Diego Macor, IBM Security Manager Chile: “La escasez de habilidades en seguridad es un tema recurrente en la región”

El ejecutivo habla de las perspectivas en materia de ciberseguridad para el 2023, el riesgo del ransomware, los errores más comunes que se cometen y los altos costos del ciberdelito que, en el presente año, podrían superar los 8 billones de dólares.

Los ciberataques no se detendrán este 2023 y la ciberseguridad será nuevamente un aspecto recurrente para cautelar por instituciones públicas y privadas, que busquen la continuidad de sus negocios.

Según un informe reciente de Cybersecurity Ventures, este año se prevé que el costo anual mundial del ciberdelito supere los 8 billones de dólares y que el ramsorware siga siendo la principal amenaza, debido también a la ciber evolución de los atacantes.

Para conversar sobre lo que se espera para el presente año y cómo protegerse frente a las amenazas informáticas, The Times en Español conversó con Diego Macor, IBM Security Manager Chile, quien adelanta algunos consejos.

-Comenzando el presente ejercicio y tomando la experiencia del año pasado, ¿cuál es el balance en materia de ciberseguridad y cómo se viene el panorama regional 2023?

El año 2022 confirmó que hoy vivimos en una nueva era de ciberseguridad, con amenazas que tienen consecuencias en el mundo real y que pueden desencadenar graves trastornos en la sociedad y los mercados del mundo.

-¿Qué fue lo que cambió?

Desafortunadamente, los cibercriminales también evolucionaron junto con sus modelos de negocio. Se dieron cuenta que cuando lanzan un ataque, entre mayor y más rápido sea su impacto en la vida real, en el día a día de las personas y las empresas, mejora su capacidad de monetización. De hecho, IBM Security X-Force descubrió que, en los últimos 3 años, la duración de los ataques de ransomware descendió 94%, es decir, pasó de 2 meses a menos de 4 días. Y esto pone en aprietos a los especialistas de seguridad que tienen menos tiempo para actuar.

 

De cara hacia 2023, vemos tres tendencias:

 

• Aumento del ecosistema de “cibercrimen como servicio”. Con nuevas herramientas que reducen drásticamente la barrera de entrada para ciberdelincuentes menos experimentados o técnicos, más “hackers en alquiler” pueden surgir, en medio de la recesión global.

• Los generalistas de ciberseguridad protegerán la nube. La creación de equipos de profesionales con conocimientos generales de seguridad y su capacitación para asegurar la nube, será clave para hacer frente al aumento de las amenazas y la creciente brecha de habilidades en el área.

• Desplazamiento del ransomware a nuevos mercados. Los cibercriminales buscan industrias sobrecargadas que estén tambaleándose para atacarlas. Vimos eso con la manufactura en 2022. En 2023, esperamos ver picos de ataques de ransomware afectando a los menos preparados.

 

-¿Cuáles son las principales amenazas?

Casi tan rápido como la industria de seguridad lanza nuevas herramientas, los cibercriminales evolucionan sus técnicas para burlarlas, y este año no será diferente, creemos que en su mira estarán:

 

-Las tecnologías MFA (Autenticación multifactor) y EDR (Detección y respuesta de endpoints). Con cibercriminales obteniendo algún éxito al burlar MFA no resistente al phishing -y más empresas confiando en este método- esta tecnología pasará a ser un objetivo en 2023. Del mismo modo, los cibercriminales han estado mejorando las técnicas de evasión de EDR y esperamos ver un pico masivo en el número de herramientas de evasión de EDR para la venta en la dark web.

Sistemas ICS (Control Industrial) y SCADA (Supervisión, Control y Adquisición de datos). Estos sistemas son esenciales para las operaciones diarias de los fabricantes industriales y debido a su importancia, se han convertido en un objetivo de los cibercriminales en el tiempo. Con ingenieros sociales mejorando sus técnicas y tácticas para acceder a estos sistemas, anticipamos que en 2023 esto se acelerará, con más éxito aún.

Los múltiples problemas de implementación de Confianza Cero o Zero Trust. Es posible que, a medida que los equipos de seguridad aceleran sus planes de adopción de confianza cero, den pasos en falso. Hoy, estamos viendo arquitecturas de “menos confianza”, en lugar de arquitecturas “sin confianza”. Esta confusión puede abrir brechas de seguridad que los ciberdelincuentes pueden aprovechar en el nuevo año.

 

Las credenciales de acceso. Dado que la gran mayoría de la población continúa reutilizando credenciales o variaciones de credenciales entre entornos, sistemas o sitios, el próximo año prevemos ataques contra la autenticación de segundo factor como SMS y soluciones de autenticación multifactor basadas en notificaciones push. De igual manera, estimamos que aumentará el phishing y otros ataques diseñados para capturar tokens de autenticación.

 

-¿Cuáles son errores más frecuentes que cometen las empresas/empleados?

El último estudio de IBM Security X-Force, reveló que muchas empresas que adoptan la nube se están quedando atrás en las mejores prácticas básicas de seguridad, lo que presenta más riesgos.

 

A medida que el auge de los dispositivos IoT genera más y más conexiones a entornos en la nube, mayor es la superficie de ataque potencial introduciendo los desafíos críticos que muchas empresas están experimentando, como la gestión adecuada de vulnerabilidades. El 26 % de los compromisos de nube a los que X-Force respondió en el último año, fueron causados por atacantes que explotaban vulnerabilidades conocidas y con parches disponibles no instalados, convirtiéndose en el punto de entrada más común observado.

 

El estudio, también evidenció que las nuevas vulnerabilidades en la nube han aumentado 28%, es decir, 6 veces más. Con más de 3200 vulnerabilidades relacionadas con la nube en total, identificadas hasta la fecha, las empresas enfrentan una batalla cuesta arriba cuando se trata de mantenerse al día con la necesidad de actualizar y parchar un volumen cada vez mayor de software vulnerable.

 

Adicionalmente, el estudio mostró otra tendencia preocupante en los entornos de la nube: los controles de acceso deficientes. El 99% de los compromisos de pentesting que X-Force Red llevó a cabo con éxito, fue debido al exceso de privilegios y permisos de los usuarios. Las empresas están permitiendo a los usuarios un nivel de acceso innecesario a varias aplicaciones a través de sus redes, creando un trampolín para que los atacantes obtengan un punto de apoyo más profundo en el entorno de la nube de la víctima, sin darse cuenta de ello.

 

Por otra parte, a medida que las empresas adoptan más y más la nube, también aumentan las ventas de cuentas relacionadas con nube en la Dark Web. X-Force observó un aumento del 200% solo en el último año. Específicamente, X-Force identificó más de 100.000 anuncios de cuentas en la nube en los mercados de la Dark Web, y algunos tipos de cuentas son más populares que otros. Las credenciales comprometidas con accesos a la nube también estaban a la venta, lo que representaba el 19% de las cuentas de nube anunciadas en los mercados analizados por X-Force.

 

-¿Qué pueden hacer las empresas para protegerse?

 

• Siempre que sea posible, usar un enfoque de seguridad abierto e integrado: esto ayuda a conectar los puntos entre los datos de seguridad que residen en entornos de nube fragmentados. Los entornos abiertos de nube híbrida permiten que las empresas rápidamente identifiquen y respondan mejor a los incidentes de seguridad, mitigando daños y posibles costos de vulneración.

 

• Utilizar un enfoque de confianza cero: se reduce a reconocer que “estar protegido, no significa estar seguro”. La seguridad no se puede garantizar, por lo que asumir que la empresa ya está comprometida, le permite defenderse de manera más efectiva, al validar de forma iterativa las conexiones, aplicaciones, los usuarios y las redes.

 

• Implementar prácticas de control de accesos sólidas y hacerlas cumplir: a medida que aparecen más cuentas comprometidas, es importante que las organizaciones modernicen la gestión de acceso e identidad, mientras trabajan para hacer cumplir políticas más estrictas instando a los usuarios a actualizar regularmente sus contraseñas, así como a implementar MFA.

 

 

-¿Cuáles son los errores más comunes que se cometen en materia de ciberseguridad doméstica?

Todos debemos desempeñar un papel activo en el mantenimiento de nuestra propia seguridad. Sin embargo, el “boom digital” ha llevado a comportamientos de seguridad laxos entre los consumidores, con muchos dispuestos a sacrificar la seguridad y la privacidad por la conveniencia.

 

• La fatiga de las contraseñas se ha vuelto generalizada. 8 de cada 10 chilenos reutilizan sus credenciales de acceso en múltiples cuentas ocasionalmente. Esto significa que las nuevas cuentas creadas por las personas ya podrían estar comprometidas. Usar un administrador de contraseñas ayuda a generar contraseñas diferentes y más seguras, sin necesidad de memorizarlas.

 

• La ‘superficie de ataque’ de las personas va en aumento. Durante la pandemia, se estima que 80 mil millones de nuevas cuentas digitales fueron creadas en el mundo. En Chile, en promedio, son 15 nuevas cuentas por persona, pero el 51% no las gestiona. Eliminar las cuentas que no se usan, reduce la huella digital de una persona, cerrando el camino de los criminales hacia sus datos

 

• La confianza continúa siendo el talón de Aquiles. Es fundamental cuestionarlo todo, desde las redes wifi abiertas o gratuitas, los ‘mega’ cupones de descuentos hasta e-mails con ‘supuestos’ paquetes en camino o ‘facturas’ de compras realizadas. La confianza cero también aplica para nosotros. Desconfiar y verificar directamente con las fuentes, es un paso para estar más seguros.

 

 

-¿Cuánto cuesta un incidente de seguridad a una empresa?

 

En 2023, se prevé que el costo anual mundial del ciberdelito supere los 8 billones de dólares, según un informe reciente de Cybersecurity Ventures. También estiman para 2031, que el ransomware atacará a una empresa, consumidor o dispositivo cada 2 segundos a nivel global.

 

Si miramos más de cerca, de acuerdo al informe anual Cost of a Data Breach de IBM, las filtraciones de datos son más costosas y tienen mayor impacto que nunca. En Latinoamérica, el costo promedio de una filtración es de USD 2.09 millones de dólares, el más alto en la historia del informe. Asimismo, las víctimas del ransomware del informe que optaron por pagar el rescate sólo vieron una disminución de USD 630.000 dólares en el costo promedio de la filtración en comparación con aquellas que no lo hicieron, esto sin incluir el costo del rescate. Además, sin garantías de no sufrir una doble extorción.

 

Si se tiene en cuenta el elevado precio de los rescates (mayor a USD 800.000 dólares), el costo financiero puede ser aún mayor, lo que sugiere que la acción de pagar el rescate, por si sola, no es una estrategia eficaz; mientras que además podría estar financiando inadvertidamente futuros ataques con el capital que sería útil para esfuerzos de corrección y recuperación, e incluso se podría incurrir en posibles delitos.

 

-¿Cuál es la realidad chilena y qué se debe mejorar?

 

La escasez de habilidades en seguridad es un tema recurrente en la región. De hecho, IDC (2022) señala que el 44.8% de las organizaciones latinoamericanas tienen una sola persona dedicada de tiempo completo a la seguridad informática. Con el aumento de la resiliencia, sigilo e ingenio de los ciberatacantes, la escasez de talento genera un escenario difícil para las organizaciones. IDC también estima que el tamaño del mercado de ciberseguridad en Chile, en el 2022, fue de USD 282 millones de dólares, con miras a un crecimiento de 10,5% anual para el 2024.

 

Desde otra perspectiva, de acuerdo al índice de Ciberseguridad desarrollado por la Unión Internacional de Telecomunicaciones (UIT), Chile se encuentra en el puesto 74 a nivel mundial respecto a su nivel de ciberseguridad, situado por detrás de algunos pares latinoamericanos, como Uruguay, México, Brasil y República Dominicana. Ello evidencia que, a pesar de que se está avanzando en el camino hacia un reforzamiento y desarrollo de la ciberseguridad en las agendas chilenas, aún hay trabajo por hacer.

 

El mismo índice de UIT indica que las principales debilidades del país, incluyen los aspectos técnicos y la capacidad de implementar de forma eficiente iniciativas y herramientas de ciberseguridad. Con los posibles riesgos que acompañan a la transformación digital de los negocios y el gran peso que los consumidores colocan en la confianza, ahora más que nunca, las organizaciones deben dar una mayor prioridad a la ciberseguridad.

 

Tres cosas que pueden hacer las empresas para mejorar la ciberseguridad en Chile:

 

1. Pasar a la ofensiva con Zero Trust:

 

1. • Centrarse en la detección para ganar tiempo y detener los ataques: los ciclos de vida de los ataques se están volviendo muy cortos y es necesario aumentar la cantidad de tiempo que necesitan los atacantes para completar su objetivo.

 

1. • Búsqueda de amenazas: enfocarse en ir más allá de las tecnologías de detección tradicionales, aprovechar los datos de seguridad, buscar malware o atacantes ocultos y detectar patrones de actividad sospechosa para estar un paso adelante.

 

1. • Aprovechar la IA, la automatización, el Machine Learning y la orquestación: esta combinación, aumenta la visibilidad y productividad en todas las operaciones de seguridad. Son reconocidas por el 66% de los líderes de tecnología como capacidades que fortalecen su ciberresiliencia.

 

1. Estar realmente preparados:

 

1. • Manuales de respuesta a incidentes: como los equipos respondan (o no) hace la diferencia en la cantidad de tiempo y dinero que se pierde al identificar, responder y contener un ataque. Crear planes concretos, ponerlos a prueba regularmente, pensar más allá de lo técnico.

 

1. • Simulaciones de incidentes: Las pruebas de simulación deben ser una práctica estándar de respuesta a incidentes para garantizar la máxima preparación, ya que al experimentar los ataques antes de que sucedan, aprendemos cómo reaccionar mejor bajo presión.

 

1. • Simulaciones de adversarios: poner a prueba al equipo de seguridad contra las amenazas actuales que representan el mayor riesgo para la industria es fundamental. Contrate hackers para realizar pruebas de presión en su entorno en busca de fallas o debilidades.

 

1. Aprovechar el conocimiento colaborativo:

 

• • El conocimiento es poder: 79% de las empresas alrededor afirma que la capacitación en seguridad es una estrategia clave para fortalecer la ciberresiliencia. Es responsabilidad de las empresas impartir educación, y de los empleados, capacitarse y reportar anomalías.