Un ciberataque (o ciberataque) se produce cuando se produce una acción no autorizada contra la infraestructura informática que compromete la confidencialidad, integridad o disponibilidad de su contenido.
La creciente dependencia de sistemas informáticos cada vez más complejos e interconectados en la mayoría de los ámbitos de la vida es el principal factor que causa la vulnerabilidad a los ciberataques, ya que prácticamente todos los sistemas informáticos tienen errores que pueden ser aprovechados por los atacantes. Aunque es imposible o poco práctico crear un sistema perfectamente seguro, existen muchos mecanismos de defensa que pueden hacer que un sistema sea más difícil de atacar.
Los perpetradores de un ciberataque pueden ser delincuentes, hacktivistas o estados. Intentan encontrar debilidades en un sistema, explotarlas y crear malware para llevar a cabo sus objetivos y entregarlo al sistema objetivo. Una vez instalado, el malware puede tener diversos efectos según su propósito. La detección de ataques cibernéticos suele estar ausente o retrasada, especialmente cuando el malware intenta espiar el sistema sin ser descubierto. Si se descubre, la organización objetivo puede intentar recopilar pruebas sobre el ataque, eliminar el malware de sus sistemas y cerrar la vulnerabilidad que permitió el ataque.
Los ataques cibernéticos pueden causar una variedad de daños a las personas, organizaciones y gobiernos objetivo, incluidas pérdidas financieras significativas y robo de identidad . Suelen ser ilegales como método delictivo y de guerra , aunque es difícil atribuir correctamente el ataque y los autores rara vez son procesados.
Un ciberataque puede definirse como cualquier intento de un individuo u organización "que utiliza una o más computadoras y sistemas informáticos para robar, exponer, cambiar, deshabilitar o eliminar información, o para violar sistemas de información informática, redes informáticas e infraestructuras informáticas". [1] Las definiciones difieren en cuanto al tipo de compromiso requerido; por ejemplo, requerir que el sistema produzca respuestas inesperadas o cause lesiones o daños a la propiedad. [2] Algunas definiciones excluyen los ataques llevados a cabo por actores no estatales y otras requieren que el objetivo sea un Estado. [3] Mantener un sistema seguro depende de mantener la tríada de la CIA : confidencialidad (sin acceso no autorizado), integridad (sin modificaciones no autorizadas) y disponibilidad. [4] Aunque la disponibilidad es menos importante para algunos servicios basados en web, puede ser el aspecto más crucial para los sistemas industriales. [5]
En los primeros seis meses de 2017, dos mil millones de registros de datos fueron robados o afectados por ciberataques, y los pagos de ransomware alcanzaron los 2 mil millones de dólares , el doble que en 2016. [6] En 2020, con el aumento del trabajo remoto como efecto de la Pandemia global de COVID-19, las estadísticas de ciberseguridad revelan un enorme aumento de datos pirateados y vulnerados. [7] Se prevé que el mercado mundial de la seguridad de la información alcance los 170.400 millones de dólares en 2022. [8]
Con el tiempo, los sistemas informáticos constituyen una parte cada vez mayor de la vida y las interacciones diarias. Si bien la creciente complejidad y conectividad de los sistemas aumenta la eficiencia, la potencia y la conveniencia de la tecnología informática, también hace que los sistemas sean más vulnerables a los ataques y empeora las consecuencias de un ataque, en caso de que ocurra. [9]
A pesar del objetivo de los desarrolladores de ofrecer un producto que funcione completamente según lo previsto, prácticamente todo el software y hardware contiene errores. [10] Si un error crea un riesgo de seguridad, se denomina vulnerabilidad . [11] [12] [13] A menudo se lanzan parches para corregir vulnerabilidades identificadas, pero aquellas que siguen siendo desconocidas ( días cero ), así como aquellas que no han sido parcheadas, siguen siendo susceptibles de explotación. [14] El proveedor de software no es legalmente responsable del costo si se utiliza una vulnerabilidad en un ataque, lo que crea un incentivo para fabricar software más barato pero menos seguro. [15] Las vulnerabilidades varían en su capacidad de ser explotadas por actores maliciosos. Los más valiosos permiten al atacante inyectar y ejecutar su propio código (llamado malware ), sin que el usuario sea consciente de ello. [11] Sin una vulnerabilidad que permita el acceso, el atacante no puede obtener acceso al sistema. [dieciséis]
La arquitectura y las decisiones de diseño de un sistema desempeñan un papel importante a la hora de determinar qué tan seguro puede ser. [17] El enfoque tradicional para mejorar la seguridad es la detección de sistemas vulnerables a ataques y reforzarlos para dificultar los ataques, pero es sólo parcialmente efectivo. [18] La evaluación formal del riesgo de compromiso de sistemas altamente complejos e interconectados no es práctica [19] y la pregunta relacionada de cuánto gastar en seguridad es difícil de responder. [20] Debido a la naturaleza siempre cambiante e incierta de las ciberamenazas, la evaluación de riesgos puede producir escenarios cuya mitigación sea costosa o inasequible. [21] A partir de 2019 [actualizar], no existen sistemas de defensa activa ampliamente utilizados y disponibles comercialmente para proteger los sistemas aumentando intencionalmente la complejidad o variabilidad de los sistemas para hacerlos más difíciles de atacar. [22] El enfoque de resiliencia cibernética , por otro lado, supone que se producirán infracciones y se centra en proteger la funcionalidad esencial incluso si las partes se ven comprometidas, utilizando enfoques como la microsegmentación , la confianza cero y la planificación de la continuidad del negocio . [23]
La mayoría de los ataques se pueden prevenir asegurándose de que todo el software esté completamente parcheado. Sin embargo, los sistemas completamente parcheados siguen siendo vulnerables a ataques que utilizan vulnerabilidades de día cero . [24] El mayor riesgo de ataque ocurre justo después de que una vulnerabilidad se haya divulgado públicamente o se haya lanzado un parche, porque los atacantes pueden crear exploits más rápido de lo que se puede desarrollar e implementar un parche. [25]
Las soluciones de software tienen como objetivo evitar el acceso no autorizado y detectar la intrusión de software malicioso. [26] Los usuarios de capacitación pueden evitar ataques cibernéticos (por ejemplo, no hacer clic en un enlace sospechoso o en un archivo adjunto de correo electrónico), especialmente aquellos que dependen de un error del usuario. [4] [27] Sin embargo, demasiadas reglas pueden hacer que los empleados las ignoren, anulando cualquier mejora de seguridad. Algunos ataques internos también se pueden prevenir mediante reglas y procedimientos. [27] Las soluciones técnicas pueden prevenir muchas causas de error humano que dejan los datos vulnerables a los atacantes, como cifrar todos los datos confidenciales, evitar que los empleados utilicen contraseñas inseguras, instalar software antivirus para prevenir malware e implementar un sistema de parches sólido para garantizar que todos Los dispositivos se mantienen actualizados. [28]
Hay poca evidencia sobre la efectividad y rentabilidad de las diferentes medidas de prevención de ciberataques. [26] Aunque prestar atención a la seguridad puede reducir el riesgo de ataque, lograr una seguridad perfecta para un sistema complejo es imposible, y muchas medidas de seguridad tienen costos o desventajas de usabilidad inaceptables. [29] Por ejemplo, reducir la complejidad y la funcionalidad del sistema es eficaz para reducir la superficie de ataque . [30] Desconectar los sistemas de Internet es una medida verdaderamente eficaz contra los ataques, pero rara vez es factible. [19] En algunas jurisdicciones, existen requisitos legales para la protección contra ataques. [31]
La cadena de ciberataque es el proceso mediante el cual los perpetradores llevan a cabo ataques cibernéticos. [32]
Una vez instalado el malware, su actividad varía mucho según los objetivos del atacante. [38] Muchos atacantes intentan espiar un sistema sin afectarlo. Aunque este tipo de malware puede tener efectos secundarios inesperados , suele ser muy difícil de detectar. [39] Las botnets son redes de dispositivos comprometidos que pueden usarse para enviar spam o llevar a cabo [40] ataques de denegación de servicio , inundando un sistema con demasiadas solicitudes para que el sistema las maneje a la vez, lo que hace que quede inutilizable. [34] Los atacantes también pueden utilizar computadoras para extraer criptomonedas , como Bitcoin , para su propio beneficio. [41]
El ransomware es un software que se utiliza para cifrar o destruir datos; Los atacantes exigen un pago por la restauración del sistema objetivo. La llegada de las criptomonedas que permiten transacciones anónimas ha provocado un aumento espectacular de las demandas de ransomware. [42]
El estereotipo de un hacker es el de un individuo que trabaja para sí mismo. Sin embargo, muchas amenazas cibernéticas son equipos de expertos con buenos recursos. [43] "Los crecientes ingresos de los ciberdelincuentes están generando cada vez más ataques, aumentando el profesionalismo y los atacantes altamente especializados. Además, a diferencia de otras formas de delito, el ciberdelito se puede llevar a cabo de forma remota y los ciberataques a menudo escalan bien". [44] Muchos ataques cibernéticos son causados o habilitados por personas internas, a menudo empleados que eluden los procedimientos de seguridad para realizar su trabajo de manera más eficiente. [45] Los atacantes varían ampliamente en su habilidad y sofisticación, así como en su determinación de atacar un objetivo en particular, en lugar de elegir de manera oportunista uno fácil de atacar. [45] El nivel de habilidad del atacante determina qué tipos de ataques está preparado para realizar. [46] Los atacantes más sofisticados pueden persistir sin ser detectados en un sistema reforzado durante un período prolongado de tiempo. [45]
Las motivaciones y los objetivos también difieren. Dependiendo de si la amenaza esperada es espionaje pasivo, manipulación de datos o secuestro activo, es posible que se necesiten diferentes métodos de mitigación. [39]
Los proveedores de software y los gobiernos están interesados principalmente en vulnerabilidades no reveladas ( días cero ), [47] mientras que los grupos del crimen organizado están más interesados en kits de explotación listos para usar basados en vulnerabilidades conocidas, [48] [49] que son mucho más baratos. [50] La falta de transparencia en el mercado causa problemas, como que los compradores no pueden garantizar que la vulnerabilidad de día cero no se vendió a otra parte. [51] Tanto los compradores como los vendedores se anuncian en la web oscura y utilizan criptomonedas para transacciones imposibles de rastrear. [52] [53] Debido a la dificultad de escribir y mantener software que pueda atacar una amplia variedad de sistemas, los delincuentes descubrieron que podían ganar más dinero alquilando sus exploits en lugar de usarlos directamente. [54]
El cibercrimen como servicio, en el que los piratas informáticos venden software preempaquetado que puede usarse para provocar un ciberataque, es cada vez más popular como actividad de menor riesgo y mayores ganancias que el pirateo tradicional. [53] Una forma importante de esto es crear una botnet de dispositivos comprometidos y alquilarla o venderla a otro cibercriminal. Diferentes botnets están equipadas para diferentes tareas, como ataques DDOS o descifrado de contraseñas. [55] También es posible comprar el software utilizado para crear una botnet [56] y bots que cargan el malware del comprador en los dispositivos de una botnet. [57] Los DDOS como servicio que utilizan botnets retenidos bajo el control del vendedor también son comunes y pueden ser el primer delito cibernético como producto de servicio, y también pueden cometerse mediante inundación de SMS en la red celular. [58] El malware y el ransomware como servicio han hecho posible que personas sin capacidad técnica lleven a cabo ciberataques. [59]
Los objetivos de los ciberataques van desde individuos hasta corporaciones y entidades gubernamentales. [9] Muchos ciberataques se frustran o no tienen éxito, pero aquellos que tienen éxito pueden tener consecuencias devastadoras. [19] Comprender los efectos negativos de los ciberataques ayuda a las organizaciones a garantizar que sus estrategias de prevención sean rentables. [26] Un artículo clasifica el daño causado por los ciberataques en varios dominios: [60]
Cada día se roban miles de registros de datos a particulares. [9] Según una estimación de 2020, el 55 por ciento de las violaciones de datos fueron causadas por el crimen organizado , el 10 por ciento por administradores de sistemas , el 10 por ciento por usuarios finales como clientes o empleados, y el 10 por ciento por estados o actores afiliados al estado. [65] Los delincuentes oportunistas pueden provocar violaciones de datos, a menudo utilizando malware o ataques de ingeniería social , pero normalmente seguirán adelante si la seguridad está por encima del promedio. Los delincuentes más organizados tienen más recursos y están más centrados en su objetivo de datos concretos . [66] Ambos venden la información que obtienen para obtener ganancias financieras. [67] Otra fuente de violaciones de datos son los piratas informáticos con motivaciones políticas , por ejemplo Anonymous , que apuntan a objetivos particulares. [68] Los piratas informáticos patrocinados por el Estado atacan a ciudadanos de su país o a entidades extranjeras, con fines tales como represión política y espionaje . [69]
Después de una filtración de datos, los delincuentes ganan dinero vendiendo datos, como nombres de usuario, contraseñas, redes sociales o información de cuentas de fidelización de clientes , números de tarjetas de débito y crédito , [67] e información de salud personal (ver filtración de datos médicos ). [70] Esta información puede usarse para una variedad de propósitos, como spam , obtención de productos con la lealtad de la víctima o información de pago, fraude de medicamentos recetados , fraude de seguros , [71] y especialmente robo de identidad . [41] Las pérdidas para los consumidores derivadas de una infracción suelen ser una externalidad negativa para la empresa. [72]
La infraestructura crítica es la que se considera más esencial, como la atención médica, el suministro de agua, el transporte y los servicios financieros, que ha estado cada vez más gobernada por sistemas ciberfísicos que dependen del acceso a la red para su funcionalidad. [73] [74] Durante años, los escritores han advertido sobre las consecuencias catastróficas de los ciberataques que no se han materializado a partir de 2023 [actualizar]. [75] Estos escenarios extremos aún podrían ocurrir, pero muchos expertos consideran que es poco probable que se puedan superar los desafíos de infligir daño físico o sembrar el terror. [75] Regularmente se producen ataques cibernéticos de menor escala, que a veces resultan en la interrupción de servicios esenciales. [76]
Hay poca evidencia empírica de daño económico (como daño a la reputación ) por violaciones, excepto el costo directo [77] para asuntos tales como esfuerzos de recuperación legales, técnicos y de relaciones públicas. [78] Los estudios que han intentado correlacionar los ataques cibernéticos con caídas a corto plazo en los precios de las acciones han encontrado resultados contradictorios: algunos encontraron pérdidas modestas, otros no encontraron ningún efecto y algunos investigadores criticaron estos estudios por motivos metodológicos. El efecto sobre el precio de las acciones puede variar según el tipo de ataque. [79] Algunos expertos han argumentado que la evidencia sugiere que las violaciones no generan suficientes costos directos o daños a la reputación para incentivar suficientemente su prevención. [80] [81]
Los sitios web y servicios gubernamentales se encuentran entre los afectados por los ciberataques. [76] Algunos expertos plantean la hipótesis de que los ataques cibernéticos debilitan la confianza de la sociedad o la confianza en el gobierno, pero a partir de 2023 [actualizar]esta noción solo tiene evidencia limitada. [75]
Responder rápidamente a los ataques es una forma eficaz de limitar el daño. Es probable que la respuesta requiera una amplia variedad de habilidades, desde investigación técnica hasta relaciones públicas y jurídicas. [82] Debido a la prevalencia de los ataques cibernéticos, algunas empresas planifican su respuesta a incidentes antes de que se detecte cualquier ataque y pueden designar un equipo de respuesta a emergencias informáticas para estar preparado para manejar los incidentes. [83] [84]
Muchos ataques nunca se detectan. De los que lo son, el tiempo medio de descubrimiento es de 197 días. [85] Algunos sistemas pueden detectar y marcar anomalías que pueden indicar un ataque, utilizando tecnología como antivirus , firewall o un sistema de detección de intrusos . Una vez que se sospecha una actividad sospechosa, los investigadores buscan indicadores de ataque e indicadores de compromiso . [86] El descubrimiento es más rápido y más probable si el ataque tiene como objetivo la disponibilidad de la información (por ejemplo, con un ataque de denegación de servicio ) en lugar de la integridad (modificar datos) o la confidencialidad (copiar datos sin cambiarlos). [87] Es más probable que los actores estatales mantengan el ataque en secreto. Los ataques sofisticados que utilizan exploits valiosos tienen menos probabilidades de ser detectados o anunciados, ya que el perpetrador quiere proteger la utilidad del exploit. [87]
La recopilación de pruebas se realiza de inmediato, dando prioridad a las pruebas volátiles que probablemente se borrarán rápidamente. [88] La recopilación de datos sobre la violación puede facilitar litigios o procesos penales posteriores, [89] pero solo si los datos se recopilan de acuerdo con las normas legales y se mantiene la cadena de custodia . [90] [88]
Contener el sistema afectado suele ser una alta prioridad después de un ataque y puede lograrse mediante el cierre, el aislamiento, el uso de un sistema sandbox para obtener más información sobre cómo el adversario [88] parchea la vulnerabilidad y reconstruye . [91] Una vez que se identifica la forma exacta en que se vio comprometido el sistema, generalmente solo hay una o dos vulnerabilidades técnicas que deben abordarse para contener la infracción y evitar que vuelva a ocurrir. [92] Luego, una prueba de penetración puede verificar que la solución funciona como se esperaba. [93] Si hay malware involucrado, la organización debe investigar y cerrar todos los vectores de infiltración y exfiltración, así como localizar y eliminar todo el malware de sus sistemas. [94] La contención puede comprometer la investigación y algunas tácticas (como cerrar servidores) pueden violar las obligaciones contractuales de la empresa. [95] Una vez que la infracción esté completamente contenida, la empresa puede trabajar para restaurar todos los sistemas a su funcionamiento. [96] Mantener una copia de seguridad y haber probado los procedimientos de respuesta a incidentes se utiliza para mejorar la recuperación. [23]
Atribuir un ciberataque es difícil y tiene un interés limitado para las empresas que son objeto de ciberataques. Por el contrario, los servicios secretos suelen tener un interés imperioso en descubrir si un Estado está detrás del ataque. [97] A diferencia de los ataques llevados a cabo en persona, determinar la entidad detrás de un ciberataque es difícil. [98] Otro desafío en la atribución de ataques cibernéticos es la posibilidad de un ataque de bandera falsa , donde el autor real hace parecer que alguien más causó el ataque. [97] Cada etapa del ataque puede dejar artefactos , como entradas en archivos de registro, que pueden usarse para ayudar a determinar los objetivos y la identidad del atacante. [99] Después de un ataque, los investigadores a menudo comienzan guardando tantos artefactos como pueden encontrar, [100] y luego intentan determinar al atacante. [101] Los organismos encargados de hacer cumplir la ley pueden investigar incidentes cibernéticos [102] aunque los piratas informáticos responsables rara vez son capturados. [103]
La mayoría de los Estados están de acuerdo en que los ciberataques están regulados por las leyes que rigen el uso de la fuerza en el derecho internacional [104] y , por lo tanto, es probable que los ciberataques como forma de guerra violen la prohibición de agresión. [105] Por lo tanto, podrían ser perseguidos como un delito de agresión . [106] También hay acuerdo en que los ataques cibernéticos se rigen por el derecho internacional humanitario , [104] y si tienen como objetivo infraestructura civil, podrían ser procesados como crimen de guerra , crimen contra la humanidad o acto de genocidio . [106] Los tribunales internacionales no pueden hacer cumplir estas leyes sin una atribución sólida del ataque, sin lo cual las contramedidas por parte de un Estado tampoco son legales. [107]
En muchos países, los ataques cibernéticos son perseguibles en virtud de diversas leyes dirigidas al delito cibernético . [108] La atribución del ataque más allá de toda duda razonable al acusado también es un desafío importante en los procesos penales. [109] En 2021, los estados miembros de las Naciones Unidas comenzaron a negociar un proyecto de tratado contra el cibercrimen. [110]
Muchas jurisdicciones tienen leyes de notificación de violaciones de datos que exigen que las organizaciones notifiquen a las personas cuyos datos personales se han visto comprometidos en un ataque cibernético. [111]