Introducción a la ciberseguridad para organizaciones sin fines de lucro: Ciclo y tipos de ataques

Las organizaciones sin fines de lucro desempeñan una función fundamental a la hora de marcar la diferencia en nuestras comunidades locales y en todo el mundo. Como cualquier otra empresa, las organizaciones de beneficencia dependen cada vez más de las TI y de la tecnología para mantenerse en contacto, colaborar y hacer un seguimiento de sus proyectos, sus programas y su información crítica.

Perder el acceso a esta tecnología, ser víctima de un robo de fondos o una vulneración de datos debido a un ciberataque puede ser devastador, tanto desde el punto de vista financiero como el de la reputación. No es algo inusual para nuestra industria. Las organizaciones sin fines de lucro y los centros de investigación son el segundo sector más atacado por la ciberdelincuencia.

Todas las personas relacionadas con las organizaciones de beneficencia, tanto los donantes como los voluntarios, los empleados y los administradores, tienen una función que desempeñar en protección del sector frente a los daños relacionados con la ciberdelincuencia. Saber cuáles son estas amenazas y cómo se producen es fundamental para comprender cómo defenderse de ellas.

Entonces, ¿qué son los ataques y cómo ocurren?

Los ataques varían en cuanto a cómo y dónde se producen, pero lo más frecuente es que se dividan en las siguientes dos categorías principales:

Esa primera vez en la que se cae en la trampa es lo que suele conducir al ciclo de un ataque dirigido. Es una forma de entrar, un hilo del que tirar. Pero la etapa de indagación no consiste únicamente en enviar correos masivos y esperar lo mejor.

Los atacantes encontrarán los medios para explotar cualquier vulneración de seguridad; los tipos de servidores o sistemas operativos que está utilizando; los procesos que sigue para el restablecimiento de contraseñas o solicitudes de pago; el cifrado o los códigos de acceso que tiene para sus computadoras portátiles o teléfonos móviles.

El objetivo de esta etapa es comprender mejor el método más lucrativo o destructivo de forma anticipada. Una vez que se identifica una debilidad clave, o una posible debilidad, se pasa a la etapa de entrega.

Esto podría significar apuntar a una persona de alto perfil dentro de su organización (como sus administradores, o la persona que se ocupa de TI), u obtener acceso a su sitio web o sus servicios.

El objetivo es elegir el mejor método de entrega para obtener acceso, implementar malware o comandos para seguir explotando y, en última instancia, llegar a la siguiente etapa: la vulneración.

Una vez "dentro", el plan puede tardar en ejecutarse por completo. Los atacantes buscarán más vulnerabilidades, objetivos de mayor perfil o intentarán obtener un acceso elevado a los sistemas y servicios. Una vez que las cosas están en su lugar, se pasa a la etapa final: afectar.

Este es el punto en el que el atacante utiliza todos los pasos anteriores que conducen a la recompensa.

Se suelen recopilar datos como direcciones IP o información confidencial, se pueden realizar cambios en los sistemas financieros o de pago para dirigir el dinero a una cuenta de los atacantes o se pueden cifrar sistemas enteros para congelar sus datos y operaciones.

Este tipo de acceso de primera mano es el objetivo que el atacante quiere conseguir y explotar. Puede ocurrir a lo largo de un período prolongado, y se puede aprovechar tanto de personas como de sistemas, directa e indirectamente. En muchos casos, los atacantes permanecen dentro de un entorno: recopilando datos e información, interrumpiendo los procesos empresariales y las formas de trabajo o utilizando sus cuentas de confianza para engañar a otros usuarios u organizaciones. Luego, algunos atacantes venden el acceso a otros para explotarlo o cubren sus huellas para evitar ser detectados. O, lo que más vemos en las noticias, el ransomware se implementa para causar el mayor daño posible y tratar de obligar a la organización a pagar más para regresar el negocio a sus condiciones normales.

Este es el "cómo" del ataque. ¿Cuál es el "cómo" de la prevención y la mitigación?

La evolución de la ciberseguridad es rápida: ¡la época medieval fue hace tan solo cinco años!

Solíamos utilizar el "modelo de castillo" para describir la seguridad informática: – tiene una puerta, un foso y murallas, todo diseñado para mantener a la gente adentro o afuera. Era difícil trabajar con gente fuera de nuestro castillo, así que compartíamos todos nuestros archivos por correo electrónico. No podíamos trabajar fuera del castillo, así que utilizábamos tarjetas de memoria para llevar la información de un lado a otro. Y como las llaves del castillo eran tan complicadas, las escribíamos en notas adhesivas y las pegábamos en nuestros monitores.

Hoy en día, nuestros colegas pueden estar fuera de nuestro "castillo", trabajando desde casa o en el extranjero. Es posible que necesiten acceder a información crítica desde varios dispositivos o a diferentes servicios que también están fuera de su enclave seguro.

El modelo de castillo quedó obsoleto porque se centra únicamente en la protección física, y no en todas las demás funciones esenciales que la tecnología, los procesos y, fundamentalmente, las personas deben desempeñar en la prevención y la mitigación de los ataques. Todos tenemos la responsabilidad de proteger nuestro sector de la ciberdelincuencia.

No importa cómo modelemos la ciberseguridad, hay un hecho que no se puede negar. Independientemente de las protecciones, de la formación, de los muros, de las puertas, de la concienciación, de las publicaciones en blogs y demás, siempre debe ganar cada mensaje reportado a TI, cada "clic" en un sitio web mitigado, cada archivo al que se revoca el acceso...

Los atacantes solo necesitan ganar una vez.

No estamos de guardia las 24 horas del día, y como las amenazas son persistentes y siguen evolucionando, un verdadero error o un simple descuido pueden tener consecuencias mucho mayores para nuestras organizaciones de beneficencia y sin fines de lucro.

En nuestra próxima publicación, destacamos algunas de las medidas más impactantes y rentables que las organizaciones sin fines de lucro pueden tomar para protegerse y mitigar los ciberataques.

Contiene información del sector público bajo la licencia de Open Government License v3.0.