Más del 99% de los ataques en el último año se basaron en errores humanos

A pesar de toda la atención prestada a las vulnerabilidades del software (hay docenas, si no cientos, publicadas diariamente, de las cuales solo unas pocas se publican en las noticias), el factor en cuestión para la seguridad es "el factor humano", como afirma el Informe Factor Humano 2019. Los resultados tienen sentido: si bien los ordenadores pueden automatizar tareas, no son autónomas.

"En lugar de atacar la infraestructura y los sistemas informáticos, los actores de amenazas se centraron en las personas, sus roles dentro de una organización, los datos a los que tenían acceso y su probabilidad de 'hacer clic aquí'", indica el informe. "Ya sea atacando a gran escala en grandes campañas indiscriminadas, persiguiendo industrias o geografías específicas con campañas más específicas, o buscando a una sola persona dentro de una organización, los atacantes y sus patrocinadores siempre encontraron que los seres humanos son los vectores más efectivos para infiltrarse organizaciones y facilitar el fraude y el robo".

La suplantación de identidad suele ser la forma en que toman estos ataques: la recolección genérica de credenciales de correo electrónico representó casi una cuarta parte de todos los ataques de suplantación de identidad, con Office 365 y los ataques de suplantación de identidad de las instituciones financieras que completan los tres primeros.

Del mismo modo, los ataques de impostores (término general para la suplantación de dominios), dominios parecidos y otros métodos para el "engaño de identidad" estuvieron en su punto más alto en 2018 en los campos de ingeniería, automotriz y educación. "Es probable que refleje las complejidades de la cadena de suministro fácilmente explotadas en los dos primeros objetivos y las vulnerabilidades de los usuarios de alto valor, especialmente entre las poblaciones de estudiantes, en el último", según el informe.

A pesar de las expectativas convencionales, las personas de más alto perfil dentro de una organización no son necesariamente los objetivos de más alto perfil para los piratas informáticos. Se propone el concepto de "personas muy atacadas" (VAP) que son "identidades fácilmente descubiertas u objetivos de oportunidad como cuentas públicas compartidas". El informe señala que el 36% de los VAP identificados se pueden encontrar "a través de sitios web corporativos, redes sociales, publicaciones y más", mientras que solo el 7% de los ejecutivos de nivel C que también son VAP se pueden encontrar en línea.

Los sitios web corporativos son la fuente más frecuente de VAP, con poco más del 40%, con los "archivos disponibles públicamente" en segundo lugar. Los servicios de redes sociales representaron menos del 5% de las fuentes.

Del mismo modo, el tamaño de una organización no es un indicador sólido de la probabilidad de que sea atacada. "Si bien las organizaciones más grandes pueden ser atractivas para sus bolsillos profundos, las compañías más pequeñas pueden ser más vulnerables debido a la relativa falta de controles y conciencia, que crean resultados potenciales lucrativos para los actores de amenazas", indicó el informe.

Descubre la innovación

Para asegurar el éxito empresarial, ahora y a futuro, es imprescindible maximizar el retorno de la inversión existente en software, a la vez que innovar y adoptar nuevas tecnologías. Los retos que hay abordar para competir en un mundo de TI Híbrida incluyen DevOps, Seguridad, Gestión de riesgos y Análisis predictivo. Puedes obtener más información sobre cómo abordar estos retos e innovar en este enlace.