Cibercrimen como servicio, la industria de los ataques digitales

El Economista

Rodrigo Riquelme

18 de noviembre de 2017

El cibercrimen es una industria lucrativa y, como toda industria, cuenta con una cadena de valor y con modelos de negocio exitosos, entre los que se incluye el llamado malware como un servicio o MaaS, por su sigla en inglés. Incluso, existen empresas legalmente constituidas que compran y venden códigos maliciosos diseñados para aprovechar vulnerabilidades de seguridad cibernética específicas (conocidos como exploits), a precios que van desde los 10,000 dólares hasta 1.5 millones, dependiendo de los sistemas y las brechas que se deseen atacar.

El robo de información, la caída en la disponibilidad de servicios y sistemas y los daños a su imagen ocasionados por el cibercrimen suponen pérdidas para las empresas a nivel mundial por 445,000 millones de dólares, una cantidad que se acerca a los ingresos de Walmart, la compañía que ocupa el primer lugar de la lista de Fortune 500 en el 2016, con 485,000 millones de dólares, de acuerdo con Matías Porolli, analista de malware del Laboratorio de Investigación ESET Latinoamérica.

Para el 2021, de acuerdo con un estudio de Cybersecurity Ventures, los daños ocasionados por ataques cibernéticos en todo el mundo tendrán un costo de 6 billones de dólares, casi la mitad de los ingresos de todas las compañías listadas en Fortune 500. En términos económicos, si la industria del cibercrimen fuera un Estado-nación, ocuparía el lugar número 27 entre las mayores economías del mundo, según un informe de Allianz Global.

“Zerodium es una compañía que compra legalmente exploits y los revende a sus clientes los cuales se cree que son entidades militares y gubernamentales. Si yo soy alguien con conocimientos técnicos en ciberseguridad y encuentro una vulnerabilidad dentro de una aplicación, puedo venderle a Zerodium esta información por un precio que va de los 10,000 dólares para el caso de exploits para antivirus y aplicaciones web como Joomla, a 1.5 millones de dólares, para quien encuentre una vulnerabilidad en un dispositivo iPhone”, dijo Matías Porolli, durante el Foro ESET de Seguridad Informática 2017, que se llevó a cabo en la localidad de Puntarenas, Costa Rica.

El especialista mostró también durante su presentación cómo es que se ofrecen en Internet códigos maliciosos conocidos como malware con promociones que abarcan distintos periodos de servicio, así como cursos orientados a que las personas aprendan cómo convertirse en bankers, es decir especializaciones en informática para realizar fraudes y robos bancarios a través de la red y los servicios digitales de los bancos y las empresas financieras.

Los ataques de denegación de servicio (DDoS), como el que sufrió el proveedor de DNS Dyn en octubre de 2016, requieren redes de bots (botnets) las cuales pueden ser rentadas en el mercado negro virtual. Dichas redes se ofrecen a diferentes precios dependiendo de su tamaño, que puede incluir millones de dispositivos conectados a la red que realizan solicitudes de servicios, las cuales saturan la capacidad de los servidores atacados.

La industrias necesitan canales de comunicación con sus clientes. De acuerdo con Matías Porolli, en el caso de los cibercriminales rusos, la mayoría de sus servicios se ofrecen a través de lo que se conoce como la deep web o web profunda, que incluye aquellos contenidos que no son indexados por los buscadores tradicionales y que representa casi 500 veces la información que se encuentra en la Internet superficial. Estos servicios se encuentran la mayor parte del tiempo ocultos debido a la alta discrecionalidad de quien los ofrece.

Por el contrario, los cibercriminales originarios de Estados Unidos y otras naciones occidentales albergan sus canales de comunicación en la Internet superficial, en plataformas como YouTube y redes sociales como Facebook y Twitter, en las que promocionan sus productos de manera abierta y en las que incluso se muestran a sí mismos exhibiendo las ganancias obtenidas a través de este tipo de actividades ilícitas.

“Vemos esta tendencia, que todo se ofrezca como un servicio. Tenemos fraude como servicio, malware como servicio, ataques de DDoS como servicio y hasta ransomware, o secuestro de información, como servicio. A veces se ofrece soporte técnico las 24 horas y muchos cuentan con una estrategia de marketing detrás para anunciarse”, dijo Matías Porolli durante el Foro ESET de Seguridad Informática 2017.

 

Consejos para evitar estafas durante el Buen Fin y Cyber Monday

Excélsior

Europa Press

18 de noviembre de 2017

Las compras ‘online’ aumentarán un 10 por ciento respecto al año pasado y estas se realizarán en su mayoría desde ordenadores (59%), seguidas de cerca por las compras a través de ‘smartphones’ (43%) y tabletas (24%), según datos del Informe Black Friday de Privalia, de las transacciones comerciales.

“La ilusión navideña combinado con las ofertas ‘online’ del Black Friday y el Cyber Monday en muchas ocasiones se convierten en la oportunidad perfecta de cibercriminales porque los compradores no prestan la suficiente atención a las web que visitan, movidos por la prisa de adquirir los mejores precios”, como señala Marta Ciruelos, portavoz de la compañía de ciberseguridad Always On, en un comunicado.

Para evitar fraudes ‘online’, cada vez más frecuentes en fechas señaladas de ofertas, Always On recomienda poner el foco en la ‘url’ de la web que se visita, que, como explican, debe tener el icono de un candado cerrado, nunca abierto.

La ‘url’, para indicar que se trata de una dirección segura, debe comenzar con ‘https’, siendo muy importante la ‘S’ final, y debe contener el nombre del sitio que se visita, ya que el diseño puede imitarse, pero la ‘url’ es única.

Además, y como detallan desde la compañía, existen filtros antifraude en los navegadores más populares que están diseñados para alertar al usuario si la página es fraudulenta por suplantación de identidad de otra web, ‘phishing’ o ‘malware’.

En el momento de realizar la compra conviene comprobar que la web cuenta el sello de confianza ‘online’. También se debe contrastar, como explican desde Always On, que la dirección y número de teléfono disponibles son verídicos. Si no se facilitan, se pone en duda de la existencia de establecimiento.

Es también importante leer detenidamente la Declaración de Privacidad. Entre otras recomendaciones, desde Always On apuntan a proporcionar únicamente la información imprescindible para la operación a la hora de finalizar la compra. Por último, como precaución es conveniente mantener siempre un registro de transacciones realizadas (nombre, datos del negocio y términos legales de la compra) hasta que termine el periodo de garantía del producto.