El hackeo del Ministerio de Hacienda es un gran ejemplo de cómo los ciberataques pueden tener consecuencias devastadoras. El ataque le está costando millones al país y también perjudica su reputación como lugar para hacer negocios.
El comportamiento de los atacantes revela que el ataque fue «dirigido» desde el principio. Desarrollaré este concepto más adelante en el artículo. Desde sus comunicados hasta hackeos adicionales a otras instituciones como el Ministerio de Ciencia, Tecnología y Telecomunicaciones o la Caja Costarricense del Seguro Social, este comportamiento revela una de las mayores lecciones a destacar en este artículo.
Todavía tenemos muchas preguntas sin respuesta, pero aquí hay algunas lecciones importantes para todos nosotros.
Nadie se salva de un ataque dirigido.
La diferencia entre un ataque oportunista y un ataque dirigido es que en el primero generalmente los atacantes operan de manera similar a los pescadores, arrojando su red y viendo que atrapan, mientras que en el segundo es más probable que solo ataquen si ven o tienen un objetivo claro y definido. Vemos entonces que se ha destinado recursos, tiempo y se ha definido un objetivo claro al cual atacar y no fue solo una víctima aleatoria, por lo que hablamos en este caso de un ataque dirigido.
Lo más preocupante de un ataque dirigido es que los atacantes están dispuestos a dedicar más tiempo y recursos para comprender el objetivo y lanzar un ataque más sofisticado y difícil de detectar, detener e incluso remediar.
Otro punto de gran preocupación es que la motivación y los incentivos de los atacantes son muy altos, y ellos lo saben. Estos pueden ser de carácter financiero, secretos nacionales o de propiedad intelectual que generarían un gran beneficio para estos.
La necesidad de una cultura de seguridad.
La mejor manera de crear una cultura de seguridad para todas las instituciones es mediante la realización de una capacitación regular de concientización sobre seguridad, que en última instancia generará conciencia y cultura. Al saber qué buscar, las personas pueden identificar mejor la actividad y los mensajes maliciosos. También tendrán más posibilidades de comprender rápidamente las amenazas potenciales y protegerse a sí mismas y a su organización.
Necesitamos poder tomar medidas preventivas contra ataques complejos como este. Es positivo que tengamos personal que pueda vigilar, pero eso debe ir de la mano con el monitoreo de la red y el monitoreo del tráfico en tiempo real. Estos pasos asegurarán una mayor tasa de éxito para bloquear este tipo de amenazas.
Las cosas suceden cuando no prestamos atención.
El hecho de que esto haya tenido lugar alrededor de semana santa dice mucho sobre este ataque, incluso si se contaba con todos los sistemas de seguridad necesarios, sin un recurso humano que preste atención, todos los otros mecanismos quedan inútiles, ya que, el eslabón más débil y vulnerable, siempre es el usuario. Simplemente la gente baja la guardia cuando está distraída y si los atacantes son pacientes, tienen muchas más posibilidades de pasar desapercibidos.
Todo sistema tiene sus fallas, por lo que se debe estar listo para ellas de antemano.
Si los atacantes están lo suficientemente determinados, casi siempre pueden encontrar una forma de entrar. Como tal, la seguridad debe equilibrarse con la conveniencia, por lo que la realidad es que se producirán filtraciones y vulnerabilidades inevitablemente. Al aceptar esa verdad, se puede planificar de manera efectiva para asegurar que se pueda lidiar con los incidentes de seguridad cuando surjan. Los planes y políticas claros permiten una rápida mitigación de las vulnerabilidades para que se pueda minimizar las interrupciones y volver a estar en funcionamiento lo más rápido posible.
Algunas de estas observaciones y lecciones pueden incluso parecer obvias para un principiante en seguridad cibernética, pero nuestras instituciones gubernamentales parecen no tomarlas en serio.
Sumado al bochorno internacional, tenemos los perjuicios económicos y otros que este hecho ha causado en muchos costarricenses, quienes, muchos de nosotros, vemos al gobierno como el principal culpable.
