El spam navideño, una gran oportunidad para los hackers

Año tras año se demuestra que las campañas de spam crecen de forma directamente proporcional a la ansiedad que sienten las personas que necesitan solucionar sus compras y regalos de Navidad.

Los anuncios y ofertas de productos que todos recibimos a través de correos electrónicos no deseados, acaban mezclándose con mensajes de ransomware, malware y phishing. Lo malo es que estos mensajes no solo llegan a nuestras cuentas de correo personal, sino también a las de las compañías para las que trabajamos, por lo que es muy posible que algunos empleados poco concienciados en temas de ciberseguridad puedan llegar a poner los datos de sus empresas en riesgo y provocar un coste económico muy superior al presupuesto que destinan a su seguridad.

Para los ciberdelincuentes, la campaña navideña suele comenzar en noviembre. El año pasado, los laboratorios de Bitdefender detectaron un incremento del 3% en el número de correos electrónicos no deseados durante el mes de noviembre con respecto al mes anterior a nivel global. Este porcentaje puede parecer pequeño, pero hay que tener en cuenta que el volumen total de correos electrónicos no deseados diarios se sitúa en torno a los 400.000 millones, así que un 3% supone unos 12.000 millones de e-mails más cada día.

El spam se presenta en múltiples variedades. Algunos no tienen ningún peligro, ya que se limitan a ofrecer un producto o servicio, pero una gran cantidad de ellos incorporan técnicas de phishing o contienen malware.

Los ciberdelincuentes tienen claro que para que sus ataques tengan éxito siempre deben contemplar una serie de pasos en sus procesos:  reconocimiento, armamento, entrega, explotación, instalación, comando y control, y acciones sobre objetivos. Cada uno de esos pasos tiene sus propias reglas, pero todos ellos comparten una constante: las personas siempre son el eslabón más débil de la cadena. Así, cualquier campaña de spam se basa en que las personas hagan lo incorrecto en el momento equivocado, proporcionando a los hackers el punto de apoyo que necesitan. Los ataques de ransomware y las infracciones de datos rara vez tienen éxito si no interviene, de alguna forma, el error humano.

A escala global, el 57% de las empresas, independientemente de su tamaño, han sufrido una violación en los últimos tres años. Según indica el estudio Hacked Off!, una encuesta llevada a cabo por Bitdefender entre más de 6.000 profesionales de seguridad y TI de todo el mundo, el 36% de estos profesionales temen las consecuencias de un ataque de phishing, lo que demuestra que el spam es una amenaza mucho más relevante de lo que parece.

Todos los sectores en el punto de mira

Aunque algunos sectores empresariales son más codiciados que otros, ninguna empresa debería ignorar las posibles amenazas a las que está expuesta. Así, por ejemplo, el sector de la cultura y entretenimiento parece ser el menos atractivo para los ciberdelincuentes. No obstante, un 17% de las compañías de este sector a nivel global ha sufrido algún tipo de brecha durante 2019, lo que no es poca cosa. Aquí es necesario recordar el problema que tuvo Sony Pictures en 2014, que impidió el lanzamiento de una película en la que se parodiaba al régimen de Corea del Norte.

Según el estudio Hacked Off! de Bitdefender, el sector agrícola y ganadero ha sido el más atacado este año, seguido por el sector de Biotecnología, muy apreciado por los hackers debido a todos los datos de propiedad intelectual, información confidencial y datos financieros que manejan sus empresas.

La industria textil, junto con el comercio minorista, atesora información muy valiosa de clientes y de tarjetas de crédito, lo que la convierte en un objetivo interesante. Estos datos, además, van a seguir creciendo a medida que las prendas de ropa se conviertan en dispositivos conectados con capacidades IoT.

La construcción es otro sector en lo más alto de la lista. No en vano, un tercio de sus empresas han sufrido algún tipo de brecha en 2019. Las organizaciones de este sector manejan una gran cantidad de información de los empleados, registros bancarios y datos de propiedad intelectual que las hacen muy atractivas. Cualquier incidente de ransomware supondría un alto coste para ellas.

La industria farmacéutica también ha reportado un gran número de incidentes durante este año con costes bastante altos. No hay más que recordar los 270 millones de dólares que tuvieron que pagar las compañías de seguros por el ataque de Wannacry que sufrió Merck.

En lo más alto de la lista aparece también la industria química. A principios de año, distintos ataques informáticos consiguieron paralizar la actividad de empresas como Hexion y Momentive en Estados Unidos.

Las compañías de telecomunicaciones presentan muchos flancos abiertos. Por una parte, almacenan una gran cantidad de datos de sus clientes. Por otra, forman parte de un sector estratégico, lo que las convierte en un objetivo claro de espionaje por parte de los estados.

Las organizaciones sin ánimo de lucro también figuran en la lista del top 10. Son víctimas fáciles, porque no suelen estar muy concienciadas en temas de ciberseguridad a pesar de que manejan datos de muchos donantes que, evidentemente, tienen un valor.

La industria de fabricación de dispositivos electrónicos son un objetivo claro. Trabajan con patentes y otros datos protegidos por la propiedad industrial. Un solo día de inactividad debido a un ataque de ransomware puede suponer una gran pérdida económica.

La conclusión es que ninguna empresa de ningún sector está completamente segura. Sus datos siempre valdrán algo para alguien, y para llegar a ellos, el camino más sencillo son las personas. Utilizar los dispositivos de la empresa para realizar alguna compra navideña o abrir un mensaje no deseado es una vía rápida y barata para alcanzar el objetivo. Así que también en Navidad, ¡cuidado con el spam!

Liviu Arsene, Senior CyberSecurity Researcher en Bitdefender