Riesgos críticos en privacidad

Los ataques por fuerza bruta se disparan y un 80 por ciento de las empresas carecen de directivas sobre el uso de contraseñas, por lo que los expertos en ciberprotección advierten de que, en 2021, las violaciones de seguridad expondrán más datos que nunca.

Acronis, líder mundial en ciberprotección, ha lanzado la advertencia en el día de hoy de que, según sus investigaciones de las tendencias recientes de los ciberataques y las prácticas empresariales existentes, las organizaciones de todo el mundo se enfrentan a una amenaza global que se cierne sobre la privacidad de los datos y la seguridad. Acronis ha anunciado estas conclusiones el Día internacional de la Privacidad de los Datos para alertar a las empresas y organizaciones de que deben tomar medidas inmediatamente para evitar ataques que podrían resultar costosos.

La investigación más reciente llevada a cabo por los expertos de ciberseguridad de la red global de centros de operaciones de ciberprotección de Acronis (CPOC) ha puesto de manifiesto que el 80 % de las empresas no tienen instaurada una directiva para el uso de contraseñas. Entre un 15 y un 20 % de las contraseñas usadas en el entorno empresarial incluyen el nombre de la empresa, por lo que no son seguras. Recientemente ha habido un par de incidentes destacados que ilustran este problema: antes del problema de seguridad descubierto en su software Orion, SolarWinds recibió el aviso de que uno de sus servidores de actualización tenía una contraseña conocida públicamente, "solarwinds123"; por otro lado, la cuenta del expresidente Donald Trump en Twitter sufrió un acceso no autorizado porque, al parecer, la contraseña era "maga2020!".

Entre las empresas que sí imponen normas, los investigadores descubrieron que muchas utilizan contraseñas predeterminadas, pero la mitad de estas se clasifican como débiles.

Los ciberdelincuentes conocen estas prácticas poco seguras y, con tantos empleados trabajando desde casa por la pandemia de la COVID-19, han dirigido sus esfuerzos contra los sistemas mal protegidos de estos teletrabajadores. Los analistas de Acronis han observado un aumento drástico en el número de ataques por fuerza bruta detectados durante 2020, con el stuffing o relleno de credenciales como segundo ciberataque más usado el año pasado, solo por detrás del phishing.

"La urgencia por teletrabajar provocada por la pandemia ha acelerado la adopción de soluciones basadas en la nube", explica Candid Wüest, vicepresidente de Investigación de ciberprotección de Acronis. "Sin embargo, al hacer esta transición muchas empresas no se han preocupado debidamente de su ciberseguridad y de las necesidades de protección de los datos. Esas empresas se dan cuenta ahora de que garantizar la privacidad de los datos es una parte fundamental de una estrategia global de ciberprotección, una que incorpore ciberseguridad y protección de datos, y de que es imprescindible reforzar la protección de sus teletrabajadores".

Riesgos económicos y reputacionales

Aunque existe el consenso general entre la comunidad empresarial de la necesidad de una mayor ciberprotección para garantizar la privacidad de sus datos y los de sus clientes, todavía queda mucho por hacer en lo relativo a la concienciación de los usuarios. Según recoge un informe, un 48 % de los empleados reconocen que es menos probable que sigan prácticas seguras para los datos cuando trabajan desde casa.

Los analistas de los CPOC de Acronis creen que una mala higiene de contraseñas y unos hábitos relajados en materia de ciberseguridad por parte de los teletrabajadores están entre las razones de que el impacto económico de la filtración de datos se dispare en 2021, ya que los ciberdelincuentes pueden acceder y robar datos empresariales valiosos con mayor facilidad. La tendencia es parecida a la observada en estos momentos entre quienes llevan a cabo ataques de ransomware, que roban datos confidenciales o comprometedores y luego amenazan con publicarlos si la víctima no paga. El año pasado, Acronis identificó a más de 1000 empresas de todo el mundo que sufrieron fugas de datos después de un ataque de ransomware.

Implementación de requisitos de autenticación más estrictos

Para evitar el costoso tiempo de inactividad, el deterioro de la imagen en el mercado y las cuantiosas sanciones por incumplimiento de normativas que pueden causar las fugas de datos, las empresas deben endurecer los requisitos de autenticación necesarios para el acceso a sus datos.

Acronis y otros expertos en ciberseguridad recomiendan las siguientes prácticas:

• Autenticación multifactor (MFA), que exige que los usuarios sigan dos o más métodos de verificación antes de acceder a la red de la empresa, a un sistema o a una VPN, debería ser la norma en todos los casos. La combinación de una contraseña con otro método de verificación (como una huella dactilar o un número pin generado aleatoriamente por una aplicación móvil) garantiza la protección de la empresa en los casos en los que un ciberdelincuente adivina o inhabilita la contraseña de un usuario.

• Modelo de confianza cero (Zero Trust), de adopción obligada para garantizar la seguridad de los datos y la privacidad. Para acceder y usar los datos y sistemas de la empresa, todos los usuarios, ya teletrabajen o se encuentren dentro de la red corporativa, deben autenticarse, demostrar su autorización y validar continuamente su seguridad.

• Análisis de comportamientos de usuarios y entidades (UEBA), que ayuda a automatizar la protección de una organización. Mediante la supervisión de la actividad de los usuarios con inteligencia artificial y análisis estadísticos, el sistema puede reconocer comportamientos que se salgan de lo normal, en especial los que apunten a que se ha producido una violación de la seguridad a la que puede seguir el robo de datos.

Si bien el Día de la Privacidad de los Datos de 2021 es una oportunidad ideal para llamar la atención sobre los riesgos que acechan a la privacidad de los datos, los investigadores de los CPOC de Acronis han identificado otras tendencias en las ciberamenazas a las que se enfrentarán los administradores de sistemas, los proveedores de servicios gestionados y los profesionales de la ciberseguridad durante el año que viene.