El camp de batalla digital: pirates informàtics ètics vs
Introducció
Saps que el 2011, Citibank (Citigroup) va patir un ciberatac que va provocar el robatori de gairebé 2,7 milions de dòlars?
Els actors acaben d'aprofitar una simple violació de dades al seu lloc web. Feia mesos que l'explotaven abans que es detectés. El banc va patir molt d'això, ja que més de 360.000 comptes s'han vist afectats, i va ser tot un repte desfer-se'n.
Resum
Naixement de la seguretat de la informació
En les últimes dues dècades, la informàtica ha crescut dràsticament; s'han descobert molt i s'han millorat molt. Avui dia, els ordinadors i les tecnologies no tenen res a veure amb les que hi havia al principi, almenys en les seves formes i funcionalitats. Això és el que va aixecar un nou tresor, un tresor que abans no era fàcil d'arribar. Hi hauria hagut moltes coses diferents, això és Informació.
La importància de la informació s'ha fet tan gran que podria salvar vides humanes! També és molt important en la nostra vida quotidiana, i ho trobem de moltes formes. En aquest article, parlarem d'informació digital, és a dir, informació emmagatzemada als ordinadors, i ens referirem a això com a dades.
Les dades estan a tot arreu, a les escoles, hospitals, bancs, governs, militars, supermercats, etc. Així, bàsicament, tothom al món té dades. La seva importància difereix d'una persona a una altra i d'un ús a un altre; de vegades pot ser molt crític.
Malauradament, com que res és perfecte en aquest món, l'accés a aquesta informació es podria veure compromès. Això es deu principalment al factor humà en moltes formes. Pot ser un error, un error o, de vegades, simplement una negligència. Això pot conduir a deixar forats de seguretat en un sistema digital, ens referim a aquests forats com a vulnerabilitats.
I hi ha moltes persones amb intencions malicioses que intenten aprofitar aquestes vulnerabilitats i dirigir-les pel seu propi bé. S'anomenen Hackers.
Els pirates informàtics són considerats delinqüents, i això està lluny d'estar malament. Les conseqüències dels seus actes poden ser desastroses, inclosa la pèrdua de diners i la ruïna de la vida de moltes persones, però de vegades hi ha danys menors que no poden ser insignificants. Més endavant analitzarem algunes d'aquestes conseqüències.
La seva existència ha fet inevitable tenir cura de la Seguretat de la informació fent que gent lluiti contra ells (pirates informàtics).
S'anomenen Hackers Ètics, la seva feina és bàsicament prevenir o minimitzar els atacs dels pirates informàtics (també coneguts com a atacs cibernètics). Són persones que treballen per fer del món digital un lloc més segur.
Ciberatacs
Per tant, els ciberatacs, com s'han introduït abans, són actes de pirates informàtics. Els pirates informàtics ataquen sistemes per robar, realitzar canvis no autoritzats o fins i tot destruir dades amb molts propòsits maliciosos.
La majoria d'aquests atacs es podrien classificar en una d'aquestes tres categories.
Atacs contra sistemes
En aquest cas, les vulnerabilitats solen ser causades per un error tècnic del sistema. Els pirates informàtics utilitzen el seu coneixement del sistema i de com funciona per trobar una manera no cuidada d'utilitzar-lo al seu favor, i poden obtenir accés no autoritzat a un recurs o fins i tot al sistema en conjunt.
En general parlem de:
-
Exploitacions Zero Day (vulnerabilitats descobertes recentment que no s'han pegat, la qual cosa significa que encara estan presents a l'última versió del sistema).
-
Els CVE (codis d'explotacions de vulnerabilitat) són proves de conceptes que són rellevants contra sistemes obsolets.
-
Atacs d'home al mig, denegació de servei (DOS), denegació de servei distribuïda (DDOS), etc.
Atacs contra persones
És àmpliament conegut que el punt més vulnerable d'un sistema digital són els humans. És l'actor més imprevisible que hi ha. En realitat s'han realitzat molts ciberatacs contra persones que treballen a les empreses, exposant dades crítiques o realitzant accions desastroses en molts sistemes.
Aquí teniu una cita que vull exposar
"No hi ha cap pegat per a l'estupidesa humana".
Això vol dir que no es pot fer res quan un hacker aconsegueix piratejar la gent! Aquí parlem més sobre l'enginyeria social, que té com a objectiu piratejar la mentalitat d'una persona utilitzant moltes tècniques com el phishing.
Atacs contra sistemes a través de persones
En aquest cas, l'objectiu de l'atac és generalment destruir dades o mal funcionament d'un sistema. Això es fa fent que la gent utilitzi programes informàtics maliciosos anomenats programari maliciós.
Es tracta de programes que destrueixen les dades, canvien completament la seva forma, fent-les inutilitzables, o fins i tot filtrar-les, la qual cosa comporta greus conseqüències. I aquesta és la feina de
-
virus: programes que s'estenen molt ràpidament en un sistema o en una xarxa
-
ransomware: programari maliciós que xifra les dades mitjançant un algorisme fort i demana un rescat per recuperar-les.
-
Troians, cucs, etc.
-
D'altra banda, el programari maliciós pot romandre inactiu i només robar dades, com ho fa el programari espia.
I com veieu, aquests només s'aconsegueixen mitjançant errors humans que els inclouen en el sistema d'una manera o altra.
Algunes catàstrofes cibernètiques crítiques
En l'última dècada, el món ha conegut nombrosos ciberatacs que han tingut conseqüències greus.
Això va fer que les organitzacions es preocupessin més per la seguretat del seu sistema.
Aquests són alguns dels més coneguts:
- Sony Pictures Hack (2014)
El ciberatac a Sony Pictures Entertainment el 2014, que es va atribuir a Corea del Nord, va provocar l'exposició de dades confidencials, incloses pel·lícules inèdites i informació sensible dels empleats. Els autors, que operaven sota el pseudònim de "Guardians de la Pau", van exigir a Sony que aturés l'estrena de la pel·lícula "The Interview", que presentava un complot fictici que implicava l'assassinat del líder de Corea del Nord.
- WannaCry Ransomware (2017)
WannaCry, un assalt de ransomware a tot el món, va buscar específicament ordinadors que utilitzaven versions obsoletes de Windows. Aquest programa maliciós es va propagar ràpidament, afectant tant a organitzacions com a individus de tot el món. Va explotar una vulnerabilitat de seguretat robada de la NSA per xifrar els fitxers de les víctimes, cosa que va demanar que paguessin un rescat per al desxifrat de dades. Abans que es produís danys substancials, un investigador de seguretat va identificar fortuïtament un mecanisme per aturar l'atac.
- Cyberattack SolarWinds (2020)
El ciberatac de SolarWinds va ser una incompliment de la cadena de subministrament planificada de manera complexa que va apuntar a SolarWinds, una destacada empresa de gestió de TI. Els agressors van comprometre les actualitzacions de programari de SolarWinds, proporcionant-los accés als sistemes de diverses entitats, incloses agències governamentals i corporacions destacades. L'atac estava relacionat amb un grup rus d'amenaça persistent avançada (APT).
- Log4j (2021)
Log4j, una utilitat Java ben establerta amb una història de dues dècades, va trobar un moment crucial el desembre de 2021 amb el descobriment d'una vulnerabilitat crítica anomenada Log4Shell. Aquest defecte va permetre que actors maliciosos no autenticats i no qualificats prenguessin el control de les aplicacions, donant lloc a incompliments de seguretat costosos.
- Twitter (5,4 milions de comptes d'usuari robats d'un atac d'enginyeria social el 2022)
El 5 d'agost de 2022, Twitter va fer un anunci sorprenent, revelant que un pirata informàtic, que operava sota el pseudònim de "diable", havia explotat una vulnerabilitat de dia zero. Aquesta incompliment els va permetre connectar dades d'identificació personal com ara números de telèfon i adreces de correu electrònic amb comptes d'usuari a la plataforma de xarxes socials.
Aprofitant l'oportunitat que presentava aquesta vulnerabilitat, el pirata informàtic va llançar posteriorment un ampli conjunt de dades als fòrums en línia, amb un preu de 30.000 dòlars. L'existència de l'error s'havia donat a conèixer públicament el juny de 2021, afectant més de 5 milions d'usuaris.
En resposta a aquest incident, Twitter va actuar ràpidament, posant-se en contacte directament amb els propietaris de comptes afectats i oferint orientació. Van instar els usuaris a implementar l'autenticació de dos factors com a salvaguarda essencial contra l'accés no autoritzat als seus comptes.
Hackers ètics
Com s'ha dit abans, l'auge dels pirates informàtics en l'àmbit tecnològic va fer que les organitzacions pensessin en solucions per augmentar la seguretat del seu sistema.
Així doncs, havien de trobar llocs de treball o llocs de treball que els paguessin per revisar aquests sistemes i detectar vulnerabilitats per tal de reparar-los o arreglar-los. Les persones que prenen aquestes posicions són en realitat les que anomenem pirates informàtics ètics.
La pirateria ètica es divideix en dues categories principals
-
Seguretat ofensiva: També coneguda com a proves de penetració o pirateria ètica, és la pràctica de simular ciberatacs als sistemes d'una organització per identificar vulnerabilitats i debilitats. L'objectiu principal de la seguretat ofensiva és descobrir i abordar proactivament els problemes de seguretat abans que els actors maliciosos els puguin explotar.
-
Seguretat defensiva: se centra a protegir els sistemes, les dades i la infraestructura de xarxa d'una organització de possibles amenaces. El seu objectiu principal és evitar l'accés no autoritzat, les violacions de dades i altres incidents de seguretat.
La pirateria ètica pren generalment diferents enfocaments o equips a l'hora de garantir un sistema; alguns d'aquests són:
-
Equip vermell: és un enfocament estructurat i sistemàtic per provar i avaluar la seguretat dels sistemes, processos i defenses d'una organització. Implica simular ciberatacs i altres amenaces per avaluar la postura de seguretat, les vulnerabilitats i la resiliència general d'una organització. L'objectiu principal de l'equip vermell és proporcionar una avaluació imparcial i realista de les capacitats de seguretat d'una organització i identificar les debilitats que podrien no ser evidents mitjançant els mètodes tradicionals de prova de seguretat.
-
Blue Teaming: Blue Teams són els responsables de protegir els actius digitals, els sistemes i les dades d'una organització de les ciberamenaces, alhora que treballen per detectar i respondre als incidents de seguretat. A diferència dels equips vermells, que simulen atacs i activitats adversàries, els equips blaus es preocupen principalment de mantenir i millorar la postura de seguretat de l'organització.
-
Purple teaming: és un enfocament col·laboratiu i integrat de la ciberseguretat que combina els esforços dels equips vermells i blaus dins d'una organització. L'objectiu de l'equip morat és millorar la postura general de seguretat d'una organització facilitant la comunicació, l'intercanvi de coneixements i les proves conjuntes entre aquests dos equips.
Hi ha altres tipus d'equips més especialitzats, com mostra la imatge següent
Pel que fa a la importància del seu paper en el món de la informació, hi ha múltiples organitzacions i empreses especialitzades en la prestació de serveis en l'àmbit de la infosec, com ara proves de penetració i revisió d'aplicacions.
No només les organitzacions, sinó també els autònoms d'aquest camp han vist un augment interessant amb l'aparició dels programes Bug Bounty Hunting (programes llançats per empreses que recompensen els individus per informar de les vulnerabilitats que troben als seus sistemes).
Conclusió
Com a conclusió, hem d'afirmar que la guerra entre pirates informàtics ètics i poc ètics no és una cosa que es pugui acabar mentre la informació digital segueixi sent un recurs crític.
Tothom ha de ser conscient de les pràctiques de seguretat de la informació que no requereixen cap coneixement tècnic. I pensar en tenir una carrera en ciberseguretat és una opció interessant, ja que els pirates informàtics ètics són molt demandats i hi ha molts recursos per començar a aprendre de seguida! Així que, per acabar aquest article, us fem una pregunta. Alguna vegada t'ha vist afectat per un ciberatac com el phishing, o ja t'ha vist afectat per un ransomware o un virus? Feu-nos-ho saber!
