8 Tipos Comunes de Violación de Datos: Ejemplos Reales e Impacto

8 Tipos Comunes de Violación de Datos: Ejemplos Reales e Impacto

Una violación de datos es un incidente de seguridad en el que información privada/confidencial es vista, copiada, transmitida o usada por un individuo no autorizado. Esto puede involucrar información de identificación personal, información de salud personal, información financiera, propiedad intelectual o secretos comerciales de empresas.

Las violaciones de datos son mucho más que un terror temporal: pueden dañar negocios y consumidores de diversas formas, y los gastos causados por ellas pueden dañar reputaciones y tomar tiempo en reparar.

Las violaciones que afectan a cientos de millones o incluso miles de millones de usuarios se han vuelto bastante comunes. En 2016, la empresa de servicios de Internet Yahoo! confirmó que todos sus 3 mil millones de usuarios fueron afectados en lo que se considera la mayor violación de datos de la historia. Detalles específicos de usuarios, incluyendo nombres, números móviles, dirección de email, fecha de nacimiento y contraseñas hasheadas, fueron filtrados.

En 2018, el servicio de mensajería de video basado en NYC Dubsmash y una app de fitness llamada MyFitnessPal estuvieron entre el masivo volcado de datos de 16 plataformas comprometidas que vieron más de 600 millones de cuentas de clientes filtradas y ofrecidas a la venta en el mercado oscuro en línea.

Cientos de eventos similares han ocurrido en la última década. Según el estudio realizado por el Instituto Ponemon, una violación de datos cuesta $3.86 millones en promedio a una empresa.

Dadas las apuestas crecientes y los costos aumentados de las violaciones de datos, empresas y gobiernos han empezado a dedicar muchos recursos para mantener seguros los datos de sus clientes.

La mayoría de violaciones de datos involucran documentos, archivos e información sensible vulnerables y no estructurados. En este artículo de visión general, hemos explicado los ocho tipos más comunes de violaciones de datos y cómo ocurren.

8. Denegación de Servicio Distribuida (DDoS)

Un ataque DDoS de 1.3 Tbps cerró GitHub por 20 minutos en 2018

Un intento malicioso de interrumpir los servicios del host

Los ataques DDoS buscan abrumar el sitio web y servicios en línea con más tráfico del que el servidor o red puede manejar. A veces se usan para distraer operaciones de ciberseguridad mientras otra actividad fraudulenta, como infiltración de red o robo de datos, está en marcha.

Estos ataques se llevan a cabo con un montón de dispositivos habilitados para internet que están infectados con malware. Los atacantes controlan estos dispositivos individuales (también llamados bots) remotamente.

Un clúster de bots se conoce como botnet, y una vez establecido, el atacante puede usarlo para atacar un servidor o red particular. Cada bot envía solicitudes a ciertas direcciones IP, dejando el sitio web o servicio inoperable.

El primer ataque DDoS ocurrió en 1996 cuando uno de los ISPs más antiguos llamado Panix fue derribado por varios días usando el flood SYN, un método que se ha convertido en un clásico ataque de Denegación de Servicio Distribuida. En la siguiente década, estos tipos de ataques se volvieron comunes.

Un ataque de 1 Gbps es suficiente para sacar a la mayoría de organizaciones de internet. Según Cisco, el número total de ataques DDoS alcanzará 15 millones para 2023, frente a 7.9 millones vistos en 2018.

Ejemplo: En febrero de 2020, Amazon Web Services fue golpeado por un ataque DDoS extremo, que atacó clientes desconocidos vía un método llamado Reflexión de Protocolo de Acceso a Directorio Ligero sin Conexión (CLDAP). El ataque alcanzó un pico de 2.3 Tbps y duró 3 días.

7. Ataque de Fuerza Bruta

Ataque de fuerza bruta en clave de 5 bits

Adivinando contraseña mediante método de prueba y error

Un ataque de fuerza bruta implica enviar credenciales con la esperanza de adivinar correctamente eventualmente. Los atacantes prueban todas las combinaciones posibles de contraseñas hasta que se detecta la correcta.

Este tipo de ataque representa casi el 5% de todas las violaciones de datos. Los atacantes no necesitan introducir contraseñas manualmente. En su lugar, crean un algoritmo o usan software disponible para ejecutar automáticamente diferentes combinaciones de nombres de usuario y contraseñas hasta encontrar la combinación correcta.

Las herramientas de hacking de fuerza bruta están diseñadas para generar toneladas de contraseñas por segundo. Combinadas con una CPU y GPU potentes, estas herramientas automatizadas podrían forzar una clave de cifrado fuerte en cuestión de días.

Dado que contraseñas más largas pueden tener más variables, son exponencialmente más difíciles de descifrar que las más cortas. Hoy, la mayoría de algoritmos simétricos usan claves de 128 o 256 bits, que no pueden descifrarse vía fuerza bruta.

Más específicamente, la supercomputadora más rápida (con velocidad de 100 petaFLOPS) requeriría 3.67×10⁵⁵ años para agotar la clave AES de 256 bits.

Ejemplo: En 2018, el sistema de contraseña maestra de Firefox podía ser fácilmente evadido usando fuerza bruta. Las contraseñas de millones de usuarios quedaron vulnerables a malware y hackers. Un año después, Firefox lanzó una actualización para corregir este fallo de seguridad.

6. Ransomware

CryptLocker pidiendo un rescate

Un malware que infecta dispositivos y amenaza a usuarios para pagar un rescate

El malware de rescate impide a los usuarios acceder a sus archivos personales y exige una tarifa para recuperar el acceso. Puede infectar tu computadora de varias formas. La más común es spam malicioso entregado vía email, que contiene enlaces o adjuntos engañosos.

El ransomware convencional bloquea el dispositivo de una forma que no es dura de revertir para una persona hábil. Sin embargo, el malware avanzado cifra los archivos del usuario, volviéndolos inutilizables, y exige una tarifa para descifrarlos. Los atacantes suelen pedir rescates en monedas digitales difíciles de rastrear como Bitcoin.

El primer ransomware llamado PC Cyborg se creó en 1989. Cifraría todos los archivos en el directorio C y luego exigiría a las víctimas $189 (por correo) para renovar su licencia. En la siguiente década, diferentes variantes de ransomware aparecieron.

Sin embargo, el ransomware avanzado no llegaría hasta 2004, cuando GpCode cifró datos personales usando cifrado RSA débil. Desde entonces, las estafas se han extendido mundialmente, con nuevos tipos aún atacando usuarios con éxito.

En los primeros seis meses de 2018, hubo más de 181 millones de ataques de ransomware. En 2019, nuevas variantes de ransomware aumentaron en 46%, con 68,000 nuevos troyanos de ransomware detectados para móvil.

Ejemplo: Quizás el ejemplo más popular de ransomware es CryptoLocker, que ocurrió entre septiembre 2013 y mayo 2014. Era un troyano cifrador que atacaba dispositivos con Microsoft Windows. Sus operadores extorsionaron exitosamente casi $3 millones.

5. Phishing

Un intento ilegal de obtener información sensible

El phishing es una técnica para intentar recopilar información personal, como contraseñas y detalles de tarjetas de crédito, usando sitios web y emails engañosos. También se lleva a cabo vía mensajería instantánea y mensajes de texto, donde un atacante, haciéndose pasar por una entidad de confianza, engaña a una víctima para que proporcione detalles personales.

El phishing también puede usarse para entregar malware, animando a usuarios a visitar un enlace o descargar un documento que instalará secretamente un script malicioso en el dispositivo. A gran escala, se usa para ganar punto de apoyo en organizaciones privadas o redes gubernamentales.

Por ejemplo, en una amenaza persistente avanzada, los datos de empleados se comprometen para evadir parámetros de seguridad, propagar programas maliciosos dentro de un entorno cerrado, o acceder a datos privados. Este tipo de ataque podría permanecer indetectado por un período extendido.

Según el informe de investigación de violaciones de datos de Verizon, el 22% de violaciones en 2019 involucraron phishing. Cerca del 88% de organizaciones en el mundo experimentaron intentos de spear-phishing. El 65% de organizaciones en EE. UU. experimentaron un ataque de phishing exitoso en 2019, casi 10% más que el promedio mundial.

Ejemplo: Uno de los ataques de phishing más consecuentes ocurrió en 2016 cuando atacantes lograron hackear la cuenta Gmail del presidente de la campaña de Hillary Clinton, John Podesta. En horas de los resultados de elecciones en EE. UU., hackers rusos enviaron emails de phishing (desde direcciones de email falsificadas de Harvard University) para publicar noticias falsas.

4. Gusano (Worm)

Gusano Blaster mostrando un mensaje

Un malware independiente, auto-replicante

Un gusano informático propaga copias de sí mismo de dispositivo a dispositivo. Se replica sin ninguna interacción del usuario y se adjunta a un programa de software para causar daño.

Mientras que la mayoría de gusanos entran en dispositivos a través de adjuntos en emails spam o mensajes instantáneos, también pueden transmitirse vía vulnerabilidades de software. Una vez que estos adjuntos se abren o instalan, trabajan silenciosamente en segundo plano, infectando archivos del sistema.

Los gusanos pueden inyectar script malicioso y modificar/eliminar archivos existentes. Algunos gusanos están diseñados para agotar recursos del sistema, como espacio de memoria o ancho de banda. Lo hacen haciendo copias de sí mismos y sobrecargando una red compartida.

Los gusanos también pueden explotar lagunas en el sistema operativo, seguridad de aplicaciones o errores de configuración de red para copiarse en un disco totalmente accesible y propagar esas copias por redes públicas.

Ejemplo: El primer gusano informático con impacto real fue desarrollado por Robert Morris en 1988. Nombrado por su desarrollador, el Gusano Morris causó denegación de servicio para aproximadamente el 10% de las 60,000 máquinas conectadas a ARPANET. En 2003, otro gusano llamado Blaster lanzó ataques DDoS contra el propio servidor de Microsoft, infectando hasta 2 mil millones de dispositivos.

3. Keylogger

Registra teclas pulsadas en un teclado sin el conocimiento del usuario

Las herramientas de registro de pulsaciones son una de las formas más antiguas de malware, que se remonta a las máquinas de escribir. Aún se usa como parte de ciberataques mayores. En su definición más básica, un keylogger rastrea las pulsaciones en una computadora.

Aunque es un software simple, los atacantes pueden usarlo como herramienta potente para robar datos de usuarios e información sensible tecleada a través de un teclado. Esto da a los atacantes el beneficio de acceder a IDs de email, contraseñas, números de cuenta, códigos PIN y otra información confidencial.

Los keyloggers basados en hardware pueden conectarse en línea entre un teclado y una computadora, o instalarse vía firmware a nivel BIOS. El keylogger basado en software puede instalarse a través de scripts de página web o archivos adjuntos de un email de phishing. Se instala automáticamente cuando un usuario visita un sitio dañino o abre un archivo sospechoso adjunto a un email.

Ejemplo: En 2000, el FBI usó un keylogger para atrapar a dos cibercriminales rusos. El keylogger se instaló encubiertamente en una máquina, y el FBI lo usó para acceder a las computadoras de los sospechosos en Rusia. El FBI obtuvo suficiente evidencia para procesarlos. En 2018, Google eliminó 145 apps de Play Store que contenían malware keylogging.

2. Error Humano

Los empleados ocasionalmente cometen errores que llevan a violaciones de datos mayores

Los humanos son a menudo el eslabón más débil en las defensas contra violaciones de datos. Por ejemplo, los equipos de TI pueden exponer accidentalmente información personal de clientes al mal configurar servidores, o los empleados pueden reenviar el reporte de la empresa a un externo vía emails enviados en masa.

Según el estudio realizado por la Oficina del Comisionado de Información del Reino Unido (ICO), los errores humanos causaron el 90% de violaciones de datos cibernéticos en 2019.

CybSafe, una plataforma de concienciación sobre ciberseguridad basada en la nube, reportó que 9 de cada 10 de las 2,377 violaciones reportadas al ICO en 2019 fueron causadas por fallos de usuarios finales. Esto es 61% y 87% más que los dos años anteriores.

Ejemplo: En 2017, el certificado SSL usado por LinkedIn para sus subdominios de país expiró. Aunque este evento no afectó a www.linkedin.com, sí invalidó us.linkedin.com junto con algunos otros subdominios. Como resultado, millones de usuarios no pudieron acceder a LinkedIn por varias horas.

Leer: ¿Qué Es Un Firewall? Definición | Tipos | Principio De Funcionamiento

1. Eliminación Inadecuada o Reventa Irresponsable

Muchas organizaciones no destruyen hardware obsoleto correctamente

Las organizaciones, específicamente las pequeñas, a menudo no tienen en cuenta la seguridad de datos al actualizar hardware e infraestructura. El final del ciclo de vida del hardware es un aspecto crucial de la gestión responsable de almacenamiento.

No todas las violaciones de datos son causadas por hacking. Algunas son resultado de eliminación inadecuada y reventa irresponsable. Para asegurar datos confidenciales, las empresas deben desmantelar datos o destruir físicamente el hardware.

El Instituto Nacional de Estándares y Tecnología ha publicado guías para sanitización adecuada de medios y disposición de datos. Sugieren que métodos basados en software, como sanitización nivel purga, no pueden eliminar completamente datos de todas las regiones de almacenamiento en la superficie del medio.

Ejemplo: En 2017, ordenadores de una oficina gubernamental en la Ciudad de Houston se vendieron en una subasta en línea. Tras investigación, se encontró que 23 de 38 computadoras tenían discos duros llenos de información privada.

Leer: 13 Diferentes Tipos De Virus Informáticos

Ese mismo año, la farmacia ShopRite en Nueva Jersey descubrió un dispositivo electrónico que había sido desechado sin antes borrar su almacenamiento. Contenía información personal de 10,000 pacientes, incluyendo nombres, fecha de nacimiento, firmas, números de teléfono y recetas médicas.