El sector tecnológico se convierte en el más atacado por ransomware
El ransomware representó el 30 por ciento de los compromisos de este trimestre, un aumento del 22 por ciento respecto al trimestre anterior. Las organizaciones deben asegurarse de que las estafas de phishing por SMS se incluyan en la formación de concienciación sobre seguridad para sus colaboradores.
Las principales amenazas observadas por Cisco Talos Incident Response (Talos IR) en el segundo trimestre de 2024 fueron el correo electrónico comercial comprometido (BEC) y el ransomware, que juntos representaron el 60% de los casos.
Aunque el número de ataques BEC disminuyó con respecto al trimestre anterior, siguió siendo una amenaza importante por segundo trimestre consecutivo. Hubo un ligero aumento en el ransomware, donde Talos IR respondió al ransomware Mallox y Underground Team por primera vez este trimestre, así como a las operaciones de ransomware Black Basta y BlackSuit vistas anteriormente.
Por tercer trimestre consecutivo, el medio más utilizado para obtener acceso inicial fue el uso de credenciales comprometidas en cuentas válidas, lo que supuso el 60% de los ataques de este trimestre, un 25% más que en el trimestre anterior.
El sector tecnológico fue el más afectado este trimestre, con un 24% de los casos, seguido de cerca por el sanitario, el cuidado de la salud y el minorista. En comparación con el trimestre anterior, se ha producido un aumento del 30% en los ataques que afectan al sector tecnológico. Las organizaciones de dicho sector pueden ser vistas como puertas de entrada a otras industrias y organizaciones, dado su importante papel en el suministro y servicio a una amplia gama de sectores, lo que las convierte en objetivos atractivos para los adversarios.
Las organizaciones tecnológicas a menudo cuentan con amplios activos digitales que soportan infraestructuras críticas, lo que significa que tienen una tolerancia mínima al tiempo de inactividad y, por lo tanto, pueden ser más propensas a pagar las demandas de extorsión.
Cisco Talos IR también observó este trimestre un ligero aumento de los ataques dirigidos a dispositivos de red, que representaron el 24% de los casos. Esta actividad incluyó el espionaje de contraseñas, la exploración de vulnerabilidades y la explotación.
Continúa el aumento del BEC
En los ataques BEC, los adversarios comprometen cuentas de correo electrónico legítimas de empresas y las utilizan para enviar correos electrónicos de phishing con el fin de obtener información confidencial, como credenciales de cuentas. Los agresores también pueden utilizar las cuentas comprometidas para enviar correos electrónicos con solicitudes financieras fraudulentas, como el cambio de información de cuentas bancarias relacionadas con nóminas o facturas de proveedores.
En algunos de los incidentes de BEC observados en los que se utilizó un método de phishing como vector de infección, los adversarios aprovecharon el phishing por SMS, o «smishing», para comprometer las cuentas. Esto implica el envío de mensajes de texto fraudulentos para engañar a los destinatarios con el fin de que compartan información personal o hagan clic en enlaces maliciosos.
Dirigirse a los dispositivos móviles personales de los empleados puede ser un método eficaz para el acceso inicial, ya que pueden no tener los mismos controles de seguridad que sus dispositivos corporativos. Las organizaciones deben asegurarse de que las estafas de phishing por SMS se incluyan en la formación de concienciación sobre seguridad para sus colaboradores.
Tendencias del ransomware
El ransomware representó el 30 por ciento de los compromisos de este trimestre, un aumento del 22 por ciento respecto al trimestre anterior. Talos IR observó las familias de ransomware Mallox y Underground Team por primera vez este trimestre. Talos IR también respondió al ransomware Black Basta y BlackSuit visto anteriormente este trimestre, que recientemente evaluó como dos de los principales actores dentro del panorama actual del ransomware.
En particular, el 80 % de los ataques de ransomware de este trimestre carecían de la debida implementación de MFA en sistemas críticos, como las redes privadas virtuales (VPN), lo que permitió a los adversarios obtener el acceso inicial. Además, se observó ofuscación de comandos, como la codificación Base64, en el 40% de los ataques de ransomware de este trimestre, probablemente para eludir la detección ocultando la verdadera intención de los comandos.
Selección de dispositivos de red
Cisco Talos IR observó este trimestre un ligero aumento de los ataques a dispositivos de red, que representaron el 24% de los casos. Esta actividad incluyó el rociado de contraseñas, la exploración de vulnerabilidades y la explotación. Los dispositivos de red deben parcharse con regularidad y supervisarse activamente, ya que proporcionan una ruta crítica para los datos que entran y salen de la red. Si se ponen en peligro, un adversario podría entrar inmediatamente en una organización, desviar o cambiar el tráfico de la red y vigilar las comunicaciones de la red.
Vectores iniciales
Cuando se conoció, el medio más observado para obtener acceso inicial fue el uso de credenciales comprometidas en cuentas válidas, lo que supuso el 60% de los ataques. Esto significó un aumento del 25% con respecto al trimestre anterior, en el que las cuentas válidas también fueron uno de los principales vectores de ataque.
Debilidades de seguridad
Los sistemas vulnerables o mal configurados y la falta de una implementación adecuada de la autenticación multifactor (MFA, por sus siglas en inglés) empataron en los principales puntos débiles de seguridad observados este trimestre, representando casi todos los compromisos. Talos IR observó un aumento del 46% en cada uno de estos puntos débiles de seguridad con respecto al trimestre anterior.
Los sistemas que no están actualizados con los últimos parches son potencialmente vulnerables. No se configuran teniendo en cuenta las mejores prácticas del sector en materia de seguridad, lo que deja a la organización expuesta, por ejemplo, a un servidor público al que se supone que solo se puede acceder internamente.