En el panorama actual de ciberamenazas, la demanda de profesionales en ciberseguridad supera con creces la oferta. La creciente escasez de habilidades plantea un desafío crítico en la protección de sistemas y datos sensibles. Examinemos la urgente necesidad de más hackers éticos para fortalecer nuestras defensas digitales.
¿De dónde vendrá la gran tormenta de ciberseguridad de este año? ¿Qué problemas mantienen despiertos actualmente a los administradores de seguridad de la información?
Diciembre y enero es el momento en que los comentaristas, proveedores de software y expertos de la industria nos dicen lo que creen que sucederá durante los próximos 12 meses. Hemos tenido tiempo para digerir todo esto, y aquí está nuestra opinión sobre las predicciones de este año: https://achirou.com/ciberseguridad-en-2024-7-predicciones-de-seguridad-para-2024/
¿Te gustaría enterarte de cuando lanzamos descuentos al Máximo o Nuevos Cursos?
¿Lo de siempre? 3 pensamientos iniciales…
¿Descripción general?
Nadie predice un apocalipsis en materia de ciberseguridad este año. En muchos aspectos, todo parece normal para 2024, y se espera que los actores de amenazas sigan perfeccionando sus objetivos. También podemos esperar un flujo constante de historias de piratas informáticos que avanzan en áreas emergentes (malware dirigido a dispositivos domésticos conectados, por ejemplo).
Actores de amenazas grandes y pequeños
Como era de esperar, muchos comentaristas se centran en el probable crecimiento de las amenazas patrocinadas por el Estado. Mientras tanto, sin embargo, tienen cuidado de recordarnos que con sólo un poco de conocimiento, unos pocos dólares y acceso a la dark web, prácticamente cualquiera puede obtener las herramientas necesarias para causar un daño grave.
‘El gato y el ratón’: ¿quién gana?
En su encuesta anual, el Foro Económico Mundial (FEM) pide a los ejecutivos de empresas de todo el mundo que enumeren sus riesgos más importantes. A finales del año pasado, por primera vez, los líderes empresariales de TODAS las regiones citaron los ataques cibernéticos como el mayor riesgo al que se enfrentan.
¿Qué tan bien equipadas están las empresas para abordar este riesgo? A menudo se dice que los administradores de seguridad están constantemente atrapados en un juego del gato y el ratón con los actores de amenazas. Para participar y seguir manteniendo seguros sus activos, las empresas necesitan las habilidades y los recursos adecuados.
Varios comentaristas (por ejemplo, FireEye, Infosecurity y ESG) señalan que colmar el enorme déficit de talento cualificado en ciberseguridad será una de las mayores preocupaciones de los líderes empresariales este año. Es esencial para mantenerse en la cima del juego.
Ataques patrocinados por el Estado: más allá de los “sospechosos habituales”
Cuando un ciberataque está vinculado a la colusión estatal, normalmente es uno de los pocos países (Rusia, China y Corea del Norte) los que se encuentran con mayor frecuencia en el cuadro. Sin embargo, los jefes de inteligencia estadounidenses han declarado anteriormente que más de 30 países están desarrollando capacidades de ataque. FireEye predice que más países se sumarán a la iniciativa este año, a medida que muchas más agencias respaldadas por el estado se “equipen”.
IoT: sigue siendo territorio del salvaje oeste
La mayoría de los analistas creen que el avance de la tecnología IoT continuará. Lo preocupante es que gran parte de esta tecnología, en su estado actual, no es segura (particularmente en relación con pagos no verificados). No te sorprenda al ver casos de explotación de estas vulnerabilidades en 2024.
Cumplimiento: el público contraataca
Creo que 2024 será un año de represalias públicas. En la Europa posterior al RGPD, por ejemplo, los consumidores ahora son mucho más conscientes de los derechos que tienen sobre sus datos y de cómo hacer cumplir esos derechos. Un comentarista denominó 2024 “El año de la multa del RGPD”. La amenaza de multas, pagos de compensaciones y la retirada de los clientes dará forma al panorama de la privacidad de los datos más que nunca.
Las verdaderas razones por las que los delitos cibernéticos no se denuncian y por las que las cosas están a punto de cambiar
¿Contar o no contar? Ése es el dilema que enfrenta cualquiera que haya sido atacado por estafadores en línea. Analizamos las razones por las que tantas empresas optan por permanecer calladas. También descubrimos por qué mantener la calma sobre la pérdida de “datos personales” ya no es una opción…
¿Cuánto cibercrimen se esconde debajo de la alfombra?
El FBI calcula que sólo uno de cada siete delitos en Internet llega a la atención de las autoridades. Asimismo, el Departamento de Justicia de Estados Unidos estima que sólo se denuncia el 15% de los delitos en Internet. Las cifras del Reino Unido muestran un panorama similar: las cifras de la Encuesta sobre Delitos en Inglaterra y Gales sugieren que hubo 3,6 millones de casos de fraude el año pasado, aunque sólo 622.000 fueron puestos en conocimiento de la policía.
Una combinación de vergüenza y escepticismo sobre las posibilidades de localizar al culpable ayuda a explicar por qué las personas tienden a no denunciar los delitos cibernéticos. Para las empresas, también hay grandes consideraciones comerciales en juego.
Ransomware: ¿pagar y callarse?
No sorprende que el consejo oficial para las empresas afectadas por ataques de ransomware y otras formas de extorsión cibernética sea informar el incidente en lugar de pagar.
Pero en el mundo real, entregar el efectivo a menudo parecerá la forma más rápida y sencilla de hacer que el problema desaparezca. Después de todo, dado que se cree que sólo el 20% de las demandas superan la marca de los 1.000usd, rara vez nos enfrentamos a cantidades que pueden arruinar el banco.
Cuando Trend Micro analizó esto y descubrió que las buenas intenciones tienden a desaparecer cuando las empresas se ven realmente afectadas. Tres cuartas partes de las empresas que nunca se habían visto atrapadas en un ataque de ransomware declararon de manera un tanto idealista que nunca pagarían. Sin embargo, dos tercios de las empresas que se habían visto gravemente afectadas optaron por pagar.
Si hay un gran problema con esto, es que pagar el rescate en silencio no es garantía de recuperar sus datos. Resulta que, aproximadamente en el 20% de los casos en los que las empresas pagaron a los delincuentes, la clave de cifrado que esperaban no se materializó.
No le digas al jefe…
Has hecho clic en algo que no deberías haber hecho. Te han engañado para que entregues datos incorrectos a las personas equivocadas. O tal vez eres el responsable de la configuración AV y del firewall o de la administración de parches, y de alguna manera has dejado pasar las cosas…
La mayoría de las veces, cuando se trata de explicar cómo ocurrió una violación de datos, hay un elemento de error humano en la mezcla. Entonces, si sabes que los datos se han visto comprometidos debido a alguna deficiencia de tu parte, ¿te reconoces y afrontas la situación, lo limpias tú mismo o lo ignoras y esperas que desaparezca?
Es difícil resistirse a la ruta de la autoconservación, incluso (o quizás incluso más ) dentro de sectores altamente regulados donde los datos son súper sensibles. Por ejemplo, una encuesta de Crown Records Management realizada a expertos en TI de las grandes farmacéuticas sugiere que casi una cuarta parte no informa sobre violaciones de datos en los niveles más altos de la cadena de gestión.
De todos modos no era tan importante…
En 2014, la casa de apuestas irlandesa Paddy Power inició acciones legales para recuperar datos de una persona anónima en Canadá. Resultó que en 2010 se robaron datos de casi 650.000 clientes…
Paddy Power no había informado de la infracción cuando ocurrió, ni tampoco había notificado a sus clientes. El motivo fue que, aunque se habían robado nombres, direcciones, direcciones de correo electrónico y números de teléfono, las contraseñas de las cuentas y los datos financieros no se habían visto comprometidos. En ausencia de “pruebas de que las cuentas de los clientes se hayan visto afectadas negativamente por esta infracción”, la empresa guardó silencio.
Aunque el regulador de datos irlandés “amonestó” a la casa de apuestas por su decisión de no informarlo, lo único que pudo hacer fue amonestarlo. Según la Directiva de protección de datos, la empresa no había infringido ninguna ley.
Entonces, ¿qué ha cambiado? (al menos en Europa)
Según la antigua Ley de Protección de Datos y en palabras del regulador del Reino Unido, ” aunque los controladores de datos no tienen la obligación legal de informar sobre violaciones de seguridad, creemos que las violaciones graves deben informarse a la ICO” . En otras palabras, la denuncia de infracciones era en gran medida opcional.
El Reglamento General de Protección de Datos (RGPD), que entrará en vigor en mayo de 2018 en toda la UE y el EEE, marca un gran cambio. Por primera vez, todas las organizaciones que tienen clientes en la UE se enfrentan a la obligación obligatoria de informar sobre violaciones de seguridad que resulten en la pérdida o el compromiso de datos personales.
Y ahora que las multas máximas que los reguladores pueden imponer aumentarán a 20 millones de euros o el 4% de la facturación global anual, guardar silencio sobre las violaciones (al menos, cuando los datos personales se ven afectados) ya no será una opción.
¿Quiénes son la amenaza?
- El 70% de las filtraciones de datos fueron causadas por actores externos , es decir, partes ajenas a las organizaciones a las que se dirigen.
- De ellos, el 55% estaban categorizados como “crimen organizado”. Nota: como los autores del informe tuvieron cuidado de señalar, “crimen organizado” en este contexto significa “criminales con un proceso”, más que mafia.
¿Cuáles son sus motivos?
- El 86% de las filtraciones de datos tienen como objetivo obtener beneficios económicos .
- Las historias de espionaje industrial y patrocinado por el Estado reciben mucha publicidad. Pero según Verizon, sólo alrededor del 5% de las infracciones están motivadas por espionaje.
- Otros motivos (por ejemplo, diversión, ideología y rencor) aparecen en alrededor del 2% de las infracciones.
- Los datos personales siguen siendo el principal objetivo. El 58% de las infracciones implicaron la explotación de datos personales.
¿Cómo se llevan a cabo las infracciones?
- La mayoría de las infracciones (más del 67%) se deben al robo de credenciales . De estas infracciones, el 37 % utilizó credenciales robadas o débiles y el 25 % involucró phishing. El error humano representó el 22% de estas infracciones.
- El 43% de las infracciones involucraron ataques a aplicaciones web .
- Menos de 1 de cada 20 infracciones aprovechan las vulnerabilidades. Pero eso no quiere decir que pueda darse el lujo de ignorar esas actualizaciones de seguridad de software cuando las obtenga. Como señala el equipo de DBIR, los atacantes probarán vulnerabilidades fáciles de explotar si están disponibles, lo que subraya la importancia de contar con un sistema de gestión de parches.
- Se utilizó ransomware en el 27% de los incidentes relacionados con el uso de malware.
Desgloses sectoriales
- La atención sanitaria es el sector con mayor número de malos actores internos. El 48% de las infracciones de la atención sanitaria fueron perpetradas por personas internas. Por el contrario, sólo el 5% de los incidentes en el sector de la construcción provinieron de dentro.
- Si trabaja en una escuela o universidad, tenga especial cuidado con los ataques de ransomware. El ransomware fue responsable del 80% de todos los incidentes relacionados con malware en este sector, en comparación con un promedio global del 27%.
- En el comercio minorista, el 99% de los incidentes tuvieron motivos económicos. En el sector manufacturero, el riesgo de que se expongan los secretos de la empresa se convierte en una preocupación mucho más apremiante. El espionaje fue el principal motivador.
- Las organizaciones del sector público parecen haber mejorado significativamente en la identificación de infracciones. El DBIR de muestra que solo el 6 % de las infracciones permanecen sin descubrir durante al menos un año, en comparación con el 47 % del informe anterior. Se cree que esta mejora está relacionada con el fortalecimiento de las normas legislativas sobre notificación de infracciones.
Tendencias y puntos para llevar
Robo de credenciales y phishing
Para las filtraciones de datos verificadas, el phishing (es decir, engañar a las víctimas para que revelen sus credenciales) es el método de ataque más común. El grupo DBIR descubrió que en la gran mayoría de los casos (96%), los intentos de phishing llegaban por correo electrónico. El 3% llega a través del sitio web de la organización objetivo, mientras que solo el 1% está vinculado por teléfono/SMS.
Consejos:
- Filtros . Herramientas para filtrar o bloquear correos electrónicos de phishing entrantes.
- Formación y políticas . Capacite al personal sobre cómo detectar y evitar intentos de phishing y solicitudes fraudulentas de información. Esto incluye reglas estrictas sobre la no divulgación de credenciales y sobre la importancia de la seguridad/exclusividad de la contraseña.
- Autenticación multifactor . Por ejemplo, digamos que un actor de amenazas logró obtener un nombre de usuario y contraseña. En ausencia de un código numérico enviado al móvil del usuario, se le seguirá negando el acceso a la plataforma correspondiente.
Infracciones de aplicaciones web
El DBIR 2020 mostró que el 43 % de las infracciones implicaban ataques a aplicaciones web, el doble que el año pasado. Esto está estrechamente relacionado con el hecho de que muchas empresas han pasado al uso de software como servicio (SAAS) basado en la nube y al almacenamiento de datos en la nube.
Consejos:
- Haz tu investigación . ¡Tenga cuidado con los proveedores de servicios en la nube con los que hace negocios! Los proveedores acreditados estarán encantados de proporcionar información verificable sobre la detección de infracciones, el seguimiento, el cifrado y otras medidas de protección de datos que tengan implementadas.
- Monitoreo de red . Esto le permite detectar comportamientos inusuales (por ejemplo, ubicaciones/horas de inicio de sesión desconocidas) que podrían indicar un intento de inicio de sesión no autorizado.
- Habilitar actualizaciones automáticas . Estas configuraciones de actualización pueden ser especialmente valiosas cuando tiene una fuerza laboral dispersa. Significa que puede estar seguro de que las vulnerabilidades se cierran rápidamente, con suerte antes de que los actores de amenazas tengan la oportunidad de explotarlas.
Secuestro de datos
El ransomware estuvo involucrado en el 27% de los incidentes relacionados con malware, un poco más que el 24% del año anterior. El 18% de las organizaciones bloquearon al menos una pieza de ransomware durante todo el año. El grupo DBIR se refiere a este tipo de ataques como “un gran problema que cada vez es mayor”.
Consejos:
- Copias de seguridad periódicas de archivos importantes para garantizar la restauración y la continuidad del negocio en caso de un ataque. Asegúrese de que las copias de seguridad se mantengan separadas de su red.
- Los mecanismos activos de filtrado y bloqueo pueden reducir la probabilidad de que contenido malicioso llegue a su red.
- Las medidas de prevención de movimientos laterales pueden evitar que el ransomware y otras formas de malware se propaguen por toda su organización. Por ejemplo, la segmentación de redes implica identificar, agrupar y aislar sistemas críticos. Puede ayudar a poner en cuarentena eficazmente partes clave de su red en caso de un ataque.
2024: un año para pensar inteligentemente en la mejora de habilidades
Las organizaciones podrían verse afectadas por ransomware, un ataque DDoS, ser el objetivo de una estafa de phishing, o simplemente tener un caso de negligencia en el frente de las copias de seguridad. Los jefes de empresas no saben exactamente dónde o cómo se verán afectados este año, pero la lista de amenazas es cada vez más larga.
Pero lo que realmente les mantiene despiertos por la noche es su capacidad para afrontar cualquier cosa que se les presente. Según ESG, el 53% de los profesionales de TI de todo el mundo se enfrentan a una problemática escasez de habilidades en ciberseguridad. Y el problema es cada vez mayor.
La escasez de habilidades en ciberseguridad es una realidad que no podemos ignorar. Alentemos la formación y el desarrollo de más talento en este campo para garantizar un futuro digital más seguro y resistente.
Así que aquí tienes un propósito de Año Nuevo que vale la pena considerar seriamente: si has querido mejorar tus habilidades en seguridad cibernética pero nunca lo has logrado, ahora es definitivamente el momento de dar el siguiente paso. ¿Por qué no considerar nuestro curso Universidad Hacking. Todo en Ciberseguridad. Curso Completo con una excelente relación calidad-precio? ¡Desarrolla tus habilidades cibernéticas y avanza en tu carrera!
Universidad Hacking. Todo en Ciberseguridad. Curso Completo
Aprende Hacking Ético y Ciberseguridad sin necesitar conocimientos Previos. Practica Hacking Ético y Ciberseguridad aquí: https://achirou.com/universidad
El Hacking Ético y Ciberseguridad es Transversal a todo lo que sea Tecnología. Es decir, cualquier dispositivo inteligente, sea Celular, Computadora, o hasta hoy un Vehículo, debe haber Seguridad informática.
¿Esto que significa?
Que hoy más que nunca, se necesitan personas capacitadas en este rubro para trabajar.
Por esa razón cree esta formación profesional para compartirte mis conocimientos y experiencia en la materia y puedas iniciar en este mundo del Hacking Ético y Ciberseguridad.
Te voy a estar acompañando en el proceso de aprendizaje, donde si estas empezando desde 0, sin conocimientos previos, no es un impedimento ya que iniciaremos como si no supieras nada de la materia.
Y si sos una persona con conocimientos, podrás iniciar directamente en el nivel más avanzado o en el que tu elijas.
Como en todos mis cursos en udemy, tendrás muchísima practica para que materialices lo que vas aprendiendo.
Yo soy Álvaro Chirou, tengo más de 20 Años de experiencia trabajando en Tecnología, eh dado disertaciones en eventos internacionales como OWASP, tengo más de 500.000 estudiantes en Udemy y 100 formaciones profesionales impartidas en la misma.
Empieza a aprender ya mismo!
Recuerda que tienes Acceso de por vida al curso y recibirás las actualizaciones que se hagan sobre el mismo.
Lo que aprenderás
- Aprende Seguridad informática
- Te enseñare Hacking Ético
- Veremos Ciberseguridad
- La base principal del Hacking, Redes
- Esto es alternativo que puedes aprender, Programación (python)
- Necesitaras saber Python para, Hacking con Python
- Te enseñare Análisis de Malware, además haremos laboratorios, practicas y ejecutaremos Malware para que veas su comportamiento
- Te enseñare a reforzar tu Privacidad y Anonimato
- Aprenderás una de las herramientas mas populares por excelencia en el mundo del Hacking, Metasploit
- Es importante que aprendas Seguridad informática Mobile ya que usamos nuestro celular como una PC
- Veremos también el top 10 de Owasp Web
- Veremos también el top 10 de Owasp mobile
- Veremos también el top 10 de Owasp API
- Ante la demanda del mercado, te enseñare Seguridad informática para empresas
- Veras también la suit de herramientas de seguridad informática en un sistema operativo, Kali Linux
- Herramientas de hacking para el celular en Termux
- Seguridad informática en WordPress
- Análisis de trafico en Wireshark
Aprende Hacking Ético y Ciberseguridad sin necesitar conocimientos Previos. Practica Hacking Ético y Ciberseguridad aquí: https://achirou.com/universidad
¿Te gustaría enterarte de cuando lanzamos descuentos al Máximo o Nuevos Cursos?