- Microsoft publica la segunda edición de Cyber Signals, un informe que rastrea el nuevo modelo de negocio del ransomware.
- Los datos del informe indican un aumento del “ransomware como servicio” y su evolución hasta convertirse en un modelo de negocio dominante.
- La enorme lista de credenciales robadas y disponibles online demuestra que, sin defensas básicas como la autenticación multifactor (MFA), las organizaciones están en desventaja a la hora de combatir las rutas de intrusión vía ransomware antes de del despliegue del malware.
- Microsoft incluye recomendaciones para que las empresas pueden anticiparse mejor a las amenazas de extorsión e impedirlas.
Microsoft ha publicado la segunda edición de Cyber Signals, un informe que realiza de forma periódica sobre ciberamenazas y que muestra las tendencias en seguridad y ciberdelincuencia. La realización de este documento es posible gracias a la información que Microsoft recoge de los 43 billones de señales de seguridad que analiza diariamente y al trabajo de sus más de 8.500 expertos de seguridad con que cuenta en todo el mundo.
La especialización y consolidación del cibercrimen han impulsado el ransomware como servicio (RaaS), convirtiéndose en un modelo de negocio dominante, que hace que un mayor número de delincuentes, independientemente de sus conocimientos técnicos, pueda desplegar este tipo de malware. Esta edición de Cyber Signals ofrece una visión sobre cómo está evolucionando la extorsión en el cibercrimen.
El RaaS permite a los ciberdelincuentes comprar el acceso tanto a las payloads del ransomware como a la fuga de datos y a la infraestructura de pago. Los grupos cibercriminales de ransomware son, en realidad, programas RaaS como Conti o REvil, utilizados por muchos actores diferentes. Esta “industrialización” de la ciberdelincuencia ha creado funciones especializadas, como los brokers de acceso que venden la posibilidad de acceder a las redes. El RaaS reduce drásticamente la barrera de entrada para los atacantes, es decir, les facilita el camino. Dado que los actores de RaaS venden su experiencia a cualquiera que esté dispuesto a pagar, los ciberdelincuentes en ciernes, sin siquiera tener la destreza técnica necesaria para utilizar puertas traseras o diseñar sus propias herramientas, pueden acceder a una víctima, utilizando sencillamente aplicaciones de pruebas de intrusión y de administración de sistemas ya preparadas para realizar ataques.
La interminable lista de credenciales robadas y disponibles online implica que, sin defensas básicas como la autenticación multifactor (MFA), las organizaciones están en desventaja a la hora de combatir los vectores de entrada del ransomware antes del despliegue del malware. Una vez que los ciberdelincuentes saben que el acceso a la red de una empresa está a la venta, los actores de la amenaza RaaS pueden crear una cadena de ataques, que les permita a ellos mismos y a otros beneficiarse de dichas vulnerabilidades.
Aunque muchas organizaciones consideran que es demasiado caro implantar protocolos de seguridad optimizados, este refuerzo, en realidad, ahorra dinero. No sólo los sistemas serán más seguros, sino que gastarán menos en costes de seguridad y emplearán menos tiempo en responder a las amenazas.
Las principales conclusiones del informe son las siguientes:
- Las empresas están experimentando un aumento tanto del volumen como de la sofisticación de los ciberataques. El Informe de Delitos en Internet 2021 de la Oficina Federal de Investigación de Estados Unidos señaló que el coste de la ciberdelincuencia en EE. UU. ascendía a más de 900 millones de dólares [1]. Por su parte, la Agencia de Ciberseguridad de la Unión Europea (ENISA) informó que, entre mayo de 2021 y junio de 2022, los actores de amenazas de ransomware robaron unos 10 terabytes de datos al mes, y que el 58,2% de los archivos robados incluían datos personales de los empleados [2].
- Más del 80% de los ataques de ransomware pueden rastrearse como errores de configuración comunes en el software y los dispositivos.
- La Unidad de Crímenes Digitales de Microsoft eliminó más de 531.000 URLs y 5.400 kits de phishing entre julio de 2021 y junio de 2022, lo que llevó a la identificación y cierre de más de 1.400 cuentas de correo electrónico maliciosas utilizadas para recopilar credenciales de clientes robadas.
- La media del tiempo que tarda un atacante en acceder a los datos privados de una persona víctima de un correo electrónico de phishing es de una hora y 12 minutos.
- En el caso de las amenazas a endpoints, si un dispositivo se ve comprometido, el tiempo medio para que un atacante comience a moverse lateralmente dentro de una red corporativa es de una hora y 42 minutos.
Recomendaciones de Microsoft
Para combatir el reto del ransomware, se requieren nuevos niveles de colaboración. La mejor defensa comienza por la claridad y la priorización, y compartiendo más información entre los sectores público y privado, de forma que se contribuya a construir un mundo más seguro para todos.
Entre las principales recomendaciones de Microsoft se encuentran:
- Construir un protocolo de higiene de credenciales. Cuando los ciberataques no vienen de frente, no sabemos cómo actuar ante los peligros que presentan. Los ciberatacantes utilizan diversas técnicas para propagarse progresivamente a través de una red a medida que buscan activos y datos clave. Por tanto, es imprescindible desarrollar una segmentación lógica de la red basada en los privilegios para limitar el movimiento lateral.
- Auditar la exposición de credenciales. Para prevenir los ataques de ransomware y la ciberdelincuencia en general, es fundamental que los equipos de seguridad de TI y los SOC trabajen juntos para reducir los privilegios administrativos y tener más control del nivel de exposición de sus credenciales.
- Reducir la superficie de ataque. Para evitar las técnicas de cibercrimen más comunes utilizadas en los ataques de ransomware, se recomienda el establecimiento de reglas de reducción de la superficie de ataque. Las organizaciones con reglas claramente definidas han podido mitigar estos ataques en sus etapas iniciales.
Para obtener más información sobre el panorama del RaaS y su evolución, consulte el microsite y el informe de Cyber Signals, así como el post sobre este tema en el blog de Microsoft Security. Para entender mejor el negocio de la ciberdelincuencia y cómo pueden protegerse las empresas, visite el blog de Microsoft Security.
Más recomendaciones de Microsoft para protegerse del “ransomware como servicio” aquí.
[1]. Internet Crime Report, Federal Bureau of Investigation. 2021.
[2]. Ransomware: Publicly Reported Incidents are only the tip of the iceberg, European Union Agency for Cybersecurity. July 29, 2022.
