El nuevo año que comenzará en pocas semanas traerá nuevas amenazas que apenas se han empezado a vislumbrar en 2022, como el ‘hackeo’ del metaverso, los ataques de ingeniería social contra los sistemas de autenticación multifactor (MFA) o la proliferación de vulnerabilidades mediante herramientas de codificación de inteligencia artificial (IA).
Las aseguradoras han sufrido grandes pérdidas desde que empezaron a ofrecer opciones de cobertura frente a la extorsión cibernética, ya que su estrategia inicial de pagar rescates disparó sus costes. Como consecuencia, han empezado a repercutir esos mayores costes en sus clientes y han aumentado significativamente los requisitos técnicos de seguridad que les exigen antes de asegurarlos.
Pero dado que determinados sectores son objetivos más atractivos para los ciberdelincuentes, y las aseguradoras son conscientes de ello, como es el caso de Sanidad, Infraestructuras Críticas, Finanzas y Proveedores de Servicios Gestionados (MSP), los expertos de WatchGuard creen que les obligarán a cumplir normativas más estrictas y a soportar costes más elevados.
En sus previsiones para 2023, también apuntan que algunas aseguradoras incluso adoptarán «listas de proveedores de seguridad aprobados», suscribiendo únicamente pólizas para empresas que utilicen soluciones de seguridad de proveedores concretos.
EL IMPACTO DE LA SEGURIDAD DE SOCIOS Y PROVEEDORES
Por otra parte, y con el aumento de los ataques a la cadena de suministro, las organizaciones están cada vez más preocupadas por la seguridad de los socios y proveedores con los que hacen negocios, ya que la falta de seguridad en el ‘software’ o ‘hardware’ de uno de ellos, ya sea por un defecto del producto o por una brecha en su propia red, introduce un agujero de seguridad que les expone a una brecha.
Para evitar que se repitan situaciones como las que ocurrieron con SolarWinds y Piriform, en las que una brecha en sus redes provocó que los atacantes pusieran trampas en productos populares como Orion y Ccleaner, desde WatchGuard destacan que las empresas están haciendo de las propias prácticas de seguridad interna de un proveedor una parte clave en la decisión de selección del producto.
EL PRIMER HACKEO DEL METAVERSO
Grandes empresas como Meta (Facebook) y ByteDance, la empresa matriz de TikTok, están invirtiendo miles de millones en la creación de mundos virtuales conectados que creen que se convertirán en parte integrante de la sociedad en un futuro no muy lejano. Pero el metaverso ofrece un gran potencial para la explotación y la ingeniería social.
Los expertos alertan de los datos que se pueden extraer ya del propio visor de realidad virtual, lleno de cámaras, sensores infrarrojos y de profundidad, con capacidad para rastrear el movimiento de la cabeza, las manos, los dedos, la cara y los ojos; para cartografiar la habitación, los muebles e incluso una casa en 3D mientras el usuario se mueve, y que también rastree cosas como el teclado de su portátil.
«Ya divulgamos muchos de nuestros datos privados en Internet a través del ratón y el teclado. […]Ahora imagine un software que mantenga un registro histórico de todos estos datos rastreados». Un ‘hacker’ malintencionado podría «crear un deepfake virtual de su avatar online que también pueda moverse y actuar como usted», advierten desde WatchGuard.
El metaverso se entiende como el siguiente capítulo de Internet, pero ya hoy es un objetivo. Los cibercriminales aprovecharán una vulnerabilidad en las nuevas funciones de productividad empresarial, como el escritorio remoto, utilizadas en la última generación de auriculares VR/MR destinados a casos de uso empresarial, como Meta Quest Pro.
LA OLEADA DE INGENIERÍA SOCIAL DE MFA
Asimismo, los expertos destacan las amenazas al sistema de autenticación multifactor, cuya adopción ha aumentado seis puntos porcentuales hasta el 40% este año, según una encuesta de Thales realizada por 451 Research, y se espera que siga en aumento en 2023.
Esta situación obligará a los atacantes a encontrar alguna forma de eludir estas soluciones de validación de seguridad, y aunque los expertos esperan la aparición de nuevas vulnerabilidades y técnicas de elusión, señalan que la forma más común de eludir estas soluciones es a través de ingeniería social sofisticada.
UN COCHE CON IA ATURDIDO Y CONFUNDIDO
Varias empresas tecnológicas como Cruise, Baidu y Waymo han empezado a probar robotaxis – coches autónomos que ofrecen una experiencia similar a Uber o Lyft, pero sin conductor humano- en muchas ciudades de todo el mundo, entre ellas San Francisco (Estados Unidos) y Pekín (China).
Se trata de un servicio de vehículos autónomo nuevo, que todavía está en fase de pruebas, pero los expertos subrayan que las investigaciones de seguridad ya han demostrado que los coches conectados a Internet pueden ser ‘hackeados’.
Y aunque no esperan ver en 2023 ‘hackeos’ que provoquen accidentes graves, si sospechan que algunos investigadores de seguridad o hackers de sombrero gris podrían perpetrar una broma técnica de robotaxi que provoque que uno de estos vehículos se quede atascado sin saber qué hacer, lo que podría entorpecer o detener el tráfico.
LA PROLIFERACIÓN DE VULNERABILIDADES MEDIANTE HERRAMIENTAS DE CODIFICACIÓN DE IA
El aprendizaje automático y la inteligencia artificial han evolucionado significativamente para ofrecer nuevas capacidades prácticas. Además de generar arte nuevo a partir de instrucciones escritas, las herramientas basadas en estas tecnologías ahora pueden escribir código para desarrolladores.
Copilot de GitHub es una de esas herramientas de codificación automatizada. GitHub entrena a Copilot utilizando el ‘big data’ de miles de millones de líneas de código que se encuentran en sus repositorios. Sin embargo, como ocurre con cualquier algoritmo, la calidad de sus resultados depende de la calidad de los datos de aprendizaje que se le introducen y de las instrucciones que se le dan.
Los estudios ya han demostrado que hasta el 40% del código generado por Copilot incluye vulnerabilidades de seguridad explotables, y este porcentaje aumenta cuando el propio código del desarrollador contiene vulnerabilidades. Y de cara a 2023 se espera el lanzamiento de una aplicación que incluya una vulnerabilidad crítica introducida por el código automatizado.