Ciberataque

En informática , un ciberataque es un ataque dirigido a sistemas informáticos . Ocurre cuando se produce una acción no autorizada contra la infraestructura informática que compromete la confidencialidad, la integridad o la disponibilidad de su contenido. ^{[ 1 ]}

La creciente dependencia de sistemas informáticos cada vez más complejos e interconectados en la mayoría de los ámbitos de la vida es el principal factor que genera vulnerabilidad ante los ciberataques, ya que prácticamente todos los sistemas informáticos presentan fallos que pueden ser explotados por los atacantes. Si bien es imposible o poco práctico crear un sistema perfectamente seguro, existen numerosos mecanismos de defensa que pueden dificultar los ataques, lo que convierte a la seguridad de la información en un campo de creciente importancia en el mundo actual.

Los autores de un ciberataque pueden ser delincuentes, activistas informáticos o estados. Buscan vulnerabilidades en un sistema, las explotan y crean malware para lograr sus objetivos, infiltrándolo en el sistema objetivo. Una vez instalado, el malware puede tener diversos efectos según su propósito. La detección de ciberataques suele ser inexistente o tardía, especialmente cuando el malware intenta espiar el sistema sin ser detectado. Si se descubre, la organización afectada puede intentar recopilar pruebas del ataque, eliminar el malware de sus sistemas y corregir la vulnerabilidad que lo permitió.

Los ciberataques pueden causar diversos daños a personas, organizaciones y gobiernos, incluyendo importantes pérdidas financieras y robo de identidad . Suelen ser ilegales tanto como método delictivo como de guerra , aunque atribuir correctamente el ataque es difícil y los autores rara vez son procesados.

Un ciberataque es cualquier intento de un individuo u organización de usar computadoras o sistemas digitales para robar, alterar, exponer, deshabilitar o destruir información, o para vulnerar sistemas, redes o infraestructuras informáticas. ^{[ 2 ]} Las definiciones difieren en cuanto al tipo de compromiso requerido; por ejemplo, requerir que el sistema produzca respuestas inesperadas o cause lesiones o daños a la propiedad. ^{[ 3 ]} Algunas definiciones excluyen los ataques llevados a cabo por actores no estatales y otras requieren que el objetivo sea un estado. ^{[ 4 ]} Mantener la seguridad de un sistema depende de mantener la tríada CIA : confidencialidad (sin acceso no autorizado), integridad (sin modificación no autorizada) y disponibilidad. ^{[ 5 ]} Aunque la disponibilidad es menos importante para algunos servicios basados ​​en la web, puede ser el aspecto más crucial para los sistemas industriales. ^{[ 6 ]}

En los primeros seis meses de 2017, dos mil millones de registros de datos fueron robados o afectados por ciberataques, y los pagos de rescate alcanzaron los 2 mil millones de dólares , el doble que en 2016. ^{[ 7 ]} En 2020, con el aumento del teletrabajo como consecuencia de la pandemia mundial de COVID-19, las estadísticas de ciberseguridad revelan un enorme incremento en los datos pirateados y vulnerados. Se prevé que el mercado mundial de seguridad de la información alcance los 170.400 millones de dólares en 2022. ^{[ 8 ]}

Con el tiempo, los sistemas informáticos constituyen una parte cada vez mayor de la vida cotidiana y las interacciones. Si bien la creciente complejidad e interconexión de los sistemas aumenta la eficiencia, la potencia y la conveniencia de la tecnología informática, también los hace más vulnerables a los ataques y agrava las consecuencias de un ataque, en caso de que este ocurra. ^{[ 9 ]}

A pesar del objetivo de los desarrolladores de entregar un producto que funcione completamente según lo previsto, prácticamente todo el software y el hardware contiene errores. ^{[ 10 ]} Si un error crea un riesgo de seguridad, se denomina vulnerabilidad . ^{[ 11 ] [ 12 ] [ 13 ]} A menudo se publican parches para corregir las vulnerabilidades identificadas, pero aquellas que permanecen desconocidas ( de día cero ), así como aquellas que no han sido parcheadas, siguen siendo susceptibles de explotación. ^{[ 14 ]} El proveedor de software no es legalmente responsable del costo si una vulnerabilidad se utiliza en un ataque, lo que crea un incentivo para producir software más barato pero menos seguro. ^{[ 15 ]} Las vulnerabilidades varían en su capacidad de ser explotadas por actores maliciosos. Las más valiosas permiten al atacante inyectar y ejecutar su propio código (llamado malware ), sin que el usuario lo sepa. ^{[ 11 ]} Sin una vulnerabilidad que permita el acceso, el atacante no puede obtener acceso al sistema. ^{[ 16 ]}

El Modelo de Vulnerabilidad (MV) identifica patrones de ataque, amenazas y activos valiosos, que pueden ser físicos o intangibles. Aborda cuestiones de seguridad como la confidencialidad, la integridad, la disponibilidad y la responsabilidad en contextos empresariales, de aplicaciones o de infraestructura. ^{[ 17 ]}

La arquitectura y las decisiones de diseño de un sistema desempeñan un papel fundamental en la determinación de su seguridad. ^{[ 18 ]} El enfoque tradicional para mejorar la seguridad consiste en la detección de sistemas vulnerables a ataques y el fortalecimiento de estos sistemas para dificultar los ataques, pero solo es parcialmente efectivo. ^{[ 19 ]} La evaluación formal de riesgos para la vulneración de sistemas altamente complejos e interconectados es poco práctica ^{[ 20 ]} y la cuestión relacionada de cuánto invertir en seguridad es difícil de responder. ^{[ 21 ]} Debido a la naturaleza cambiante e incierta de las ciberamenazas, la evaluación de riesgos puede generar escenarios costosos o inasequibles de mitigar. ^{[ 22 ]} A partir de 2019No existen sistemas de defensa activa disponibles comercialmente y de uso generalizado para proteger sistemas aumentando intencionalmente su complejidad o variabilidad para dificultar los ataques. ^{[ 23 ]} Por otro lado, el enfoque de ciberresiliencia parte de la premisa de que se producirán brechas y se centra en proteger la funcionalidad esencial incluso si algunas partes se ven comprometidas, utilizando enfoques como la microsegmentación , la confianza cero y la planificación de la continuidad del negocio . ^{[ 24 ]}

La mayoría de los ataques se pueden prevenir asegurando que todo el software esté completamente actualizado. Sin embargo, los sistemas completamente actualizados siguen siendo vulnerables a exploits que utilizan vulnerabilidades de día cero . ^{[ 25 ]} El mayor riesgo de ataque se produce justo después de que se haya divulgado públicamente una vulnerabilidad o se haya publicado un parche, porque los atacantes pueden crear exploits más rápido de lo que se puede desarrollar e implementar un parche. ^{[ 26 ]}

Las soluciones de software buscan prevenir el acceso no autorizado y detectar la intrusión de software malicioso. ^{[ 27 ]} La capacitación de los usuarios puede evitar ciberataques (por ejemplo, no hacer clic en un enlace o archivo adjunto de correo electrónico sospechoso), especialmente aquellos que dependen del error del usuario. ^{[ 5 ] [ 28 ]} Sin embargo, demasiadas reglas pueden hacer que los empleados las ignoren, anulando cualquier mejora en la seguridad. ^{[ 29 ]} Algunos ataques internos también se pueden prevenir mediante reglas y procedimientos. ^{[ 28 ]} Las soluciones técnicas pueden prevenir muchas causas de error humano que dejan los datos vulnerables a los atacantes, como cifrar todos los datos confidenciales, impedir que los empleados utilicen contraseñas inseguras, instalar software antivirus para prevenir el malware e implementar un sistema de parcheo robusto para garantizar que todos los dispositivos se mantengan actualizados. ^{[ 30 ]}

Hay poca evidencia sobre la efectividad y la rentabilidad de las diferentes medidas de prevención de ciberataques. ^{[ 27 ]} Si bien la atención a la seguridad puede reducir el riesgo de ataque, lograr una seguridad perfecta para un sistema complejo es imposible, y muchas medidas de seguridad tienen costos o desventajas de usabilidad inaceptables. ^{[ 31 ]} Por ejemplo, reducir la complejidad y la funcionalidad del sistema es efectivo para reducir la superficie de ataque . ^{[ 32 ]} Desconectar los sistemas de internet es una medida verdaderamente efectiva contra los ataques, pero rara vez es factible. ^{[ 20 ]} En algunas jurisdicciones, existen requisitos legales para la protección contra ataques. ^{[ 33 ]}

La cadena de ataque cibernético es el proceso mediante el cual los perpetradores llevan a cabo ciberataques. ^{[ 34 ]}

1. Reconocimiento: los posibles atacantes buscan información sobre el sistema para atacarlo. Pueden buscar información disponible públicamente o realizar ataques de ingeniería social para obtener más información sobre los sistemas del objetivo. ^{[ 34 ]}
2. Armamentización: tras encontrar una vulnerabilidad , los atacantes crean un exploit para obtener acceso y malware para llevar a cabo el ataque. ^{[ 35 ]}
3. Entrega: una vez completada, el malware se entrega al objetivo. ^{[ 35 ]} La mayoría de las filtraciones de datos e inserciones de malware se realizan mediante phishing , donde el atacante envía una comunicación maliciosa, a menudo un correo electrónico, en un intento de que el destinatario haga clic en un enlace o archivo adjunto para entregar el malware. ^{[ 36 ]} La descarga automática no requiere ningún clic, solo una visita a un sitio web malicioso. ^{[ 36 ]} A veces, los empleados internos están detrás del ataque y pueden usar sus credenciales para eludir la seguridad. ^{[ 37 ]} Algunos ataques se entregan indirectamente a través de empresas asociadas que tienen una relación comercial con el objetivo. Otros pueden entregarse accediendo directamente al hardware, particularmente en casos de soborno o chantaje . ^{[ 35 ]}
4. Explotación: el software del atacante se ejecuta en el sistema objetivo y, a menudo, crea una puerta trasera para permitir el control remoto por parte del atacante. ^{[ 35 ]}
5. Muchos atacantes no lanzarán un ataque de inmediato. ^{[ 38 ]} El atacante a menudo busca persistir después de una interrupción del sistema (como un fallo o reinicio), evadir la detección y escalar privilegios , ^{[ 39 ]} y asegurar múltiples canales de comunicación con sus controladores. ^{[ 38 ]} Otras acciones comunes incluyen responder a comandos remotos y recopilar y copiar datos a un dispositivo controlado por el atacante ( exfiltración de datos ). ^{[ 39 ]}

El estereotipo de un hacker es el de un individuo que trabaja por cuenta propia. Sin embargo, muchas amenazas cibernéticas son equipos de expertos con amplios recursos. ^{[ 45 ]} "Los crecientes ingresos de los ciberdelincuentes están generando cada vez más ataques, aumentando la profesionalización y la especialización de los atacantes. Además, a diferencia de otras formas de delincuencia, el cibercrimen puede llevarse a cabo de forma remota y los ciberataques suelen ser escalables." ^{[ 46 ]} Muchos ciberataques son causados ​​o facilitados por personas internas, a menudo empleados que eluden los procedimientos de seguridad para realizar su trabajo de manera más eficiente. ^{[ 47 ]} Los atacantes varían ampliamente en su habilidad y sofisticación, así como en su determinación de atacar un objetivo en particular, en lugar de elegir oportunistamente uno fácil de atacar. ^{[ 47 ]} El nivel de habilidad del atacante determina qué tipos de ataques está preparado para realizar. ^{[ 48 ]} Los atacantes más sofisticados pueden persistir sin ser detectados en un sistema reforzado durante un período prolongado. ^{[ 47 ]}

Las motivaciones y los objetivos también difieren. Dependiendo de si la amenaza prevista es el espionaje pasivo, la manipulación de datos o el secuestro activo, pueden ser necesarios diferentes métodos de mitigación. ^{[ 41 ]}

Los proveedores de software y los gobiernos están principalmente interesados ​​en vulnerabilidades no reveladas ( de día cero ), ^{[ 49 ]} mientras que los grupos del crimen organizado están más interesados ​​en kits de explotación listos para usar basados ​​en vulnerabilidades conocidas, ^{[ 50 ] [ 51 ]} que son mucho más baratos. ^{[ 52 ]} La falta de transparencia en el mercado causa problemas, como que los compradores no puedan garantizar que la vulnerabilidad de día cero no se haya vendido a otra parte. ^{[ 53 ]} Tanto compradores como vendedores se anuncian en la web oscura y utilizan criptomonedas para transacciones imposibles de rastrear. ^{[ 54 ] [ 55 ]} Debido a la dificultad de escribir y mantener software que pueda atacar una amplia variedad de sistemas, los delincuentes descubrieron que podían ganar más dinero alquilando sus exploits en lugar de usarlos directamente. ^{[ 56 ]}

El cibercrimen como servicio , donde los hackers venden software preempaquetado que puede usarse para causar un ciberataque, es cada vez más popular como una actividad de menor riesgo y mayor rentabilidad que el hackeo tradicional. ^{[ 55 ]} Una forma importante de esto es crear una botnet de dispositivos comprometidos y alquilarla o venderla a otro ciberdelincuente. Diferentes botnets están equipadas para diferentes tareas, como ataques DDoS o descifrado de contraseñas. ^{[ 57 ]} También es posible comprar el software utilizado para crear una botnet ^{[ 58 ]} y bots que cargan el malware del comprador en los dispositivos de una botnet. ^{[ 59 ]} El DDoS como servicio utilizando botnets mantenidas bajo el control del vendedor también es común, y puede ser el primer producto de cibercrimen como servicio, y también puede cometerse mediante inundación de SMS en la red celular. ^{[ 60 ]} El malware y el ransomware como servicio han hecho posible que personas sin conocimientos técnicos lleven a cabo ciberataques. ^{[ 61 ]}

Los objetivos de los ciberataques van desde individuos hasta corporaciones y entidades gubernamentales. ^{[ 9 ]} Muchos ciberataques son frustrados o no tienen éxito, pero aquellos que tienen éxito pueden tener consecuencias devastadoras. ^{[ 20 ]} Comprender los efectos negativos de los ciberataques ayuda a las organizaciones a garantizar que sus estrategias de prevención sean rentables. ^{[ 27 ]} Un documento clasifica el daño causado por los ciberataques en varios dominios: ^{[ 62 ]}

• Daños físicos, incluyendo lesiones o muerte o destrucción de la propiedad ^{[ 63 ]}
• Daños digitales, como la destrucción de datos o la introducción de malware ^{[ 63 ].}
• Pérdidas económicas, como las causadas por la interrupción de las operaciones, el costo de la investigación o las multas regulatorias. ^{[ 63 ]}
• Daños psicológicos , como el malestar de los usuarios por la filtración de sus datos ^{[ 64 ].}
• Daño a la reputación , pérdida de reputación causada por el ataque ^{[ 65 ]}
• Externalidades negativas para la sociedad en general, como la pérdida de acceso de los consumidores a un servicio importante debido al ataque. ^{[ 66 ]}

Infraestructura crítica

La infraestructura crítica es aquella considerada más esencial —como la atención médica, el suministro de agua, el transporte y los servicios financieros— que se ha visto cada vez más regida por sistemas ciberfísicos que dependen del acceso a la red para su funcionamiento. ^{[ 77 ] [ 78 ]} Durante años, los autores han advertido sobre las consecuencias catastróficas de los ciberataques, las cuales no se han materializado hasta 2023.. ^{[ 79 ] [ 80 ]} Estos escenarios extremos aún podrían ocurrir, pero muchos expertos consideran que es improbable que se puedan superar los desafíos para infligir daños físicos o propagar el terror. ^{[ 79 ]} Los ciberataques a menor escala, que a veces resultan en la interrupción de servicios esenciales, ocurren regularmente. ^{[ 81 ]}

Gobiernos

Los sitios web y servicios gubernamentales se encuentran entre los afectados por los ciberataques. ^{[ 81 ]} Algunos expertos plantean la hipótesis de que los ciberataques debilitan la confianza de la sociedad o la confianza en el gobierno, pero a partir de 2023Esta noción solo cuenta con evidencia limitada. ^{[ 79 ]}

Responder con rapidez a los ataques es una forma eficaz de limitar los daños. Es probable que la respuesta requiera una amplia variedad de habilidades, desde investigación técnica hasta asuntos legales y relaciones públicas. ^{[ 87 ]} Debido a la prevalencia de los ciberataques, algunas empresas planifican su respuesta a incidentes antes de que se detecte cualquier ataque y pueden designar un equipo de respuesta a emergencias informáticas para estar preparados para gestionar incidentes. ^{[ 88 ] [ 89 ]}

La mayoría de los Estados coinciden en que los ciberataques se rigen por las leyes que regulan el uso de ^la fuerza en el derecho internacional [ ^{109 ] y ,} por lo tanto, es probable que los ciberataques, como forma de guerra, violen la prohibición de la agresión ^{[ 110 ]} . En consecuencia, podrían ser procesados ​​como un crimen de agresión ^{[ 111 ]} . También existe consenso en que los ciberataques se rigen por el derecho internacional humanitario [ ^{109 ]} y, si tienen como objetivo infraestructura civil, podrían ser procesados ​​como un crimen de guerra , un crimen de lesa humanidad o un acto de genocidio ^{[ 111 ]} . Los tribunales internacionales no pueden hacer cumplir estas leyes sin una atribución sólida del ataque, sin la cual las contramedidas de un Estado tampoco son legales ^{[ 112 ] .}

En muchos países, los ciberataques son procesables bajo diversas leyes dirigidas a la ciberdelincuencia . ^{[ 113 ]} Atribuir el ataque al acusado más allá de toda duda razonable también es un desafío importante en los procesos penales. ^{[ 114 ]} En 2021, los Estados miembros de las Naciones Unidas comenzaron a negociar un proyecto de tratado sobre ciberdelincuencia . ^{[ 115 ]}

Muchas jurisdicciones tienen leyes de notificación de violaciones de datos que exigen a las organizaciones notificar a las personas cuyos datos personales se han visto comprometidos en un ciberataque. ^{[ 116 ]}

• Patrones de ataque
• Black hat (seguridad informática) – Hacker informático con intenciones maliciosas 
• Ciberataques contra infraestructura
• Ciberataques por país
• Ciberdelincuencia : tipo de delito basado en redes informáticas. 
• Hacker de seguridad : término de seguridad informática; persona que piratea sistemas informáticos.