El hackeo espacial, uno de los riesgos para 2022

WatchGuard Threat Lab hace un ejercicio relacionado con los principales titulares sobre seguridad que podríamos ver en 2022, y explica cómo los hackers podrían dirigirse al espacio, cómo se explotarán las amenazas a dispositivos móviles, qué pasará con los ciberseguros o la arquitectura denominada Zero-Trust.

El 'malware' para los teléfonos móviles, sobre todo para los que usan el sistema operativo Android, no ha alcanzado la misma magnitud que el 'malware' tradicional para ordenadores de sobremesa, en parte gracias a mecanismos como el arranque seguro, que dificulta la creación de amenazas que no requieran la interacción de la víctima ('zero touch').

Sin embargo, los dispositivos móviles representan un objetivo muy atractivo para los equipos de ciberseguridad de los Estados, tanto por las capacidades de los dispositivos como por la información que contienen, como han señalado desde WatchGuard.

Los grupos que venden a organizaciones apoyadas por los Estados son los principales responsables de la financiación de gran parte de las sofisticadas amenazas y vulnerabilidades dirigidas a los dispositivos móviles, como el reciente programa espía para móviles Pegasus.

Ocurre, como en el caso de Stuxnet, que cuando se filtran estas amenazas más sofisticadas, las organizaciones criminales aprenden de ellas y copian las técnicas de ataque. Por cosas como esta, la empresa de ciberseguridad recoge en sus predicciones para el año 2022 un aumento de los ataques móviles sofisticados por parte de los ciberdelincuentes.

También cree que se conocerá el próximo año un 'hackeo' en el espacio, como consecuencia del creciente interés de los gobiernos y del sector privado en la carrera espacial y la reciente investigación sobre ciberseguridad en las vulnerabilidades de los satélites.

Aunque puede parecer que los satélites pueden estar fuera del alcance de la mayoría de las amenazas, los investigadores han descubierto que pueden comunicarse con ellos utilizando un equipo de unos 300 dólares. Además, es posible que los satélites más antiguos no se hayan centrado en los controles de seguridad modernos.

Mientras tanto, muchas empresas privadas han iniciado su carrera espacial, lo que aumentará en gran medida la superficie de ataque en órbita, como ya ocurre con los miles de satélites lanzados por Starlink para su servicio de Internet.

El 'phishing' -suplantación de una fuente de confianza- basado en mensajes de texto, conocido como 'SMSishing', ha aumentado de forma constante a lo largo de los años. Al igual que la ingeniería social del correo electrónico, comenzó con mensajes de señuelo no dirigidos que se enviaban como 'spam' a grandes grupos de usuarios, pero últimamente ha evolucionado hacia textos más personalizados que se hacen pasar por mensajes de alguien conocido.

Paralelamente, las plataformas de mensajes cortos de texto también han evolucionado. Los usuarios, especialmente los profesionales, se han dado cuenta de la inseguridad de los mensajes de texto SMS sin cifrar, lo que ha llevado a que trasladen sus mensajes de texto empresariales a aplicaciones alternativas como WhatsApp, Facebook Messenger e incluso Teams o Slack.

Y allá donde van los usuarios legítimos, los ciberdelincuentes los siguen. Como resultado, estamos empezando a ver un aumento en los informes de mensajes maliciosos tipo 'spear SMSishing' a plataformas de mensajería como WhatsApp, y según las predicciones de la compañía de ciberseguridad, se duplicarán en 2022.

La tendencia en la validación digital lleva a la eliminación de las contraseñas, como ya ocurre en Windows. Sin embargo, para WatchGuard el enfoque actual basado en un solo factor para los inicios de sesión del sistema operativo "simplemente repite los errores del pasado".

Windows 10 y 11 permitirán configurar una autenticación completamente sin contraseña, utilizando opciones como Hello (la biometría de Microsoft), un token de hardware Fido o un correo electrónico con una contraseña de un solo uso (OTP).

En este contexto, la compañía de ciberseguridad cree que la única solución robusta para la validación de la identidad digital es la autenticación multifactor. "Microsoft (y otros) podrían haber resuelto realmente este problema haciendo que MFA fuera obligatoria y fácil en Windows. Se puede seguir utilizando Hello como un factor de autenticación, pero las organizaciones deberían obligar a los usuarios a emparejarlo con otro, como una aprobación 'push' a su teléfono móvil que se envía a través de un canal cifrado".

Predicen que la autenticación sin contraseña de Windows despegará en 2022, pero con la amenaza de que los 'hackers' y los investigadores encuentren formas de eludirla, lo que demostraría "que no hemos aprendido de las lecciones del pasado".

Las aseguradoras de ciberseguridad se han dado cuenta de que los costes del pago para cubrir a los clientes contra la amenaza que supone el 'ransomware' han aumentado. De hecho, según un informe de S&P Global, el ratio de siniestralidad de las ciberaseguradoras aumentó por tercer año consecutivo en 2020 en 25 puntos, es decir, más del 72 por ciento. Esto hizo que las primas de las pólizas de ciberseguro independientes aumentaran un 28,6 por ciento en 2020, hasta alcanzar los 1.620 millones de dólares.

Como resultado, han aumentado los requisitos de ciberseguridad para los clientes. Las aseguradoras ahora escanean y auditan activamente la seguridad de los clientes antes de ofrecer una cobertura relacionada con ciberseguridad, un enfoque que impulsará un nuevo planteamiento por parte de las empresas para mejorar las defensas en 2022.

Por otra parte, la arquitectura de seguridad de la información 'Zero Trust' (confianza cero) ha ganado popularidad. Se reduce básicamente a asumir que un atacante ya ha puesto en peligro uno de los activos o usuarios de la organización, y a diseñar la red y las protecciones de seguridad de forma que se limite su capacidad de moverse lateralmente hacia sistemas más críticos.

WatchGuard señala que aunque este enfoque parezca nuevo, se basa en principios de seguridad existentes desde hace mucho tiempo, como la verificación de identidades sólidas y la idea del mínimo privilegio. Pero que para 2022, la mayoría de las organizaciones promulgarán finalmente algunos de los conceptos de seguridad más antiguos en todas sus redes, y lo llamarán 'Zero Trust'.