Estados Unidos y México están perdiendo la guerra contra la ciberdelincuencia

Documentos filtrados por el grupo Guacamaya revelaron que las empresas de México y Estados Unidos son vulnerables a incidentes BEC.

México y Estados Unidos tienen una guerra en común: la ciberdelincuencia. De acuerdo con el estudio “The Cost of Data Breach” de IBM, Estados Unidos ha sido por 12 años consecutivos el país más ciberatacado del mundo, mientras que México es el primero en Latinoamérica.

Documentos filtrados el pasado octubre por el grupo Guacamaya revelaron que ambos países están colaborando en conjunto para resolver delitos cibernéticos, uno de los principales son los incidentes BEC – Business Email Compromise, por sus siglas en inglés-, o mail corporativo vulnerado.

Estados Unidos y México

Satnam Narang, ingeniero senior de Investigación en Tenable, explicó que los ataques BEC comienzan con la suplantación de correos electrónicos de funcionarios de alto rango de una empresa, o de proveedores que trabajan con la compañía del objetivo. Estos correos suelen solicitar el envío de una gran suma de dinero a través de una transferencia bancaria.

De acuerdo con los documentos revisados, la Unidad de Inteligencia Financiera realiza acciones para combatir los incidentes de operaciones tipo BEC en coordinación con el FBI y finCEN, la Red de Control de Delitos Financieros de Estados Unidos. Sin embargo, los esfuerzos no están siendo suficientes, pues el porcentaje de recuperación es bajo.

Lo que revela esta gráfica es que, entre ambos países, de 2019 a 2021 solamente lograron evitar en promedio 21% de los incidentes BEC. “Mientras que los ataques de ransomware son los que más atención reciben, los ataques BEC son silenciosamente uno de los mayores impulsores de las pérdidas financieras para las empresas”, mencionó Narang.

La ingeniería social es una de las principales maneras en las que los atacantes vulneran a sus víctimas, aunque también pueden utilizar algún malware para infectar a la organización.

Mario Cinco, arquitecto de servicios gestionados de ciberseguridad Kyndryl, explicó: “Las estadísticas indican que siempre habrá momentos en los que el negocio cambia sus procesos, tecnología, adquisiciones, o incluso cierres de años fiscales, festejos u otros eventos que un atacante puede aprovechar para diseñar mensajes que fácilmente se vean como auténticos y pueden conseguir información como contraseñas o el acceso de la víctima a sitios maliciosos y con archivos contaminados con malware”.

“Estas víctimas son empresas de todos los tamaños. Para los atacantes, se trata de lanzar una red lo suficientemente amplia”, comparte Narang. Los atacantes buscan siempre vulnerar al personal que les agregue mayor valor en corto tiempo y con menor esfuerzo.

Cinco compartió que las campañas de ataques de este tipo son cuidadosamente preparadas y especialmente dirigidas al personal que tienen a su cargo activos de información más valiosos, como la parte financiera, bases de datos o tecnologías de información.

“Hay variantes donde se busca comprometer al personal que está muy relacionado con los roles anteriores, como lo es asistentes de dirección, soporte técnico o incluso familiares o amigos de la víctima para que posteriormente, a través de estas cuentas comprometidas, puedan realizar un ataque más preciso y mayores probabilidades de éxito a las cuentas más valiosas de la organización”, complementa.

“La efectividad radica en preguntarse dónde se encuentra la información más valiosa de la organización, qué personal y sistemas tienen acceso a ella, qué cuentas de usuario utilizan y qué privilegios poseen, complementado con el grado de exposición de ciertos tipos de ataque”, menciona Cinco.

Con lo anterior, se puede validar que los controles implementados son suficientemente robustos para detectar y frenar los ataques como lo sería tecnologías de detección y autenticación de mensajes de correo electrónico válidos, entrenamiento del personal para descartar comunicaciones de fuentes falsas, validar la autenticidad de los mensajes, buscar puntos críticos que nos indiquen que es un mensaje falso, qué tipo de comunicados se enviarían por correo electrónico y cuáles son las actividades que nunca deben realizar a pesar que lo pida el personal ejecutivo o de soporte.

Por otro lado, Narang complementa que, uno de los principales puntos de vulnerabilidad es el factor de urgencia para ayudar a aplicar una presión adicional sobre la víctima. “Si el director general dice que hay que enviar urgentemente una transferencia para cerrar un trato, eso puede obligar a la víctima a ignorar algunas de las señales de alarma más obvias”.

Por esto, la formación de los empleados para detectar y señalar posibles ataques BEC podría ser la primera capa de defensa.

En última instancia, Narang también recomienda que las organizaciones deberían poner en marcha algún tipo de proceso que actúe como barrera, especialmente cuando hay dinero de por medio. De este modo, si se produjera una solicitud de transferencia urgente, tendría que ser revisada y aprobada por los principales interesados y establecerse una línea de comunicación más directa con la parte solicitante, ya sea un miembro de alto rango como el director general o con un proveedor externo.

Otro consejo es usar software de seguridad. Por ejemplo, un antivirus y una secure email gateway, o pasarela segura para la protección de correo electrónico. La empresa de ciberseguridad Proofpoint los define como un dispositivo o software que se utiliza para monitorizar los correos electrónicos enviados y recibidos y establecer políticas de seguridad de correo electrónico corporativo. Están diseñadas para evitar el correo no deseado y enviar los correos electrónicos adecuados y autorizados.

Por: Ginger Jabbour / Expansion