El atacante dentro de casa: Cuando las credenciales robadas hacen que la actividad maliciosa parezca legítima
Todo aficionado al cine de terror conoce la escena. Una niñera no deja de recibir llamadas amenazantes, así que pide a la policía que las rastree. Entonces llega el giro aterrador: las llamadas provienen del interior de la casa.
Algunos equipos de seguridad han vivido su propia versión de ese momento. En lugar de rastrear el ataque hasta una dirección IP desconocida que bombardea el firewall, descubren un inicio de sesión válido que pertenece a alguien de la plantilla. Con credenciales robadas, el atacante no necesita forzar la entrada. Ya está dentro de casa y parece un empleado más en su jornada habitual.
La aterradora realidad es que las credenciales robadas siguen siendo una de las vías de acceso más comunes para los atacantes. Las oportunidades abundan: correos de phishing, software malicioso que recopila contraseñas guardadas, contraseñas reutilizadas procedentes de otras filtraciones y tokens de sesión robados que permiten saltarse por completo el inicio de sesión.
El caso de Change Healthcare demuestra cuánto daño puede causar una sola credencial de acceso robada. En febrero de 2024, según una demanda presentada por el estado de Nebraska, los datos de acceso de una cuenta básica de atención al cliente aparecieron en un canal de venta de credenciales robadas en la plataforma de mensajería Telegram. Los atacantes los utilizaron para ingresar a un portal de acceso remoto que, como declaró posteriormente el director ejecutivo de UnitedHealth ante el Senado, no contaba con autenticación multifactor. Nebraska alega que los atacantes pasaron inadvertidos durante nueve días, crearon cuentas de administrador y robaron datos. Según registros federales, la brecha terminó afectando a 192,7 millones de personas.
Nada en ese acceso parecía inusual y, una vez dentro, el atacante obtuvo acceso a todo lo que la cuenta tenía permitido. Eso es lo que hace que este tipo de amenaza sea tan difícil de detectar.
Cuando la actividad normal se vuelve siniestra
La cuestión es esta: la cuenta puede ser legítima, pero el comportamiento normalmente no lo es. Los atacantes tienen objetivos distintos de los empleados, y esos objetivos dejan pistas sobre movimientos sospechosos de datos. Estas son algunas señales que conviene vigilar:
- Una cuenta que abre archivos a los que nunca había accedido, especialmente de departamentos ajenos a las funciones del usuario.
- Aumentos repentinos en el volumen de descargas o accesos masivos a registros que el usuario normalmente consulta de uno en uno.
- Archivos que se comprimen, se renombran o se convierten a otro formato antes de salir de la organización.
- Datos que se transfieren a destinos que el usuario no suele utilizar, como almacenamiento personal en la nube, correo electrónico personal, aplicaciones de software como servicio (SaaS) desconocidas o herramientas de inteligencia artificial (IA).
El crujido de una tabla del suelo no significa nada por sí solo. Súmale pasos y una puerta que ha quedado abierta, y hay alguien más en la casa. Las señales de seguridad funcionan de la misma manera: cualquiera de ellas, por separado, puede ser inocente, pero un patrón de movimientos inusuales de datos indica que es hora de examinar lo que ocurre con más atención.
Cuestiona el rostro amable que aparece en la puerta
La identidad te dice quién está actuando. No te dice si la acción tiene sentido. Para distinguir una cuenta comprometida de un empleado atareado, los equipos de seguridad necesitan contexto en torno a cinco preguntas:
- ¿Quién está accediendo a los datos? Las funciones, el equipo y el historial del usuario establecen una línea base de lo que se considera normal.
- ¿A qué datos está accediendo? Los registros de clientes, el código fuente, las proyecciones financieras y los contratos implican distintos niveles de riesgo.
- ¿De dónde provienen los datos? Los datos extraídos de un repositorio o una carpeta a los que el empleado nunca había accedido merecen un examen más detenido.
- ¿Adónde van los datos? No es lo mismo compartir un archivo en un espacio de trabajo de un socio autorizado que enviar ese mismo archivo a una cuenta personal.
- ¿La actividad corresponde a sus funciones? Que un representante de ventas exporte su propia cartera de oportunidades comerciales es rutinario. Que ese mismo representante extraiga toda la base de datos de clientes no lo es.
Estas preguntas también se aplican a las personas de la organización que actúan con buenas intenciones. En 2023, unos 20 días después de que la división de chips de Samsung habilitara el uso de ChatGPT para su personal, se informó que algunos ingenieros habían pegado código fuente propietario y notas de reuniones internas en instrucciones o consultas (prompts), utilizando cuentas de uso personal que la empresa no podía administrar. Los empleados eran de confianza y la herramienta estaba aprobada, pero no estaba autorizado compartir información propietaria a través de cuentas de uso personal.
Detectar al intruso antes de que ocurra el desastre
En la mayoría de las películas de terror, los personajes advierten las señales demasiado tarde. El objetivo de los equipos de seguridad es detectarlas a tiempo, antes de que los datos sensibles salgan de la organización.
Eso significa observar lo que ocurre después de que alguien ha ingresado:
Conoce dónde se encuentran los datos sensibles y cómo se mueven normalmente. No puedes detectar movimientos inusuales de datos sin una línea base de actividad normal.
Monitorea el movimiento de los datos. Los registros de autenticación muestran quién ingresó, pero el movimiento de los datos revela qué está haciendo.
Correlaciona las señales de los distintos sistemas. Las acciones de un atacante suelen abarcar el correo electrónico, el almacenamiento en la nube, las aplicaciones SaaS y los dispositivos finales. Visto por separado, cada paso puede parecer inofensivo.
Ajusta la respuesta al riesgo. Una señal con un bajo grado de certeza podría generar una solicitud al usuario para que explique el movimiento de datos. Una señal con un alto grado de certeza, como una exfiltración masiva hacia un destino desconocido, justifica bloquear la acción y la sesión.
Vigila las habitaciones y no solo la puerta
No existe una cerradura perfecta. Las credenciales seguirán siendo robadas y los atacantes seguirán entrando. Las organizaciones que mejor salen libradas asumen que el intruso podría estar ya dentro y mantienen vigiladas todas las habitaciones, siguiendo el movimiento de los datos en lugar de fijarse únicamente en quién tiene la llave. Eso les da muchas más posibilidades de tener un final feliz.
OREEN LIVINI SHEIN
Oreen Livni Shein es ingeniero de software e investigador de seguridad en ORION Security. Cuenta con más de siete años de experiencia en ciberseguridad, especializado en seguridad de aplicaciones, prevención de pérdida de datos y seguridad de redes, con un enfoque en las vulnerabilidades presentes en todo el ecosistema de software.
