos mencionado, ya habíamos hablando antes de la importancia de gestionar los activos tecnológicos. La TI paralela abre la puerta a diferentes amenazas. A fin de cuentas, no puede proteger lo que no sabe que tiene y no puede actualizar tecnologías que no es consciente de tener en su infraestructura. Realizar un inventario de su tecnología aprovechando este proceso de modernización le ofrece la oportunidad de crear y/o actualizar un único directorio de referencia para sus recursos tecnológicos. Este paso agilizará sus respuestas en caso de incidentes y le permitirá corregir vulnerabilidades de día cero que alguien está aprovechando actualmente. Un repositorio documentado y de confianza, que refleje la situación operativa de su empresa, puede ayudarle a responder de forma ágil, eficaz y decidida en una situación de crisis.  Además, si actualiza su ecosistema tecnológico podrá aprovechar para volver a analizar su software y sus herramientas y asegurarse de que funcionan perfectamente coordinados, para mejorar la seguridad y la eficiencia.

El <a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_jul2023.pdf">informe Threat Horizons de agosto de 2023 publicado por Google Cloud</a> reveló que más de la mitad de los incidentes gestionados por sus equipos de asistencia tuvieron algún tipo de relación con la exposición de credenciales y recomendó unas protecciones más estrictos en la gestión de las identidades. La revisión y actualización de sus recursos tecnológicos brinda a las empresas la oportunidad de introducir las últimas tecnologías de gestión de accesos y de redefinir y reforzar sus requisitos de acceso.  En respuesta a la actual crisis vinculada a las credenciales, es fundamental poner en manos de los usuarios herramientas de seguridad modernas, como gestores de contraseñas, para crear, gestionar, almacenar y compartir de forma segura datos confidenciales. Y también tecnologías de última generación, como las soluciones sin contraseñas, para ayudar a los empleados a adoptar unos buenos hábitos en materia de contraseñas.

Es hora de modernizar sus soluciones tecnológicas

Los millones de sitios y aplicaciones que conforman nuestro mundo digital son un campo abonado para los ciberdelincuentes, siempre al acecho esperando un paso en falso para actuar sin compasión. ¿Y sa[..]

Aunque el ransomware sigue dominando los titulares, de hecho una forma insidiosa de malware conocida como "infostealers" (forma abreviada de "malware de robo de información") es mucho más habitual y afecta a todo tipo de ámbitos, desde grandes corporaciones hasta ordenadores personales. El objetivo de los "infostealers" es obtener información confidencial de los sistemas infectados, como contraseñas, monederos de criptomonedas, cookies de sesión, datos financieros y otros datos personales para su filtración rápida al atacante.

Muchos "infostealers" están a la venta en la categoría de "malware como servicio (MaaS)". Los delincuentes pueden comprar una suscripción (a menudo por unos cientos de dólares al mes) que les permite acceder al malware para su propio uso y objetivos; por su parte, el mantenimiento y el alojamiento del malware sigue en manos del desarrollador que lo vende.  Esto ayuda a reducir la barrera tecnológica de entrada a la que se enfrentan los ciberdelincuentes, lo que provoca la expansión rápida de los "infostealers" como una ciberamenaza más amplia.

<strong>¿Cómo se infectan las víctimas?</strong>

Las víctimas pueden infectarse a través de diversos métodos, como el phishing de correos electrónicos, la visita a sitios web infectados o las aplicaciones fraudulentas. Una vez que el ordenador o la red están infectados, el malware se ejecutará, buscando identificar y filtrar rápidamente información crítica (incluyendo, si es posible, las contraseñas maestras de Last Pass) de los navegadores y otras carpetas importantes. Los atacantes emplearán estos datos para acceder a cuentas confidenciales, o bien volverán a empaquetar la información para venderla en mercados, foros u otros sitios delictivos.

Actualmente el precio medio es de aproximadamente <a href="https://www.accenture.com/us-en/blogs/security/information-stealer-malware-on-dark-web">10 $ por registro</a>, y en cualquier momento hay millones de registros disponibles para su venta, lo que demuestra la naturaleza generalizada y habitual de la amenaza de los "infostealers". Estos registros incluyen credenciales y otros datos confidenciales de víctimas que abarcan desde multinacionales hasta pequeñas empresas o cuentas personales individuales robadas de un ordenador personal.

<strong>¿Cómo ha reaccionado LastPass?</strong>

Para empezar, y como parte de nuestros esfuerzos para mejorar nuestras capacidades de seguridad, LastPass ha invertido cantidades considerables en nuestro programa de inteligencia sobre ciberamenazas.  Esto incluye la creación de un equipo de inteligencia, mitigación y escalada de amenazas (TIME) dedicado, que permite ampliar en gran medida nuestro sistema de supervisión y alertas de inteligencia sobre amenazas aprovechando el código abierto y los informes propios, así como supervisar de manera proactiva fuentes de la Dark Web para detectar actividades maliciosas. También ponemos en práctica esta inteligencia automatizando su integración con nuestros equipos de detección, respuesta y gestión de vulnerabilidades, lo que permite acelerar el plazo de mitigación. Finalmente, hemos desarrollado un proceso dedicado y enfocado para supervisar y alertar sobre las credenciales de clientes expuestas para los clientes que participan en el control de Dark Web.

Como cabría esperar, la comunidad de "infostealers" valora en gran medida las contraseñas maestras, teniendo en cuenta su potencial para ofrecer acceso a la bóveda de un cliente y a sus datos y contraseñas confidenciales. Aunqaue existen docenas de "infostealers", actualmente LastPass rastrea tres variedades de malware que suelen publicitar la venta de credenciales de clientes de LastPass:
<ul>
 	<li><u>Redline</u>: este software de robo MaaS está disponible desde 2020 y es uno de los más extendidos.</li>
 	<li><u>Raccoon</u>: existe variedades de este software de robo desde 2019.</li>
 	<li><u>Vidar</u>: disponible al menos desde 2018, este software de robo también es capaz de hacer capturas de pantalla.</li>
</ul>
LastPass está adoptando medidas importantes para proteger las credenciales de nuestros clientes. Hace poco hemos ampliado nuestro control de Dark Web para incluir la supervisión de registros de "infostealers" y otras fuentes de posibles credenciales de clientes de LastPass. Aunque LastPass no puede ayudar a evitar la infección inicial, ya que con frecuencia se produce mediante phishing, al visitar un sitio web infectado o usar localmente una aplicación fraudulenta en el dispositivo de un usuario final, podemos ayudar a proteger a nuestros clientes notificándoles si detectamos que sus datos han sido robados.

<strong>¿Qué medidas puede adoptar para proteger su cuenta?</strong>

Recomendamos que todos los usuarios de LastPass participen en nuestro programa de control de Dark Web, que proporcionará un nivel adicional de cobertura. Recibirá una notificación nuestra si sus credenciales se detectan en la Dark Web. Además:
<ul>
 	<li>Utilice la autenticación multifactor (MFA) siempre que esté disponible para proteger sus cuentas. No acepte ni apruebe solicitudes de MFA que no haya generado usted explícitamente.</li>
 	<li>No confíe en las aplicaciones que se ofrecen a través de canales no tradicionales (por ejemplo, fuera de las tiendas de aplicaciones tradicionales).</li>
 	<li>Utilice un programa antivirus y actualícelo periódicamente o, mejor aún, prográmelo para que se actualice automáticamente.</li>
 	<li>No guarde su contraseña maestra en su dispositivo, ni siquiera en las opciones de autocompletado que ofrece el navegador.</li>
</ul>
LastPass seguirá mejorando nuestras capacidades de supervisión y generación de informes, y estamos desarrollando un proceso para entorpecer de manera proactiva esas variedades de malware centradas en las cuentas de Last Pass. Estamos comprometidos con mantener a nuestros clientes y a la comunidad de ciberseguridad general al tanto de estas tendencias, de las medidas que estamos adoptando para mantener seguros los datos de nuestros clientes, y del efecto de nuestros esfuerzos como parte de nuestro compromiso con la transparencia.

<em>LastPass Labs es el centro de contenidos del equipo de inteligencia, mitigación y escalada de amenazas (TIME) en LastPass. Centramos nuestros esfuerzos en el análisis en profundidad de los desarrollos en seguridad más recientes, y estamos pendientes de la tecnología a futuro y las perspectivas de amenazas únicas.</em>

<em>El equipo de inteligencia, mitigación y escalada de amenazas (TIME) de LastPass está enfocado en proteger a nuestra comunidad supervisando, analizando y mitigando las amenazas dirigidas a nuestros clientes, nuestra empresa y nuestra industria. El equipo cuenta con un total de casi 50 años de experiencia en inteligencia y cibernética, y cree firmemente que el intercambio de información y el desarrollo de relaciones son la clave de un programa de inteligencia de éxito. Nuestro objetivo en LastPass es proporcionar inteligencia oportuna y práctica a las partes interesadas que permita a nuestros equipos de seguridad proteger a nuestros clientes, sus datos y el conjunto de la empresa. Además de realizar análisis y notificar a nuestros equipos de seguridad sobre desarrollos en el entorno global de las ciberamenazas, también nos esforzamos en automatizar nuestros desarrollos en inteligencia en los procesos de nuestros socios y en minimizar el plazo entre la concienciación sobre las amenazas y la mitigación.</em>

"Infostealers": la amenaza generalizada del malware de robo de información

Aunque el ransomware sigue dominando los titulares, de hecho una forma insidiosa de malware conocida como "infostealers" (forma abreviada de "malware de robo de información") es mucho más habitual y a[..]

Blog

Blog

Últimas noticias

Noticias del sector

LastPass para administradores

LastPass Labs

Novedades sobre productos

Trucos y consejos

Seguridad básica

¿Quién quiere sus contraseñas y por qué?

Reconocer y evitar los ciberataques más habituales

Ciberseguridad: Por qué son tan importantes los parches para reforzar la protección

Es hora de modernizar sus soluciones tecnológicas

"Infostealers": la amenaza generalizada del malware de robo de información

Suscríbase al blog de seguridad de LastPass