Acerca del pirateo de la cadena francesa de televisión TV5
En la noche del miércoles al jueves, la cadena francesa de televisión pública TV5Monde ha sufrido las acciones de un hacker vinculado a ISIS o Estado Islámico, que ha aprovechado una vulnerabilidad en la red. Los fabricantes de seguridad Trend Micro y Bue Coat no ofrecen su visión de lo sucedido.
¿Qué ha ocurrido?
Parece que una vulnerabilidad en la red de la cadena francesa de televisión pública TV5Monde ha permitido que la red haya sido tomada por personas que afirman pertenecer al Estado Islámico, impidiendo el acceso a las emisiones, además de piratear sus websites y la página de Facebook.
¿Cuál ha sido el impacto?
Todas las transmisiones de TV5MONDE se han visto afectadas por un apagón entre las 10 de la noche y la 1 de la madrugada, hora local, del miércoles al jueves por hackers que afirman ser leales a ISIS. Han sido capaces de hacerse con el control de la cadena de televisión fundada por el gobierno francés en 1984 y de piratear simultáneamente 11 canales, así como su página web y cuentas de redes sociales.
Durante el ataque, los hackers publicaron documentos en la página de Facebook de TV5Monde afirmando que son tarjetas de identidad y currículums de los familiares de los soldados franceses que participan en las operaciones contra el Estado Islámico, además de proferir amenazas contra las tropas.
El ciberataque a la sede del canal de televisión en París dejo apagados completamente los sistemas informáticos –abarcando desde cuentas de correo electrónico al equipo de producción, incluidos los servidores que se utilizan para transmitir señales de la televisión de TV5MONDE.
Trend Micro responde
"No hay suficiente información disponible sobre el ataque. Sin embargo, parece que el acceso podría haberse producido utilizando phishing (correo electrónico e ingeniería social). Por ejemplo, un correo electrónico podría haber servido como cebo para llamar atención de los empleados TV5 Monde incitándoles a revelar sus credenciales de usuario y contraseña; o descargar contenido malicioso de una página web / URL incluida en ese correo electrónico. Las credenciales capturadas podrían utilizarse para obtener acceso remoto a la red de TV5.
Cuando se produce este tipo de compromiso el firewall de la empresa -no importa lo bien que ha sido certificado- debe identificarlo y prevenirlo. Pero parece que el de TV5 sido violado hace varios meses, con hackers moviéndose por la red sigilosamente para comprometer los activos (servidores, sistemas, datos) y las conexiones del gateway tales como el acceso a la red de difusión, y en última instancia irrumpiendo en los servidores de transmisión de señales. A continuación, estos datos capturados se podrían haber utilizado para acceder a las propiedades web, tales como las páginas de Facebook y Twitter.
Este ataque sirve como llamada de atención para cualquier negocio sobre los peligros que los actores de cibercrimen plantean. Si una empresa quiere reducir el riesgo de este tipo de ataques hay varias acciones que deben emprender para mantenerse a salvo. Las empresas deben educar a sus usuarios a distinguir entre el contenido legítimo y el que es potencialmente malicioso -mensajes de correo electrónico, direcciones URL, etc.- Los miembros de la plantilla nunca deben abren archivos adjuntos de correo electrónico también a menos que los estén esperando. Por otra parte, las empresas necesitan mantener su lista de sitios web relacionados con malware bloqueada y su lista de sitios seguros actualizada.
Las organizaciones deben asegurarse de que los usuarios actualizan su contraseña con una opción de resistencia adecuada y evitar visitar sitios que no son de fiar, puesto que podrían servir para redirigir malware. Los privilegios y el acceso a equipos y datos sensibles deben ser gestionados y contar con parches de software, los archivos antivirus y los motores deben mantenerse al día. Si no se realiza esta simple rutina de seguridad -cualquier empresa podría terminar en una situación similar a la vivida por TV5 Monde. Las organizaciones necesitan tener más visibilidad a través de sus redes con el fin de incrementar y mejorar su conocimiento de la situación de posibles compromisos. Estos atacantes se moverán lateralmente alrededor de la red de búsqueda de datos valiosos o para comprometer otros sistemas”.
Christophe Birkeland, director general de Blue Coat Norway AS
"El ataque de ISIS a la candena francesa TV5 ha sido un ataque complejo y realizado por múltiples medios. Es interesante observar como el ataque no parece haber utilizado en particular ni técnicas ni malware avanzado. El ataque se ha llevado a cabo utilizando afectando a una variedad de elementos, como los canales de televisión, la página web y los canales sociales. Esto muestra un alto nivel de acceso y una profunda infiltración en la red de la cadena de televisión. Esto nos indica que ha sido una acción muy bien planificada y que ha requerido de un conocimiento profundo de la red, lo que ha debido de requerir una considerable cantidad de tiempo y de conocimiento para poder ser llevado a cabo. Hay informes que muestran que las credenciales de los administradores de social media fueron comprometidos y que se utilizaron como vía de acceso dentro de la red, pero una potencial amenaza interior no puede ser excluida.
Basándonos en esta información y en lo que ha sucedido en Francia esta noche, podemos afirmar que ISIS ha mostrado su conocimiento y su capacidad para llevar sus ataques a un nuevo nivel. De hecho, el ataque a TV5 Monde no tiene precedentes y, por primera vez, un ciberataque ha tenido consecuencias en la vida real de una estructura "física" de transmisión de un medio de comunicación, elementos claves de nuestro sistema democrático. Recientemente nuestros expertos han visto como ISIS ha llevado a cabo algunos ataques masivos contra páginas web con vulnerabilidades conocidas, y aunque todavía podemos esperar más daños, está por ver si esos ataques tendrán el mismo impacto.
Y aunque TV5 va a necesitar todavía algún tiempo para recuperar la normalidad en sus operaciones, estamos seguros que están realizando los análisis profundos que les permitan tener una visibilidad completa de lo que realmente ha sucedido. Para enfrentarse a estos escenarios de ciberamenazas, las organizaciones necesitan contar con herramientas con y el conocimiento que les permitan identificar rápidamente y poder contener ataques de esta naturaleza. Con una visibilidad y una política de seguridad adecuadas, una organización objetivo de ataques como éstos, puede contenerlos rápidamente y recuperar la normalidad en menos de un día".
