En los últimos meses, el sector bancario ha sido blanco de una serie de ciberataques a gran escala, lo que ha hecho surgir la preocupación, tanto entre las instituciones financieras, como entre los propios clientes. A medida que aumentan los sistemas de seguridad, también lo hace la sofisticación de estos ataques, que pueden llegar a poner en jaque la seguridad de los datos financieros y personales de millones de usuarios.
Solo en los primeros meses del año se han dado ya algunos incidentes notables. Por ejemplo, en abril, un grupo de ciberdelincuentes logró infiltrarse en el sistema de uno de los principales bancos de Europa y robar datos sensibles de más de medio millón de clientes. Para acceder a esta información, los atacantes utilizaron técnicas avanzadas de phishing con las que obtuvieron las credenciales de empleados con las que acceder a las diferentes subredes internas de la entidad.
El objetivo de estos cibercriminales no es otro que obtener beneficios económicos. Por ejemplo, pueden vender información personal y financiera en el mercado negro, usarla para cometer fraudes, cometer robos de identidad o acceder a la información de cuentas bancarias y tarjetas de crédito.
En el caso de las empresas, y aunque hablamos de bancos, aplica a cualquier industria, es importante contar con un partner adecuado. Aquí es donde entran en juego las compañías con una oferta de ciberseguridad gestionada, como Sopra Steria, que hace poco ha adquirido CS Group, Ordina y Tobania, mejorado así sus capacidades de ciberseguridad en términos de oferta de soluciones. Esto permite a los directores centrarse en lo que más importa, el negocio, sin preocuparse de intentos de acceso que, si están bien acompañados por una consultora sólida, no deberían llegar a nada.
Un puñado de dólares
Los cibercriminales utilizan una gran variedad de métodos para llevar a cabo sus operaciones. Entre las técnicas más comunes se encuentra, como ya hemos comentado, el phishing, que consiste en el envío de correos electrónicos fraudulentos que, a simple vista, parecen legítimos. De este modo, engañan a los empleados y obtienen sus contraseñas u otra información clave.
Esta práctica, aunque es la más conocida, no es la única. El ransomware, un tipo de malware que cifra los datos de la entidad objetivo, es usado para pedir un rescate a cambio de la liberación de los mismos. Asimismo, los ataques DDoS (Denegación de Servicio Distribuido) consisten en el envío masivo de peticiones hacia los servidores objetivo del ataque, llegando a colapsar los sistemas.
De la misma manera, muchos ciberdelincuentes estudian un software o hardware concreto con el fin de identificar vulnerabilidades ignoradas incluso por los propios fabricantes. Así, pueden infiltrarse en los sistemas antes de que se publiquen los correspondientes parches y correcciones de seguridad.
Tras provocar una brecha, estos delincuentes ingresan en la dark web, una red solamente accesible a través de navegadores especiales, para comerciar con los datos obtenidos en el mercado negro. Este entorno opaco (todas las comunicaciones están cifradas de extremo a extremo, por lo que es casi imposible rastrear la dirección IP que ha accedido a dichas webs), genera el caldo de cultivo perfecto para este tipo de actividades.
En estos oscuros foros, los precios varían en función de su utilidad y atractivo. Por ejemplo, los datos de tarjetas de crédito se venden entre 5 y 110 dólares, dependiendo del límite de crédito y la calidad de la información asociada. Por otro lado, el acceso a cuentas bancarias puede costar desde 200 y 2.000 dólares, aumentando en función del saldo disponible y del banco emisor.
Resulta particularmente estremecedor lo barato que sale comprar una identidad completa (menos de 100 euros). Este tipo de información, conocida como ‘fullz’, incluye conjuntos de datos, como el nombre, la dirección, el número de seguridad social, la fecha de nacimiento, etc.
Del mismo modo, las credenciales de acceso a cuentas y servicios web (correo electrónico, servicios de streaming o tiendas online) tienen precios que oscilan entre 1 y 50 dólares.
Ante el aumento de la digitalización (hoy en día hacemos vida online y nuestra identidad digital es una extensión de la real), nunca está de más recordar la importancia de la ciberhigiene y la protección. Hay que estar concienciado y promover prácticas seguras, no solo en el trabajo, sino en nuestra vida diaria. De lo contrario, nuestra información más delicada podría quedar expuesta y ser adquirida por tan solo un puñado de dólares.