El pasado fin de semana pasará a la historia como el fin de semana de Wannacry. La vulnerabilidad reconocida como CVE 2017-010 y parcheada por Microsoft a mediados de marzo estaba siendo utilizada por los equipos de espionaje cibernético de la NSA desde hacía tiempo, era una vulnerabilidad existente pero que no conocía nadie. Lo que en el argot de la ciberseguridad se conocer como un Zero-day.
El problema con los zero-days es que al no conocerse, tampoco existe remedio conocido y un ciberataque puede propagar un programa que aproveche esta vulnerabilidad para propósitos malvados. También es cierto que las principales formas de propagación, al margen de las utilizadas por las propias vulnerabilidades, son el desconocimiento, buena voluntad a veces, e incluso imprudencia en muchas otras ocasiones.
A pesar de que los programas malignos, como los gusanos de los que forma parte Wannacry, aprovechan las vulnerabilidades para propagarse, existe “una chispa que prende la yesca”, un mensaje de correo que llega con un adjunto, raro, inesperado, con un enlace a un sitio que provoca curiosidad o es vehículo para un engaño, son las artimañas utilizadas para activar este tipo de ataques. En otras palabras: la yesca que prende la chispa es el factor humano. Alguien tiene que activar el gusano y éste el usuario: el “primo” de la estafa, el sujeto a engañar.
Los incidentes por “ransomware” se han conocido a través del “mensaje de Correos”, el “Virus de hacienda” o el “virus de la policía”. Generalmente son engaños fáciles de descubrir, aparte de por su redacción nada cuidada, por no venir a cuento, pero la yesca arde y el factor humano es muy poderoso. En esta ocasión el ataque ha ido más allá debido al zero-day, pero no nos engañemos, tan importante como la yesca del zero- day es la chispa del usuario que lo activa.
Quizá el mayor problema es que las iniciativas de ciberseguridad han considerado al usuario un elemento que trabaja a favor de los atacantes, principalmente por desconocimiento o falta de pericia. El resultado es que siempre tenemos a los usuarios en contra, y son muchos. Hay una corriente de ideas que proclama que si tratamos a los usuarios como niños, se comportarán como niños. Es frecuente escuchar “yo no hice nada”, “estaba así cuando llegué” y es muy difícil cambiar esta situación sin poner al usuario de nuestra parte.
Los programas de concienciación convierten al usuario, de ser el eslabón más débil, el más fácil de engañar a ser el principal punto de defensa, el “human firewall”, tan solo con familiarizarse con las técnicas que utilizan los atacantes para propagar gusanos como Wannacry. Nuestros programas de concienciación incluyen entrenamientos, píldoras de conocimiento y ejemplos prácticos para preparar a los usuarios ante los ciberengaños y convertirlos en el primer punto de defensa.
SOGETI ofrece todos los recursos – a través de nuestros servicios de ciberseguridad – para proteger a tu empresa de los ciberataques y conseguir así los objetivos de negocio.
Tu centro de expertise en España sobre Quality Engineering y Testing 
0 comments on “La yesca”