Seguridad on-line

La variedad y abundancia de incidentes de seguridad ocurridos en 2014 -desde el ciberespionaje y las campañas de cibersabotaje hasta las vulnerabilidades explotadas en todos los rincones de la web- hacen difícil elaborar un ranking de las principales incidencias de seguridad que tuvieron lugar el año pasado. Pero, ¿qué suponen exactamente algunos de estos sucesos? ¿Qué desarrollos fueron simplemente interesantes y cuáles apuntan a importantes tendencias en el espacio de la seguridad on-line? ¿Qué amenazas son residuos del pasado y cuáles son indicaciones de lo que nos espera en el futuro? Symantec Security Response ha publicado un post en su blog (www.symantec.com/connect/blogs/four-most-important-online-security-events-2014) analizando algunos de los desarrollos más importantes en el campo de la seguridad on-line a lo largo del año pasado, lo que hemos aprendido (o lo que deberíamos haber aprendido) de ellos y lo que presagian para este año recién estrenado.

Además del post en el blog, los principales expertos en seguridad de Symantec en Europa, Oriente Medio y África dan algunas claves de lo que ellos creen que nos deparará 2015.

Los métodos de pago electrónico estarán en el punto de mira (Candid Wüest, investigador de amenazas en Symantec Security Response)
Vender en el mercado negro una tarjeta de crédito robada o los datos de la tarjeta de débito es un negocio muy lucrativo para los ciberdelincuentes.

Dado que el sistema de chip y pin utilizado en la mayoría de tarjetas europeas ofrece una mayor seguridad que el de las tarjetas de banda magnética, es poco probable que veamos ataques a gran escala para obtener datos de pago de los clientes dirigidos a sistemas en el punto de venta (POS) que usan tarjetas con chip y pin. Sin embargo, las tarjetas con chip y pin (conocidas como “EMV”, por las siglas de “Europay, MasterCard y Visa”) también son susceptibles de un uso fraudulento en las compras on-line.
Además, los métodos de pago sin contacto que utilizan la tecnología Near Field Communications (NFC) experimentarán probablemente este año un incremento en la adopción por parte de los consumidores, especialmente debido a que cada vez más smartphones soportan el estándar NFC. Los habitantes de grandes ciudades como Londres (Reino Unido) utilizan ya diariamente la tecnología NFC para pagar el transporte público. En los próximos 12 meses, los pagos sin contacto dejarán de ser una tendencia creciente y se convertirán en la norma para los consumidores de algunos mercados europeos.
Aunque los sistemas NFC son más seguros que las bandas magnéticas, se mantiene la posibilidad de que los hackers los exploten, aunque esto requeriría que los ciberdelincuentes se dirigiesen contra tarjetas individuales y nunca resultaría en brechas de seguridad o robos a gran escala como los que se han visto en EEUU. No obstante, la tecnología de pago utilizada no protegerá frente a los comerciantes que no estén almacenando los datos de las tarjetas de forma segura, por lo que se deberá mantener la vigilancia sobre la protección de los datos almacenados.

Los ataques coordinados de ciberespionaje y cibersabotaje no muestran signos de decrecimiento en 2015 (Orla Cox, de Symantec Security Response, y Laurent Heslault, director en EMEA de Security Strategies)
Las campañas de ciberespionaje y cibersabotaje apoyadas por determinados Estados, como las que se vieron con DragonFly y Turla, respectivamente, en 2014, continuarán poniendo en riesgo en 2015 las infraestructuras críticas nacionales y la propiedad intelectual. Dragonfly y Turla son solo un par de ejemplos de entre las muchas campañas de espionaje que se ven continuamente. Se trata de un problema global que no muestra signos de agotamiento, con ataques como el de Sandworm, que aprovecha las vulnerabilidades de día-cero para propagar programas backdoor (que abren puertas traseras).
Dado que este tipo de campañas están diseñadas para minar la inteligencia y sabotear las operaciones, las organizaciones -incluyendo las del sector público- reconsiderarán su postura de ciberseguridad actual y harán de la seguridad una prioridad de inversión. La seguridad se convertirá así en una inversión estratégica, en lugar de táctica, diseñada no solo para protegerse frente a intrusiones, sino también para detectarla una vez que la intrusión ha tenido lugar, permitiendo a la organización responder de forma apropiada. También veremos proveedores de seguros que empezarán a ofrecer a las organizaciones soluciones de protección cibernética, un fenómeno que crecerá rápidamente en 2015.

Los sectores público y privado mejorarán la colaboración para combatir el cibercrimen (Orla Cox)
Vayamos ahora con algunas buenas noticias: con los recientes ataques internacionales, como los dirigidos Gameover, Zeus, Cryptolocker y Blackshades, 2014 fue testigo de cómo los equipos y fuerzas de seguridad adoptaban una postura más activa y agresiva contra el cibercrimen, incrementando la colaboración con la industria de seguridad on-line. Symantec ha firmado recientemente un acuerdo MoU con Europol para continuar coordinando sus esfuerzos. Aunque este ha sido un paso positivo para proteger a consumidores y empresas, la realidad es que el cibercrimen no desaparecerá de un día para otro. Tanto el sector privado como las fuerzas de seguridad continuarán colaborando en 2015 con el fin de lograr un impacto duradero y detener los planes de ataque de los ciberdelincuentes.

Retos de cumplimiento normativo para las empresas de la UE, conforme se acerca la adopción de la legislación sobre protección de datos (Sian John, responsable de Security Strategist en EMEA)
En 2015 veremos un foco y una preocupación continuos sobre la privacidad y el uso de la información, puesto que la UE tiene previsto implementar su nueva normativa sobre protección de datos.
Con la expansión de Internet y el creciente número de dispositivos conectados que recogen y correlacionan datos, existe una enorme cantidad de información ahí fuera (se espera que ronde los 10 ZB en 2015, de hecho) que necesita ser adecuadamente protegida y gestionada. Uno de los principales retos para las empresas de la UE será saber dónde están ubicados todos sus datos y qué está pasando con la información que contienen. El aumento de adopción del cloud computing supone que muchas empresas realmente no saben dónde están todos sus activos de datos y, de cara a recuperar la confianza de los consumidores tras las revelaciones de la NSA, las empresas tienen una necesidad y responsabilidad crecientes de saber qué es lo que ocurre exactamente con la información que guardan.
Las organizaciones deberán hacer frente a nuevos desafíos en 2015, obligadas a hacer malabarismos para garantizar el cumplimiento de las nuevas regulaciones, al mismo tiempo que siguen el ritmo de la economía mundial utilizando las vastas cantidades de datos existentes para impulsar nuevos servicios y fuentes de ingresos.

Las plataformas de código abierto serán un flanco débil en 2015 (Candid Wüest)
2015 traerá nuevas vulnerabilidades descubiertas en las bases de datos y plataformas de servicios web de código abierto, y también veremos cómo los hackers explotan estas vulnerabilidades impunemente. Como ocurrió con Heartbleed y Shellshock / Bash Bug, estas vulnerabilidades representan potencialmente una nueva área para los atacantes. No obstante, el mayor riesgo sigue ligado a las vulnerabilidades ya conocidas, pese a lo cual ni las organizaciones ni los consumidores aplican los parches correctivos.