Cómo los ciberdelincuentes explotan socios de la cadena de suministro para lanzar ataques

Por su propia naturaleza, una cadena de suministro requiere una asociación colaborativa entre personas y organizaciones. Aunque esto puede ayudar a lograr un objetivo común y fomentar el crecimiento, también puede plantear una serie de problemas.

Exposición involuntaria de aspectos sensibles

A través de estas relaciones simbióticas, las empresas han expuesto sin saberlo aspectos sensibles de su negocio. Sin embargo, esta debilidad pasada por alto ha abierto oportunidades para que ciberdelincuentes establezcan un punto de apoyo en sus organizaciones objetivo.

Subrayando la prevalencia de tales ataques, un estudio de Opus y Ponemon Institute muestra que al menos el 59 % de las organizaciones han sufrido ciberataques a través de empresas de terceros. Aún más preocupante es que solo el 16 % de las organizaciones en el estudio afirmaron mitigar eficazmente los riesgos de ciberseguridad de terceros.

Está claro que el primer paso para proteger su empresa de tales riesgos es identificarlos. A continuación, algunas formas en que actores maliciosos pueden iniciar un ataque a través de un socio de la cadena de suministro, ilustradas con ejemplos reales.

Software y hardware externo: puerta de entrada

Casi todas las organizaciones usan hardware y software externo. Pocos quieren construir tecnología desde cero. El auge del código abierto ha llevado a una ola masiva de externalización en casi todos los aspectos de las operaciones empresariales.

A pesar de su conveniencia, esta oportunidad conlleva riesgo considerable. La infame brecha de Equifax en 2018 resultó de un fallo en el software a cargo de ejecutar bases de datos online. Equifax también lo atribuyó a un enlace de descarga malicioso en su sitio, que provenía de otro proveedor.

Como resultado de estas debilidades en su cadena de suministro, los criminales accedieron a datos personales de al menos 143 millones de personas.

Sistemas HVAC conectados sin seguridad adecuada

Numerosas empresas usan sistemas de calefacción, ventilación y aire acondicionado (HVAC) conectados a internet pero sin medidas de seguridad adecuadas. Estos dan a hackers una puerta de entrada potencial a sistemas corporativos, como fue el caso de la masiva brecha de Target en 2014.

Los hackers obtuvieron acceso a credenciales de acceso de la empresa que proveía el sistema HVAC de Target. Entraron y accedieron a sus sistemas de pago, robando información de unos 70 millones de personas estimados. Incluía nombres, direcciones físicas, emails y teléfonos, entre otros datos sensibles.

Proveedores de servicios en la nube

Otra forma de riesgo viene de proveedores de servicios en la nube que almacenan datos confidenciales de empresas. Desde luego, estas entidades invierten significativamente en la seguridad de sus sistemas; su reputación depende de ello.

Pero como cualquier otro sistema organizacional, estos también son propensos a compromiso. Ese fue el caso del infame hack de los Paradise Papers en 2018. Aproximadamente 13,4 millones de archivos sensibles se filtraron revelando operaciones financieras sensibles de corporaciones globales y súper-ricos de todo el mundo. Al menos la mitad de estos archivos, unos 6,8 millones, provenían de Appleby, un proveedor de servicios legales offshore.

Un ataque similar ocurrió en verano de 2018, cuando Deep Root Analytics filtró datos personales de unos 200 millones de votantes. Deep Root es una firma de marketing usada por ambos partidos, Republicano y Demócrata. La brecha resultó de que la firma accidentalmente puso los datos en un servidor accesible públicamente.

Aunque es una empresa relativamente pequeña con unos 50 empleados, incidentes similares han ocurrido en organizaciones mayores. En el caso de la brecha de Verizon, Nice Systems puso 6 millones de registros de clientes en un servidor público Amazon S3. Los registros consistían en seis meses de logs de llamadas de servicio al cliente. Incluían información personal y de cuentas. Nice tiene más de 3.500 empleados.

Deloitte, con más de 250.000 empleados, ha experimentado una brecha similar. En septiembre de 2018, hackers accedieron a planes confidenciales y emails de algunos de sus clientes blue-chip. El agujero, en este caso, fueron controles de acceso débiles en una de sus cuentas administrativas.

Sistemas de proveedores: el eslabón débil

Para grandes empresas, la seguridad puede ser hermética internamente. Sin embargo, esto podría no ser cierto ni siquiera para sistemas TI de proveedores. Eso parece ser lo que pasó en Domino's Pizza en Australia el otoño pasado. Según informes de la época, el incidente resultó de débiles sistemas de ciberseguridad de un proveedor anterior. Como resultado, el sistema filtró nombres de clientes y emails. La brecha solo salió a la luz cuando clientes afectados comenzaron a recibir emails spam personalizados. Aunque Domino's insistió en que no hubo hackeo malicioso de datos personales y que sus sistemas no tenían la culpa, el daño ya estaba hecho.

Sensores IoT: vector de ataque ignorado

Otro agujero que ciberdelincuentes podrían explotar son sensores de internet de las cosas (IoT). Muchos operadores de negocio están alerta a riesgos de seguridad en ordenadores, teléfonos y redes. Pero a menudo pasan por alto dispositivos IoT, que pueden permitir a atacantes saltar a sistemas corporativos.

Estos dispositivos tienen sensores que los conectan a internet para comunicación. Son comunes en cadenas de suministro, ya que pueden asistir en predicción de fallos de máquina y gestión de inventario, entre otras áreas. A pesar de su valor funcional, son un vector de ataque popular que puede dar a atacantes acceso a datos sensibles, y facilitar sabotaje y ataques de botnet.

Un ejemplo de tal ataque usó una botnet conocida como Mirai para comprometer Dyn, una empresa que provee servicios de nombres de dominio a Reddit, Netflix y Github, entre otros. Mirai es una botnet específica de IoT diseñada para perpetrar ataques de denegación de servicio distribuido (DDoS).

Responsabilidad final: suya

Los ejemplos anteriores dan crédito al hecho de que atacantes pueden usar un eslabón débil en su cadena de suministro para acceder a sistemas. Desafortunadamente, no puede ejercer control directo sobre las medidas de seguridad que sus socios de la cadena de suministro implementan. Pero al final del día, a los clientes no les importa cómo fue comprometido. Simplemente quieren saber que sus datos están seguros. Y esto coloca la responsabilidad de asegurar una seguridad estricta en sus manos.

La debida diligencia en evaluar sistemas de seguridad de terceros y sus políticas de privacidad es esencial. Como hemos visto, organizaciones grandes y pequeñas pueden caer presa de estas tácticas. Sin importar el tamaño de sus socios, es esencial evaluar su compromiso con la seguridad.

Hágalo un objetivo principal evaluar dónde están sus debilidades, y priorice sellar todos los agujeros.

Olivia Scott es marketing manager en VPNpro.com.