Seguridad en Internet - Preguntas frecuentes sobre ciberseguridad

La ciberseguridad es el área de actuación que tiene como objetivo garantizar la seguridad y la protección de la información y la infraestructura tecnológica generalmente asociada a la Seguridad en Internet. Esta tecnología puede ser de carácter corporativo, como servidores, bases de datos, enrutadores, cortafuegos, entre otros, pero también se enfoca en información individual, como computadoras, dispositivos móviles o incluso dispositivos IdC (Internet de las Cosas).

La protección de datos es, cada vez más, un área de vital importancia no solo para las empresas, sino también desde el punto de vista personal, ya que el uso de las tecnologías de la información crece exponencialmente, elevando así la necesidad y el riesgo de seguridad de la información.

La Ciberseguridad es un área de actuación muy amplia con aplicación no solo limitada a las tecnologías de la información, sino también al componente de procesos y personas (usuarios), ya que estos también son potenciales vectores de ataque y explotación de potenciales vulnerabilidades con técnicas, como por ejemplo, la Ingeniería social.

La Ciberseguridad es la práctica que trabaja consistentemente para evaluar el riesgo y tomar decisiones estructuradas de gestión y mitigación de riesgos, con el fin de minimizarlos a un nivel aceptable, teniendo en cuenta su beneficio.

Alrededor del 70 % de los atacantes tienen como pura intención el Cibercrimen, y el resto se integra por Activistas Online (Hacktivismo), espionaje, entre otros.

En el contexto de los Ciberdelincuentes, existe una tendencia de crecimiento de grupos organizados, estructurados y financiados, con el propósito de obtener ganancias económicas. Estos grupos actúan como una verdadera empresa, con profesionales dedicados al Crimen Informático y con áreas de especialización, según los distintos tipos de ciberataques y objetivos.

Imagina un escenario en el que hay un robo en una casa con el objetivo de llevarse tus bienes materiales. En lenguaje común, el ataque sería descrito como un “robo al hogar”, sin embargo, el robo al hogar tuvo un vector de entrada, imagina que hubiera sido la ruptura de la cerradura.
Así, en términos de ciberataques, los siguientes vectores de ataque son muy comunes:

- Explotación de vulnerabilidades tecnológicas (conocidas y que podrían resolverse con una actualización, o desconocidas y denominadas 0-Day) - Explotación de las debilidades de autenticación - Explotación del diseño inseguro de arquitecturas y sistemas - Explotación de procesos débiles - Explotación de fallas en los medios de acceso a Internet - Explotación de código/aplicaciones no seguras - Explotación de protocolos inseguros - Explotación de ausencia de controles tecnológicos - Explotación de la falta de conocimiento o preparación del vector humano a través de ataques de ingeniería social - Entre otros

Los términos que se utilizan para describir los ataques más comunes, específicamente, Ransomware, Phishing, Malware, Eavesdropping, Sql Injection, Zero-Day, entre otros, siempre aprovechan uno o más vectores de ataque detallados anteriormente.

Las consecuencias directas de un ciberataque suelen estar relacionadas con la violación de la confidencialidad, integridad o disponibilidad de los recursos en cuestión. Las consecuencias indirectas pueden ser diversas, dependiendo del contexto. Algunos ejemplos son: pérdida financiera, pérdida de ventaja competitiva, daño a la reputación, pérdida de información digital, robo de identidad, incapacidad para producir o trabajar e incluso hay ejemplos de empresas que han llegado a la insolvencia debido a un Ciberataque exitoso.

La protección resulta de un conjunto de medidas que deben seleccionarse de acuerdo con el contexto de qué y de quién queremos proteger.

Es fundamental realizar un análisis transversal de riesgos, identificar las amenazas y el nivel de susceptibilidad a estas y, en función del impacto potencial, definir medidas de mitigación. Desde el punto de vista empresarial, la adopción de la Norma Internacional ISO 27001 es un excelente punto de partida, mientras que, desde el punto de vista personal, los usuarios deben buscar aumentar su conocimiento y nivel de resiliencia, a través de conocimientos generales o a través de cursos de concientización sobre seguridad de la información.

Se espera que con el uso creciente de las tecnologías de la información que hemos venido observando, el delito cibernético también siga esta tendencia de crecimiento.

Además del patrón observado de aumento del crimen, también se espera que los atacantes estén cada vez más organizados, estructurados y especializados, como ocurre con el crimen tradicional.

Mientras que en las décadas de 1990 y 2000 el objetivo preferente eran las áreas corporativas de banca y seguros, en la actualidad los Ciberdelincuentes han ido diversificando sus prácticas mucho más allá de estas áreas objetivo, y actualmente cualquier entidad o persona puede ser objetivo del Cibercrimen.

La ingeniería social es el nombre que se otorga al conjunto de técnicas de persuasión que tienen como objetivo que los usuarios realicen o impulsen acciones en línea con los objetivos de los atacantes.

Los ataques de ingeniería social son aplicables en el contexto de la ciberseguridad, ya que pueden aplicarse en combinación con ataques de carácter tecnológico. Un ejemplo de esto es el ataque Phishing, en el que se engaña a un usuario determinado para que proporcione información o acceda a recursos, bajo la ilusión de hablar con una entidad confiable.

El Reglamento de Protección de Datos (RGPD) es la normativa europea que se centra en la privacidad y la protección de los datos personales. Además, su propósito es velar por los derechos de los ciudadanos y protegerlos de los riesgos y amenazas relacionados con el suministro o uso indebido de sus datos.

El reglamento legisla sobre varios derechos en defensa de los titulares de datos personales, en particular, el derecho a la transparencia, información, acceso, rectificación, eliminación, entre otros.Las entidades que deben regirse a la normativa, por tanto, tienen la responsabilidad legal de proporcionar los recursos que garanticen estos derechos, además de implementar las medidas necesarias para asegurar la adecuada protección de los datos de los titulares.

Esta protección adecuada, detallada en el reglamento, en el artículo 32, se refiere a “la capacidad de asegurar la confidencialidad, integridad, disponibilidad y resiliencia permanente de los sistemas y servicios de tratamiento” y es precisamente en este punto en el cual se establece la fuerte relación entre el RGPD y el área de Ciberseguridad.

Por lo tanto, es imperativo aplicar las prácticas y controles asociados con la Ciberseguridad, específicamente, en lo que respecta al Control de Acceso, Cifrado de Datos, Respaldos, Resiliencia, Pruebas, entre otros procedimientos fundamentales para garantizar la finalidad de las medidas de protección de los datos personales.

Existe así una gran intersección entre estas dos áreas, la Privacidad y la Ciberseguridad, aunque pueden tener propósitos diferentes, ya que una parte considerable de los controles para asegurar la Privacidad de los Datos implica la implementación de controles de Seguridad de la Información. Por estas razones, el RGPD ha reforzado efectivamente la importancia de la Ciberseguridad.

El candado de la página web proporciona al usuario una garantía de la autenticidad de la página web que se está visitando, en relación con el dominio de Internet de la página en cuestión, así como también garantiza la encriptación de los datos transmitidos y recibidos desde esa página, que es la función efectiva del certificado digital, que está representada por el candado. A pesar de estas propiedades de seguridad (autenticidad del dominio y encriptación de datos), el certificado no asegura, entre otros riesgos, que la página sea seguro para administrar tus datos o si la página es confiable para realizar transacciones financieras.

Como ejemplo, imagina que vas a comprar un artículo en una tienda que no conoces. Es verdad que, si la tienda tiene un guardia en la puerta seguro que te aportará un mayor grado de fiabilidad, pero eso no significa necesariamente que los artículos que comprarás en esa tienda no sean, por ejemplo, defectuosos o falsificados.

El phishing es una forma de ciberataque en el que los atacantes intentan, a través del correo electrónico, aplicaciones o páginas web, adquirir de forma ilícita datos de los usuarios, ya sean contraseñas, datos financieros o bancarios, números de tarjetas de crédito, entre otra información confidencial. El objetivo no es más que manipular a los usuarios y obtener estos datos privados para suplantación de identidad, robo de cuentas bancarias, etc.

Generalmente, los ataques de phishing se realizan a gran escala, lo que significa que los atacantes envían un correo electrónico (aparentemente proveniente de una entidad legítima en el mercado) a miles de usuarios, en vez de un phishing dirigido a objetivos específicos, ya sean individuos o empresas.

Para evitar ser víctima de este tipo de ataques, los usuarios deben estar atentos a los correos electrónicos enviados por personas o entidades desconocidas; no deben abrir archivos adjuntos sospechosos o archivos adjuntos que no esperan recibir y antes de abrir cualquier enlace, siempre deben confirmar que es confiable.

Para protegerse contra nuevas estafas de phishing, los usuarios también deben instalar y mantener siempre actualizado su software de protección, es decir, virus, malware, entre otros. Más información.

El vishing (combinación de Voice y Phishing) es una variante del phishing, pero realizada a través de llamadas de voz, en las que el atacante llama a la víctima y se hace pasar por otra persona o entidad, con el objetivo de adquirir información confidencial o inducir acciones con el fin de adquirir estos datos. Estas llamadas telefónicas pueden ser realizadas por una sola persona o por un sistema automatizado.

El smishing, a su vez, representa un ataque similar al phishing o vishing, pero en este contexto los mensajes SMS se utilizan con la misma intención: lograr que el usuario realice una determinada acción para obtener datos o accesos ilegítimos.

Para evitar este tipo de ataques, se debe tener cuidado siempre que se responda a números desconocidos, es mejor anotar el nombre de la entidad que llama, buscar el número en Internet y llamar directamente. Nunca se debe suponer que la llamada es genuina solo porque tienen los datos personales correctos; no se debe informar datos confidenciales (es decir, financieros o de acceso a través de este medio); nunca debe realizar ciertas acciones o pagos durante la llamada, y siempre es mejor desconfiar y solicitar información técnica (a la que solo tendría acceso un empleado confiable) o, si la duda persiste, incluso colgar el teléfono y buscar el contacto de la entidad y validar que el número es, efectivamente, fiable. Más información.

La mayoría de las páginas web y servicios requieren o aconsejan a los usuarios que utilicen contraseñas seguras para que los atacantes no puedan descifrarlas.

De hecho, hay tantas páginas web que solicitan contraseñas, que a veces sería más práctico poner siempre la misma contraseña, sin embargo, esto es un gran error, ya que quien pueda adivinar la contraseña de un servicio podrá acceder a todos los demás.

Una de las técnicas que utilizan los atacantes para tratar de adivinar las contraseñas es el llamado Ataque de Diccionario, en el que se recurre al diccionario de forma automatizada para tratar de identificar la contraseña. Por lo tanto, nunca hay que utilizar nombres, secuencias o cosas obvias; hay que utilizar contraseñas largas y complejas, mezclar mayúsculas, minúsculas y símbolos; procurar cambiar las contraseñas con frecuencia; no revelarlas nunca a nadie y evitar utilizar contraseñas usadas anteriormente. Más información.

Una red wifi es generalmente un medio de acceso a Internet. Con las configuraciones adecuadas de seguridad, una red wifi goza de una protección adecuada, y este es generalmente el escenario de las redes wifi personales que tenemos en nuestros hogares, sin embargo, en muchos contextos, terminamos utilizando redes wifi que no nos pertenecen o cuya configuración no ha sido efectivamente validada. En estos contextos, estamos accediendo a recursos a través de un medio que puede no ser del todo fiable, lo que supone múltiples riesgos para los usuarios, entre ellos la posibilidad de que un elemento con intenciones maliciosas pueda, al límite, interceptar o vigilar el contenido de su conexión en este medio de acceso.

Por lo tanto, no todas las redes wifi son seguras y debemos evaluar muy bien cada vez que nos conectamos a una red wifi pública, y qué tipo de transacciones y aplicaciones utilizamos en este contexto.

Otro riesgo significante es que, cuando nos conectamos a esta red wifi, dejamos nuestro equipo más expuesto a todos los demás usuarios de esta red wifi, y este riesgo también debe tenerse en cuenta, ya que podría representar la posibilidad de intrusión o infección del equipo con software malicioso.

En los últimos años, las compras en línea han experimentado un gran auge, debido a la comodidad y rapidez que ofrecen, pero es importante que los usuarios sepan cómo protegerse. En primer lugar, deben comprobar que la dirección de la web tiene las siglas HTTPS en la URL, ya que esto garantiza la legitimidad del comercio electrónico, así como la encriptación de los datos intercambiados, para que las transacciones se puedan realizar de forma segura (también puedes leer la Política de Privacidad). Evita realizar compras en línea a través de redes wifi públicas, siempre es más seguro hacerlo a través de redes privadas, que con seguridad son más confiables. Sin embargo, si realizas una comprar en un punto de acceso público, opta por redes conocidas, aunque sean gratuitas. También es conveniente optar por insertar directamente la dirección oficial de la página web, en lugar de acceder desde un enlace y, si se sospecha de una página web, toma las medidas adecuadas.

Otro aspecto importante es crear contraseñas seguras y fuertes, cambiándolas con regularidad, así como comprobar los extractos de tus cuentas.

Actualiza regularmente el software de seguridad y coloca la configuración referente a las actualizaciones en modo automático.

En cuanto al pago, antes de realizarlo, siempre debes leer las condiciones generales y las condiciones de venta. Con respecto a la forma de pago, hay que optar por la que ofrezca más seguridad y hay que tener en cuenta que si se opta por las tarjetas, las más seguras son las que requieren una autentificación adicional.

Por último, si vas a comprar tarjetas de regalo, asegúrate de que la página web tiene una política de garantía sólida.

En cualquier caso, es importante estar informado sobre los derechos del consumidor: Compras: derechos del consumidor en la UE - Tu Europa (europa.eu)

El Formjacking es otra forma de ciberataque que se produce cuando los atacantes inyectan código JavaScript malicioso para manipular una página web y poder modificar el funcionamiento de su página de pago. Este tipo de ataque supone una grave amenaza, tanto para las empresas como para los usuarios, ya que se utiliza para robar datos de tarjetas de crédito y datos personales y confidenciales de los usuarios.

Para evitar este tipo de amenazas, los usuarios pueden tomar algunas medidas, como elegir comprar en páginas web que conozcan; indagar sobre la experiencia que han tenido otros usuarios en el pasado; comprobar la URL de la página y ver si la barra de direcciones indica "HTTPS" y no "HTTP" y dar solo la información estrictamente necesaria para proceder a la transacción. Más información.

¿Te gustaría ver más preguntas en esta guía de Ciberseguridad?
Envía tu sugerencia a info@integrity.pt.