En la mayoría de los incidentes de ciberseguridad, el factor humano es responsable del éxito del ataque. Ya sea a través de un clic en un enlace malicioso o el uso de contraseñas fáciles de adivinar, estos errores se pueden mitigar con una mayor concienciación, algunas prácticas básicas de seguridad y lograr educar al personal de una empresa o cualquier usuario.
El uso de contraseñas débiles, como "123456", "password", o repetir la misma contraseña en múltiples cuentas es una de las principales causas de violaciones de seguridad. Los ataques de fuerza bruta y el "credential stuffing" (uso de credenciales filtradas en múltiples plataformas) explotan estas prácticas para acceder a cuentas sensibles.
Por ejemplo, un usuario utiliza la misma contraseña para su correo electrónico personal y su cuenta de trabajo. Si una de esas cuentas es comprometida debido a un ataque en un sitio web menos seguro, un atacante puede reutilizar esa contraseña para acceder a información confidencial en otros servicios.
Utilizar contraseñas únicas y complejas, idealmente con una combinación de letras, números y caracteres especiales. Una longitud de al menos 12 caracteres es recomendable.
Utilizar gestores como LastPass o Bitwarden, que generan y almacenan contraseñas complejas, eliminando la necesidad de recordar múltiples contraseñas.
Implementar MFA en todas las cuentas críticas para agregar una capa adicional de seguridad. Con MFA, incluso si un atacante obtiene la contraseña, necesitará un segundo factor (como un código de una app o mensaje de texto) para acceder. Conoce más sobre la importancia de los métodos de autenticación haciendo click aquí.
Establece una política de contraseñas en tu empresa que requiera el uso de contraseñas únicas y actualizarlas regularmente. Además, incentiva el uso de gestores de contraseñas entre empleados y usuarios para almacenar y gestionar credenciales de forma segura, reduciendo el riesgo de contraseñas débiles o reutilizadas.
El phishing es uno de los métodos más comunes utilizados por los cibercriminales para obtener credenciales, información confidencial o instalar malware en dispositivos. Consiste en engañar a las víctimas para que revelen información o descarguen archivos maliciosos a través de correos electrónicos o mensajes falsos que parecen legítimos.
Por ejemplo, un empleado recibe un correo electrónico que parece provenir del departamento de TI solicitando que restablezca su contraseña. Al hacer clic en el enlace proporcionado, ingresa sus credenciales en un sitio falso, lo que permite a los atacantes acceder a su cuenta de trabajo.
Capacitar a los empleados para que identifiquen correos sospechosos y eviten hacer clic en enlaces o descargar archivos de remitentes desconocidos.
Realizar simulaciones periódicas de ataques de phishing para educar y poner a prueba la capacidad de los empleados para detectar intentos de engaño.
Antes de proporcionar información confidencial o hacer clic en enlaces, verificar directamente con la persona o el departamento que supuestamente envió el correo.
Es fundamental educar a los usuarios sobre los indicadores típicos de un correo phishing, como errores de ortografía, enlaces sospechosos o remitentes desconocidos. Esto puede lograrse a través de campañas de concientización, que incluyan pruebas a los usuarios para ver qué tan vulnerables son ante el phishing. Una herramienta recomendada para este fin es knowbe4, capaz de realizar las campañas de concientización e inclusive campañas de capacitaciones para los usuarios, además de proporcionar métricas que ayudan a medir la susceptibilidad de un usuario frente a estos tipos de ataques.
Adicionalmente, implementar un sistema de reporte que facilite a los empleados reportar sobre correos electrónicos sospechosos es clave. Una opción para ello puede ser Phish Alert Button, también disponible en knowbe4.
El otorgamiento de permisos excesivos a empleados o cuentas de servicio puede incrementar el riesgo de brechas de seguridad, especialmente cuando estas cuentas no necesitan acceso a recursos críticos. Esta situación es aún más problemática si una de estas cuentas, con permisos elevados, resulta comprometida.
Por ejemplo, un empleado que no trabaja en el departamento de finanzas tiene acceso a los sistemas financieros de la empresa debido a una mala asignación de roles y permisos. Si esta cuenta es hackeada, el atacante tiene acceso directo a información financiera crítica.
Otorgar solamente los permisos mínimos necesarios a los usuarios para realizar su trabajo. Si un usuario no necesita acceso a ciertos sistemas, no debe tenerlo.
Realizar auditorías frecuentes de los permisos de acceso para identificar cuentas que tienen acceso innecesario y corregirlas.
Implementar políticas de control de acceso que asignen permisos en función de roles específicos dentro de la organización, en lugar de otorgar permisos individualmente.
Establecer una política clara de gestión de acceso que sea revisada y actualizada regularmente para mantener su eficacia. Además, utilizar herramientas de gestión de identidad y acceso (IAM) que permitan automatizar el proceso de asignación y auditoría de permisos.
El uso de dispositivos personales como teléfonos móviles, laptops o tablets para acceder a datos corporativos o realizar tareas de trabajo sin las medidas de seguridad adecuadas puede crear vulnerabilidades importantes. Estos dispositivos pueden carecer de protección adecuada, lo que aumenta el riesgo de infecciones de malware o pérdida de datos.
Por ejemplo, un empleado accede a documentos corporativos desde su teléfono personal no protegido, que está infectado con malware. Este se propaga a los servidores de la empresa cuando se conecta a la red corporativa.
Implementar una política de uso de dispositivos personales que incluya requisitos mínimos de seguridad, como la instalación de software antivirus, configuraciones de cifrado y bloqueo por contraseña.
Utilizar una solución de gestión de dispositivos móviles para controlar y asegurar dispositivos personales que acceden a la red o los datos de la empresa. Con MDM, es posible gestionar remotamente dispositivos, aplicar políticas de seguridad y borrar datos si es necesario.
Exigir que los empleados sólo accedan a recursos corporativos desde redes seguras y confiables. También es útil implementar una VPN para proteger las conexiones remotas.
Crear una política clara de BYOD que detalle las medidas de seguridad que deben cumplir los dispositivos personales. Incorporar herramientas de MDM que aseguren el cumplimiento de normas y estándares de seguridad de la organización en los dispositivos personales utilizados por colaboradores.
No mantener el software actualizado con los últimos parches de seguridad es una de las principales causas de brechas de seguridad. Los atacantes suelen explotar vulnerabilidades conocidas en versiones desactualizadas de software para comprometer sistemas. Infórmate sobre las vulnerabilidades y amenazas más recientes y asegúrate de estar siempre un paso adelante. Consulta nuestros boletines de seguridad aquí.
Por ejemplo, una organización usa una versión obsoleta de un sistema operativo que tiene una vulnerabilidad conocida. Un atacante la explota para instalar malware y robar datos confidenciales de la empresa.
Configurar actualizaciones automáticas para todo el software y sistemas operativos críticos, con el fin de asegurar que se apliquen los últimos parches de seguridad tan pronto como estén disponibles.
Implementar un sistema centralizado de gestión de parches para monitorear y desplegar actualizaciones en toda la infraestructura de TI, asegurando que todas las aplicaciones estén actualizadas.
Establecer un equipo o utilizar herramientas que monitorizan las vulnerabilidades recién descubiertas y tomen acción para mitigar los riesgos rápidamente
Crear un calendario regular para revisar y actualizar manualmente aquellos sistemas que no se actualizan de forma automática. .
Utilizar una herramienta de escaneo de vulnerabilidades para detectar software desactualizado o con fallos de seguridad conocidos.
En resumen, el factor humano sigue siendo el eslabón más débil en la ciberseguridad. Sin embargo, con una combinación de buenas prácticas, formación constante y el uso de herramientas adecuadas, muchas de las vulnerabilidades relacionadas con el comportamiento humano pueden mitigarse. Las organizaciones deben invertir tanto en la tecnología como en la concienciación de su personal para garantizar una postura de seguridad sólida. Parte de la visión de A3Sec es construir una cultura de ciberseguridad fundamentada en la capacitación constante y la concientización sobre la responsabilidad compartida dentro una organización.