¿Preparado para irte de vacaciones?
Se avecina una temporada en la que veremos carteles colgados de escaparates, tiendas, talleres u oficinas en los que se podrá leer: “Cerrado por Vacaciones”.
Bueno, siendo sinceros, deberíamos decir que en realidad cada vez son menos los que cierran completamente sus empresas durante los meses de verano, y menos todavía los que hacen uso de estos, antes cotidianos, procedimientos para comunicar a sus clientes el hecho de que había llegado el momento de tomarse unos merecidos días de asueto.
Aun así, demos por válida la premisa. De una forma o de otra, es habitual que comuniquemos el comienzo de nuestro periodo vacacional a aquellos con los que nos relacionamos profesionalmente, informándoles de que atenderemos sus consultas a nuestro regreso. En el mejor de los casos, les dirigiremos a algún compañero que responderá a sus inquietudes y necesidades.
Cualquier persona bien intencionada puede ver en este procedimiento un acto de responsabilidad profesional y de atención al cliente. Y, aunque nos guste pensar que nuestras vacaciones son momentos de relajación y desconexión, para los ciberdelincuentes representan una oportunidad de oro.
A los ciberdelincuentes les encantan las vacaciones (de los demás). Se convierten en periodos en los que sus víctimas distraemos nuestra atención, relajando las medidas de ciberprotección que aplicamos diariamente. Al igual que cerramos con llave la puerta de nuestros domicilios, desconectamos nuestros puestos de trabajo y confiamos en que las infraestructuras tecnológicas de nuestras organizaciones se mantendrán seguras hasta nuestro regreso, por ejemplo, con correos electrónicos de respuesta automática.
Sin embargo, en un mundo donde los ataques de ransomware y phishing son cada vez más sofisticados, este es un lujo que no podemos permitirnos. Mientras que nosotros completamos reservas online en hoteles, pagamos en restaurantes, publicamos fotografías, hacemos comentarios en redes sociales y nos conectamos a redes WiFi públicas, nuestra información personal fluye por Internet como agua en un río —o las olas en la playa si queremos seguir en tono veraniego—.
Paralelamente mantenemos nuestras oficinas funcionando con menos empleados y con sus sistemas informáticos dispuestos para entrar en actividad tan pronto como alguien "autorizado" se conecte a ellos. Y es en este punto en el que entra en juego el papel de los ciberdelincuentes con sus estrategias y recursos.
Phishing: más peligroso que nunca
En los últimos años, hemos visto un aumento en el uso de la inteligencia artificial por parte de los ciberdelincuentes. Estas tecnologías permiten crear correos de phishing más convincentes y personalizar ataques de ingeniería social a un nivel sin precedentes. No es raro que los atacantes utilicen información obtenida de nuestras redes sociales para hacer sus correos más creíbles. Los ciberdelincuentes recurren a este método como forma de acceder a recursos privados cuando los verdaderos propietarios no se encuentran disponibles. Los correos electrónicos, invitando a conectarnos a direcciones comprometidas, son un recurso habitual. ¿Qué ocurriría si de forma automática reenviáramos uno de esos correos a un compañero para que lo procesara en nuestra ausencia? La respuesta parece evidente y las consecuencias igual.
Además, los deepfakes se han convertido en una herramienta poderosa haciendo aún más difícil distinguir entre comunicaciones legítimas y fraudulentas que conllevan riesgos tanto para nosotros mismos como para nuestra organización, en particular para los directivos. El fraude del CEO se ha convertido en una práctica cotidiana que pone en jaque a muchas organizaciones.
El auge del BYOD y los riesgos asociados
Lo mismo podríamos decir que ocurre con el uso de nuestros propios dispositivos personales, BYOD (Bring Your Own Device), como elementos de conexión a recursos corporativos, un fenómeno que ha aumentado significativamente con la flexibilización del trabajo remoto.
La falta de protección lógica y/o física de estos dispositivos los convierten en riesgos importantes que trascienden a la mera sustracción por el valor económico del propio terminal.
¿Cuántos usuarios disponen un PIN de protección del dispositivo? ¿Cuántos tienen guardados las passwords de acceso a la VPN de su organización en notas de texto? ¿Cuántos disponen de un segundo nivel de autenticación?
La protección física de los dispositivos móviles —y más aún si son compartidos con servicios de la organización— durante los periodos de vacaciones se convierten en un objetivo de atención prioritario. ¿Quién cuida de los móviles o las tabletas cuando estamos en la playa? ¿Dónde los dejamos cuando viajamos? ¿Para qué los utilizamos durante ese periodo? Todas son preguntas que tenemos que hacernos y para las que deberíamos que tener una respuesta clara.
Solo a modo de ejemplo, son numerosos los usuarios que durante sus vacaciones instalan apps de entretenimiento o incluso se conectan a direcciones de ocio a las que no lo hacen asiduamente. ¿Cómo comprobamos la validez de las direcciones de descarga y la corrección de su uso? ¿Cuántas de esas aplicaciones pueden contener malware? De nuevo nos encontramos con preguntas que debemos saber responder.
Redes Wifi públicas, un riesgo persistente
No menos importante son las redes WiFi a las que accedemos, que siguen siendo un terreno fértil para los ciberdelincuentes. Durante las vacaciones resulta habitual tener acceso libre a redes WiFi que nos permiten visualizar videos y consultar información sin límites en la transmisión. Y, a pesar de las advertencias, preferimos hacerlo antes que utilizar la cuota de datos que nos tiene asignada el operador de telecomunicaciones. Sin embargo ¿Cuántos son los que se preocupan por la seguridad de esas redes? ¿Cómo saben que no utilizan técnicas de man-in-the-midle para espiar nuestros movimientos? Esta forma de ataque es muy común y, sin una VPN adecuada, nuestras comunicaciones pueden ser fácilmente interceptadas.
Las redes WiFi públicas son una comodidad no exenta de peligros que a menudo descubrimos demasiado tarde.
Infraestructuras IT en vacaciones
Por último, está nuestra propia compañía junto con su infraestructura informática que hemos dejado atendida, en el mejor de los casos, por la mitad de los empleados.
¿Disponemos de personal cualificado para afrontar cualquier incidencia de ciberseguridad? ¿Tenemos establecidos los procedimientos adecuados de notificación?
Las vacaciones no existen en Internet. En un mundo conectado como el actual todos los días del año son iguales. Debemos tenerlo en cuenta para saber cómo responder ante cualquier eventualidad. Contar con sistemas de monitoreo y respuesta automatizados puede ser la diferencia entre un incidente sin consecuencias y una brecha devastadora.
Mientras disfrutamos de nuestras vacaciones no debemos olvidar que los ciberdelincuentes están al acecho. En un mundo cada vez más interconectado, la precaución nunca está de más porque si no actuamos con precaución podríamos encontrarnos con sorpresas desagradables a nuestro regreso. Sorpresas como que “la cerradura de nuestro establecimiento ha sido reventada y nuestros productos han desaparecido o están desperdigados por el suelo”. Dicho en términos tecnológicos, nuestros servidores han sido vulnerados, su contenido cifrado y nuestros datos personales y profesionales (incluyendo nombres de usuario y passwords) desperdigados por Internet.