Reflexiones sobre los últimos Ciberataques en Ecuador

• 1. Los sistemas de la empresa víctima son atacados por el ransomware, el mismo que cifra toda la información que pueda encontrar mientras se propaga por los diferentes equipos de la red afectada, dejando así los sistemas y aplicaciones inutilizables.

• 2. Mientras se lleva a cabo el proceso de cifrado es común en algunos grupos cibercriminales que estos roben la información de la empresa víctima, para chantajearla posteriormente. Normalmente incluyen documentos internos que pueden llegar o no a ser sensibles e incluso críticos.

Dentro de los nuevos archivos, se podían apreciar supuestas credenciales de usuarios de las instituciones afectadas, sin embargo, estas credenciales fueron obtenidas de una base de datos muy famosa en la Dark Web, por lo que no es algo obtenido directamente por el grupo cibercriminal a las empresas víctimas.

Para finalizar el post, les dejamos algunas reflexiones a considerar de todo lo sucedido y que esto sirva como una lección aprendida que pueda ser aplicada en cualquier Institución sea pública o privada.

El objetivo de este post como se puede evidenciar claramente no es atacar a ninguna de las organizaciones que se ven actualmente en el centro de la atención mediática, sino el de informar sobre los hechos ocurridos, además de emitir algunas recomendaciones para que empresas públicas o privadas no se vean afectadas por este tipo de incidentes. Este artículo se basa en hechos técnicos y evidencias obtenidas de la información investigada de diferentes fuentes, incluyendo los portales que montaron los grupos criminales.

Así también se invita a la ciudadanía a unirse con el fin de mejorar la Ciberseguridad en el país y no solamente atacar a las empresas que puedan verse afectadas por algún incidente. Que Ecuador mejore en este ámbito es una tarea de TODOS nosotros, además que no se gana nada criticando o menospreciando a empresas y/o profesionales, ya que a la final todos trabajan por un mismo fin.

Puntos Clave a tomar en cuenta:

1. La información preliminar compartida por los atacantes corresponde a data previamente publicada (aproximadamente marzo del 2021), sin embargo, nueva data fue publicada cuya revisión está en proceso (no se descarta que los atacantes puedan tener más información).

2. En la revisión preliminar de la data que compartieron los atacantes no hay evidencia concluyente que apunte a una vulneración directa y/o reciente a las empresas afectadas, puede ser data obtenida de empresas terceras que comparten datos con las entidades en cuestión.

3. Dentro de la filtración se incluyeron usuarios/claves de las empresas víctimas (credenciales obtenidas de un portal en la Dark Web, más no son obra directa del atacante). Nada garantiza que sean credenciales vigentes, pero sirven para causar caos/miedo.

4. Los incidentes recientes (que pueden ser reales o no) que han sonado en el país, pueden sucederle a cualquier Institución pública o privada, nadie está libre de ser víctima de ciberataques, un ejemplo es el ataque de ransomware del grupo REvil que afectó a más de 100 empresas a nivel mundial e infectó más de 1 millón de computadores. Así también hace unas semanas atacaron a Electronic Arts, la creadora del Videojuego FIFA, donde robaron el código fuente de este y otros juegos.

5. La Ciberseguridad debe implementarse como un proceso de mejora continua, que debe ir evolucionando con el tiempo y adaptándose a las necesidades actuales, tanto en la parte de gestión, como en la parte técnica/operativa.

6. Además de invertir en soluciones de Ciberseguridad (hardware y software) que no son perfectas, es importante el factor humano, concientizar tanto al personal de las empresas como a sus clientes/usuarios es vital para evitar ataques. Esto incluye también capacitar al personal de las empresas en temas de Hacking Ético y Ciberdefensa. OJO: Ninguna de estas medidas es infalible, pero ayudan a prevenir mayores casos o a reducir el impacto si se da un incidente.

7. En caso de que cualquier empresa tenga la más pequeña sospecha de haber sido víctima de un posible ciberataque o una intrusión en sus sistemas, es primordial que ejecuten un Análisis Forense para encontrar posible actividad maliciosa en su red. Si bien un análisis de este tipo puede llevar tiempo considerable, es la mejor opción para encontrar indicadores de compromiso.

8. La Seguridad de la Información de una empresa, no solo es tarea del Departamento o Área de Sistemas, sino de TODOS y cada uno de los empleados que forman parte de la organización. Lo mismo aplica en la parte del usuario final, todo individuo al día de hoy maneja información (médicos, abogados, ingenieros, etc.) y deben ser responsables con el uso de la misma. Recuerda que TÚ y SOLO TÚ eres el RESPONSABLE de tus credenciales, si las ingresas en cualquier portal, es como dar la llave de tu casa a un desconocido.

9. Como lecciones aprendidas, es bueno que toda organización pública o privada tenga a mano un Plan de Respuesta ante Incidentes, para que en caso de darse un ataque, se pueda detectar, contener, mitigar y resolver de manera efectiva, siguiendo buenas prácticas como el estándar NIST SP 800-61.

10. Finalmente, para adelantarse a los cibercriminales en detectar cualquier vulnerabilidad en la infraestructura, es buena práctica que las empresas realicen ejercicios de Ethical Hacking frecuentes. Los mismos que deben ser realizados por personal calificado que sepa ejecutar pruebas manuales y no solo herramientas automatizadas. OJO: Estos ejercicios tampoco garantizan que una empresa esté libre de ataques, pero ayuda a prevenir.