\n<\/p>\n
\u00abAl final del d\u00eda, la flexibilidad de c\u00f3mo puede abusar de las cuentas corporativas para moverse lateralmente y pasar a otras aplicaciones en la nube: hay tantas formas diferentes en que los atacantes pueden usar las credenciales de la empresa\u00bb, dice Crane Hassold, director. de inteligencia de amenazas en Abnormal Security y exanalista de comportamiento digital para el FBI. \u201cEs por eso que el phishing es tan extremadamente popular entre los ciberdelincuentes, debido a ese retorno de la inversi\u00f3n\u201d.<\/p>\n
Hay formas m\u00e1s s\u00f3lidas de implementar la autenticaci\u00f3n de dos factores, y la nueva generaci\u00f3n de esquemas de inicio de sesi\u00f3n \u00absin contrase\u00f1a\u00bb o \u00abPasskeys\u00bb del est\u00e1ndar industrial FIDO2 prometen un futuro mucho menos phishing. Pero las organizaciones deben comenzar a implementar estas protecciones m\u00e1s s\u00f3lidas para que est\u00e9n en su lugar cuando un actor de ransomware (o un adolescente inquieto) comience a hurgar.<\/p>\n
\u201cEl phishing es obviamente un gran problema, y \u200b\u200bla mayor\u00eda de las cosas que normalmente consideramos autenticaci\u00f3n multifactor, como usar una aplicaci\u00f3n generadora de c\u00f3digo, son al menos algo phishing, porque puedes enga\u00f1ar a alguien para que revele el c\u00f3digo\u201d, dice Jim Fenton, un consultor independiente de seguridad y privacidad de identidad. \u201cPero con las notificaciones autom\u00e1ticas, es demasiado f\u00e1cil lograr que las personas hagan clic en ‘aceptar’. Si tiene que conectar algo directamente a su computadora para autenticarse o usar algo integrado con su terminal, como un sensor biom\u00e9trico, esas son tecnolog\u00edas resistentes al phishing\u00bb.<\/p>\n
Sin embargo, evitar que los atacantes se abran camino en una organizaci\u00f3n a trav\u00e9s del phishing no es el \u00fanico problema. Como mostr\u00f3 el incidente de Uber, una vez que Lapsus$ comprometi\u00f3 una cuenta para obtener acceso, pudieron profundizar en los sistemas de Uber, porque encontraron credenciales para herramientas internas desprotegidas. La seguridad se trata de elevar la barrera de entrada, no de eliminar todas las amenazas, por lo que una fuerte autenticaci\u00f3n en las cuentas externas sin duda habr\u00eda sido de gran ayuda para detener a un grupo como Lapsus$. Pero las organizaciones a\u00fan deben implementar m\u00faltiples l\u00edneas de defensa para que haya un respaldo en caso de que se infrinja una. <\/p>\n
En las \u00faltimas semanas, el ex jefe de seguridad de Twitter, Peiter \u00abMudge\u00bb Zatko, se ha manifestado p\u00fablicamente como un denunciante contra Twitter, testificando ante un comit\u00e9 del Senado de los EE. UU. que el gigante de las redes sociales es lamentablemente inseguro. Las afirmaciones de Zatko, que Twitter niega, ilustran cu\u00e1n alto podr\u00eda ser el costo cuando faltan las defensas internas de una empresa.<\/p>\n
Por su parte, Lapsus$ puede tener la reputaci\u00f3n de ser un actor extravagante y exc\u00e9ntrico, pero los investigadores dicen que el alcance de su \u00e9xito en comprometer a empresas masivas no solo es notable sino tambi\u00e9n inquietante.<\/p>\n
\u201cLapsus$ ha destacado que la industria debe tomar medidas contra estas debilidades en las implementaciones de autenticaci\u00f3n comunes\u201d, dice Demirkapi. \u201cA corto plazo, debemos comenzar por asegurar lo que tenemos actualmente, mientras que a m\u00e1s largo plazo debemos avanzar hacia formas de autenticaci\u00f3n que sean seguras por dise\u00f1o\u201d.<\/p>\n
Ninguna llamada de atenci\u00f3n parece lo suficientemente grave como para producir una inversi\u00f3n masiva y una implementaci\u00f3n r\u00e1pida y ubicua de las defensas de seguridad cibern\u00e9tica, pero con Lapsus$ las organizaciones pueden tener una motivaci\u00f3n adicional ahora que el grupo le ha mostrado al mundo cu\u00e1nto es posible si tienes talento y tienes algo de tiempo en tus manos. <\/p>\n
\u201cLas empresas delictivas cibern\u00e9ticas son exactamente iguales a las empresas leg\u00edtimas en el sentido de que observan lo que hacen otras personas y emulan las estrategias que resultan exitosas\u201d, dice Callow de Emsisoft. \u201cEntonces, las pandillas de ransomware y otras operaciones absolutamente ver\u00e1n lo que ha hecho Lapsus$ para ver qu\u00e9 pueden aprender\u201d.<\/p>\n<\/div>\n