Continuar leyendo «Ciberamenazas y seguridad de la VoIP: ¿Es seguro el VoIP?»
Ciberamenazas y seguridad de la VoIP: ¿Es seguro el VoIP?
Seguridad en WebRTC: Comunicaciones más seguras incorporadas en el navegador
Continuar leyendo «Seguridad en WebRTC: Comunicaciones más seguras incorporadas en el navegador»
Qué esperar cuando proteges datos
Para vender ciberseguridad, los MSP tienen que estar preparados y al loro
Una buena forma de resumir la ciberseguridad es parafraseando al novelista Joseph Heller: “Que estés paranoico no significa que no te persigan”.
Continuar leyendo «Qué esperar cuando proteges datos»
El estado de los vínculos de las UC&C con Rusia
Durante más de una década, se han gestado en Rusia varios ciberataques y riesgos generales para la seguridad en la red, aumentando en frecuencia y siendo cada vez más evidentemente su relación con el gobierno ruso. Ahora, con la invasión Rusia de Ucrania, la ciberguerra del Kremlin se ha materializado también en una guerra física.
Como resultado, las actividades patrocinadas por el Estado para reunir información de forma ilícita ya no se pueden considerar amenazas abstractas. En estos momentos son actividades que actúan al servicio de un ataque real y contribuyen a la destrucción generada.
En relación con el conflicto, es especialmente importante reflexionar sobre la posición de las compañías tecnológicas en relación con Rusia. Después de todo, la continuidad de las inversiones en la infraestructura tecnológica rusa genera posibilidades de que el gobierno ruso continúe con la guerra cibernética y, por extensión, favorece los esfuerzos bélicos físicos que están en curso en Ucrania.
En consecuencia, muchas empresas tecnológicas han anunciado expresamente la ruptura completa con Rusia en todas sus formas, incluyendo a los grandes protagonistas como Apple, Oracle y SAP. Wildix, en la misma línea, ha denunciado la invasión y expresamente ha retirado todas las cuentas rusas de su red de comunicaciones en la nube.
¿Cómo han reaccionado otras empresas de comunicaciones digitales a esta situación? Si bien algunas han dado una firme respuesta, muchas siguen guardando silencio al respecto.
Analizamos la respuesta de los proveedores de comunicaciones a la invasión de Ucrania
Microsoft
El desarrollador de la plataforma Teams no se ha cortado en su postura con los vínculos rusos: el 4 de marzo de 2022 la empresa anunció que iba a suspender todas las nuevas ventas y servicios en Rusia, citando expresamente la invasión de Ucrania como justificación.
Del mismo modo, ese anuncio por sí solo no indica necesariamente una ruptura total con Rusia. En el momento de escribir esto, Microsoft sigue operando en su oficina de Moscú, aunque no está claro si se desalojará o seguirá en funcionamiento. Sin embargo, el mismo día que anunció que detendría sus servicios en Rusia, la oficina de Microsoft en Moscú publicó un anuncio de trabajo para un Technical Support Engineering Manager en LinkedIn. Esto parece indicar que tiene planes de continuar funcionando en Rusia.
Vonage
Echando un vistazo al sitio web de Vonage, hay algunas secciones que parecen dirigirse a los consumidores basados en Rusia. Además, la empresa matriz de Vonage, Ericsson, tiene una importante sección dirigida a Rusia en su página web, así como una larga lista de anuncios de trabajo para sus oficinas rusas. De momento, Vonage no ha hecho ninguna declaración sobre sus planes futuros en relación con sus vínculos rusos a la vista de la invasión de Ucrania.
Lo que sí ha publicado Vonage, entre sus habituales publicaciones en redes sociales, es la repetición de un informe de tendencias del 2021 que utiliza datos de los consumidores rusos. Aunque es necesario descargar ese informe para poder comprobar expresamente los lazos con Rusia, si consideramos esto junto al contenido disponible en la web de Vonage dirigido al público ruso, todo parece indicar que continúan trabajando en esta nación.
RingCentral
Aunque tampoco hemos visto que RingCentral haya manifestado nada en relación con Rusia o con la invasión, la empresa parece haber eliminado las menciones a Rusia de su sitio web. También se ha distanciado de los viejos lazos con Rusia, siendo uno de los más notables el hecho de que su cofundador se haya convertido en un ciudadano estadounidense de pleno derecho.
Sin embargo, parecen persistir algunos indicios de estos vínculos, como por ejemplo las opiniones en Glassdoor sobre la oficina de RingCentral en Moscú que siguen apareciendo, en concreto el 1 de marzo de 2022. Además, RingCentral sigue mencionando en su sitio web que los datos personales almacenados en los EE UU o en el Espacio Económico Europeo podrán ser accesibles desde Rusia.
8×8
En términos generales, los lazos entre 8×8 y Rusia parecen ser mínimos desde el primer momento, pues la empresa no tiene servidores de datos, oficinas ni empleados en esta nación, en apariencia. Aunque 8×8 no se ha pronunciado sobre Rusia o la invasión, parece que tiene pocas conexiones que romper.
La única excepción parece ser que el pasado año 8×8 anunció que estaban ampliando los servicios telefónicos a Rusia, una oferta que no hay evidencia de que hayan retirado.
Cisco
En el caso de Cisco, la cuestión de los vínculos con Rusia ha sido muy explícita. El 3 de marzo de 2022 la empresa anunció formalmente una interrupción de todas las operaciones comerciales en Rusia, comprometiéndose a apoyar sus relaciones ucranianas y condenando la invasión rusa de la región. Una búsqueda superficial de los anuncios de trabajo de la empresa respalda esta declaración, pues no aparece ninguno en el filtro de la Federación Rusa.
Aunque Cisco tiene una oficina ubicada en Moscú y el sitio web ruso de la empresa sigue estando disponible, no se puede confirmar que estos recursos sigan en uso en el mercado ruso.
Aunque en materia de Unified Communications pensamos en Google como desarrollador de Meet, sus soluciones empresariales son, como es sabido, mucho más amplias. Uno de los principales servicios de la empresa, Google Ads, fue suspendido en Rusia el 3 de marzo de 2022, en respuesta a las crecientes exigencias de censura por parte del gobierno ruso en la publicidad mostrada en el país.
Antes de eso, Google retiró las noticias de Russia Today y Sputnik, medios patrocinados por el gobierno ruso, de su Play Store. Sin embargo, parece que la plataforma Meet sigue estando disponible para su uso en Rusia.
Mitel
La empresa canadiense Mitel no se ha pronunciado sobre los posibles lazos con Rusia, a pesar de que hace negocios en la región desde 2011 e incluso tiene una oficina en Moscú. También publicitó un roadshow con una parada en Rusia en 2019.
Cabe especificar que, pese a contar con una presencia telefónica extendida en Rusia, los principales centros de datos de la empresa están ubicados únicamente en Reino Unido, Francia, Canadá y Estados Unidos. En cualquier caso, nada sugiere que Mitel haya roto sus lazos comerciales pasados con Rusia.
Wildix
Aunque Wildix ya tenía muy poca relación con Rusia, la empresa se ha esmerado en romper incluso esas pocas conexiones retirando las pocas cuentas ubicadas en Rusia de su sistema PBX en la nube, así como cualquier mención a este país en su web.
Como una buena parte de la plantilla de Wildix es ucraniana, la empresa ha hecho muchos esfuerzos para evacuar a tantos empleados como fuera posible del país durante la invasión rusa. Esto se une a un impulso más intenso para trasladar a los clientes a las centralitas en la nube, aprovechando la seguridad reforzada que proporciona esta plataforma, especialmente frente a los ciberataques desde Rusia.
Mirando al futuro
En el momento de escribir este artículo parece que Rusia no tiene ninguna intención de desescalar su invasión en Ucrania, lo que seguramente implica reforzar sus intensas operaciones de hacking. Como estos ciberataques normalmente incluyen la captura de documentos confidenciales y ransomware, resulta más esencial si cabe que los individuos y las empresas implementen prácticas de seguridad en la red.
Una de las primeras medidas que conviene adoptar es valorar si las redes y los canales que utilizamos tienen vínculos con Rusia. Históricamente, los ciberatacantes apoyados por Rusia han utilizado cualquier canal de internet al que pudieran acceder para realizar operaciones ilícitas. La triste realidad es que si utilizas un canal que siga relacionado con Rusia, el riesgo de que se vea afectado aumenta.
En el tiempo que viene, es vital para la conciencia y la seguridad evaluar quién se queda en Rusia en medio de estos ataques y quién ha decidido marcharse por completo.
Ciberataques rusos. Las amenazas más turbias para la seguridad, al descubierto
Actualmente, la carrera armamentística más desesperada ha dejado de centrarse en producir bombas cada vez más destructivas para centrarse en cómo romper la seguridad digital. Igual que ocurría con la amenaza nuclear, uno de los principales adversarios en este campo es Rusia, cuyos esfuerzos por infiltrar bases de datos virtuales se ha ampliado enormemente, contaminando desde organizaciones políticas hasta plantas energéticas y demostrando que las incursiones pueden ser tan efectivas como escurridizas.
Aun así, los servicios de inteligencia gubernamentales de distintos países del mundo han logrado registrar e identificar algunas de estas amenazas originadas en Rusia. En su investigación, estas agencias han desvelado la identidad de los grupos responsables y las principales metodologías empleadas en los ciberataques.
Ahora que Rusia está protagonizando despliegues físicos en el mundo, no hay palabras para enfatizar la importancia de comprender cómo operan estos grupos para los expertos en comunicaciones digitales. Si te preocupa mantenerte a salvo, es fundamental que seas consciente de los peligros que hay ahí fuera.
Snake
Una de las figuras que sobresalen en la lista de delincuentes digitales de Rusia es Snake, un colectivo de hackers que parece estar en funcionamiento desde 2004. La asociación está considerada por la Oficina Federal para la Protección de la Constitución de Alemania (BfV) como el “Santo Grial del espionaje” y recibe la máxima clasificación posible en el índice de amenazas persistentes avanzadas (Advanced Persistent Threat o APT).
El primer ataque conocido de Snake fue realizado en diciembre de 2017, cuando el malware que infectó el Ministerio de Exteriores alemán empezó a tomar el control de sus ordenadores para entrar en sitios web falsificados. Esto permitió a Snake recoger datos de los servidores del Ministerio y acceder a documentación clasificada.
Por suerte para los investigadores, sin embargo, los ciberatacantes dejaron dos nombres de usuario en las bases de datos hackeadas: “Vlad” y “Urik”. A pesar de su vaguedad, estos nicks sirvieron para encontrar un rastro de los ataques hacia la empresa rusa Center-Inform. Como Center-Inform tiene vínculos conocidos con el Servicio de Seguridad Federal de Rusia (FSB), las comunidades de inteligencia a nivel mundial han concluido que Snake opera como un grupo de ciberataques patrocinado por el Estado ruso.
Tanto el BFV alemán como la agencia de inteligencia canadiense CSE describen el malware creado por Snake como un “genio” por su diseño. Este piropo revela principalmente la efectividad del malware a la hora de ejecutar ciberataques reales: cuando infecta un ordenador, un hacker puede utilizarlo para recoger datos ilícitamente sin mucho esfuerzo.
Por supuesto, esto solo ocurre cuando los dispositivos están infectados. Sin embargo, como muestran otros ejemplos, esta infección inicial no siempre es consecuencia de una entrada por la fuerza en el sistema.
Fancy Bear
Si seguías la política americana en 2016, este nombre te sonará de algo. Fancy Bear, también conocido como APT28 o Sofacy, irrumpió en los medios tras ser vinculado con los ciberataques ejecutados en la campaña presidencial de Hillary Clinton, el Comité Nacional Demócrata y el Comité de Campaña del Congreso Demócrata en 2016. Sin embargo, se cree que el grupo es responsable de otros ataques entre 2014 y 2018 en entidades de alto perfil, incluyendo la Agencia Mundial contra el Dopaje, la Organización para la Prohibición de Armas Químicas y el laboratorio químico suizo Spiez.
Los objetivos de Fancy Bear no se limitan a los Estados Unidos y la parte occidental de Europa, ni tampoco se conforman con atacar organizaciones. Otras notables víctimas de los ciberataques del grupo incluyen a periodistas de Rusia, Ucrania y Moldavia que son críticos con Vladimir Putin. Entre 2014 y 2016, entre las operaciones rusas en Ucrania y Crimea, los ciberataques relacionados con Fancy Bear incluso afectaron a unidades de artillería ucranianas, dejándolas inoperativas.
Los objetivos de Fancy Bear coinciden ampliamente con los intereses estatales de Rusia, por lo que es fácil asumir que están asociados con el Kremlin. Además, las investigaciones desarrolladas por la firma de ciberseguridad CrowdStrike, el Ministerio de Exteriores y relaciones con la Commonwealth de Reino Unido y la Oficina del Asesor Legal de Estados Unidos vinculan a Fancy Bear con el gobierno ruso y la agencia de inteligencia rusa GRU.
Lo que hace que Fancy Bear destaque entre los ciberataques es su metodología. El grupo normalmente no obtiene los datos mediante una infiltración por la fuerza sino por la ingeniería social: crea sitios webs que engañan a los usuarios para que introduzcan datos confidenciales. Muchas de sus campañas han sido incluso el resultado de comunicaciones telefónicas que inducen a los destinatarios a compartir sus credenciales de inicio de sesión (conocido como phishing o, en el caso de dirigirse a una persona o cuenta importante, spear phishing). Cuando los objetivos hacen clic en estos sitios webs o introducen sus credenciales, Fancy Bear infecta el dispositivo que ilícitamente recoge datos del propio dispositivo y su red.
Fancy Bear es muy efectivo al cumplir lo que se propone y es incluso capaz de realizar varias campañas de hackeo simultáneas. Sin embargo, está muy lejos de ser el único grupo ruso que recurre a este tipo de técnicas.
Cozy Bear
Otra entidad con fuertes lazos con Rusia conocida por hacer un intenso uso del phishing es Cozy Bear, también llamada APT29 o The Dukes. Con actividad al menos desde 2008, se cree que Cozy Bear está asociada con el Servicio de Inteligencia Exterior ruso (SVR) y ataca redes gubernamentales en Europa, especialmente en los Estados miembros de la OTAN. Otros objetivos del grupo incluyen think tanks y, según parece, también el Comité Nacional Demócrata en Estados Unidos.
El ciberataque más impactante de Cozy Bear tuvo lugar en 2020 con una fuga de datos masiva en SolarWinds. SolarWinds, una firma tecnológica estadounidense, fue infiltrada por seguidores de Cozy Bear para colocar malware de recogida de datos en el principal sistema de la empresa. Esta acción no tardó en expandirse hasta alcanzar miles de víctimas ya que SolarWinds distribuyó el código alterado sin saberlo mediante una actualización, transmitiendo el problema a sus principales clientes, incluyendo Microsoft, Intel y el Departamento de Defensa de Estados Unidos.
Igual que Fancy Bear, Cozy Bear utiliza spear phishing como su principal medio para acceder a los sistemas, con enormes campañas que aspiran a conseguir las credenciales de personajes importantes en organizaciones clave. El grupo es conocido por su tremenda persistencia en estos esfuerzos, y no duda en renovar sus intentos contra un mismo objetivo si pierde el acceso conseguido.
Sandworm
Aunque es el principal nombre con el que se conoce a este grupo, también se llama Voodoo Bear en algunos círculos. Pero con independencia del nombre que tenga, Sandworm es uno de los ciberatacantes vinculados con Rusia con peor reputación.
Asociado con el GRU, el Departamento Central de Inteligencia ruso, el grupo llevó a cabo el mayor ciberataque único en la historia con sus ataques de malware a NotPetya, que en 2017 afectó simultáneamente a Francia, Alemania, Italia, Polonia, Reino Unido, Estados Unidos y especialmente a Ucrania, costando a las víctimas un total de 10 mil millones de dólares en daños.
En acciones más recientes, Sandworm ha desarrollado un malware llamado Cyclops Blink, que agentes malintencionados han logrado colocar en dispositivos de red producidos por el proveedor de seguridad IT Watchguard. Según las agencias de inteligencia estadounidenses, Cyclops Blink es un digno sucesor del programa VPNFilter de Sandworm. Años antes, VPNFilter infectó redes de rúters y se propagó a medio millón de equipos, convirtiéndolas en una botnet global controlada por Sandworm y, en consecuencia, por el GRU.
¿Cuál es el objetivo final de VPNFilter? O, en este caso, ¿cuál es el objetivo de Cyclops Blink? La verdad es que no lo sabemos del todo. Si bien es probable que Sandworm haya instalado este malware con propósitos de vigilancia, es igual de posible que estén implementando una infraestructura digital para encubrir las comunicaciones con origen en Rusia. Igualmente, la razón podría ser sentar las bases para una alteración masiva de las redes afectadas. A este respecto, vale la pena recordar que Sandworm fue capaz de tumbar partes importantes de la red eléctrica ucraniana en 2015.
La buena noticia es que, en el caso de Cyclops Blink, Watchguard consiguió solucionar con éxito la vulnerabilidad que Sandworm utilizó para acceder y los usuarios pudieron deshacerse del malware limpiando sus dispositivos y reinstalando el software. Sin embargo, el ejemplo ilustra perfectamente que el hardware personal puede ser un vehículo para herramientas que involuntariamente faciliten ciberataques.
Buenas prácticas y lecciones aprendidas
Por mucho que estos grupos quieran mostrarse como ocultos e imparables, lo cierto es que ninguna de sus metodologías garantiza el acceso que buscan. Incluso cuando expertos piratas informáticos acechan en la red, una combinación de buenas prácticas de seguridad y un software con diseño inteligente son aliados extraordinarios para mantener la seguridad.
Entre estas buenas prácticas, la principal es contar con formación contra los intentos de phishing. Es decir: no hacer clic en enlaces sospechosos, no responder a correos electrónicos de spam y nunca contestar mensajes con tus credenciales de acceso o la información para recuperar tus cuentas. Con el simple hecho de guardar distancias con webs y archivos sospechosos, estarás protegiéndote. Sin embargo, lo mejor es que consideres también incorporar mecanismos adicionales de seguridad en las cuentas importantes con la autenticación de doble factor o el inicio de sesión único.
En cuanto a la infraestructura del sistema, pasar del hardware instalado en una sede física a la nube también ofrece protección virtual reforzada. Piensa en cuántas veces los ciberatacantes utilizan malware que aprovecha el hardware para ejecutar sus acciones: cuando el sistema pasa a la nube, este riesgo se mitiga notablemente porque las vulnerabilidades se solucionan en cuanto se lanza el hotfix correspondiente y porque ya no existe un dispositivo de hardware tradicional que se pueda infectar.
En términos generales, por supuesto, sigue valiendo la pena utilizar un sistema que cuente con protocolos de seguridad inteligentes. En lo que respecta a las comunicaciones digitales, Wildix destaca por contar con una estructura completamente segura por diseño, desde su concepción, gracias a la combinación de tecnologías que protegen a los usuarios de infiltraciones y fisgones indeseables sin VPN, SBC ni otros productos añadidos. Puedes leer más sobre las prácticas de seguridad de Wildix en nuestra guía.
Con independencia de lo que hagas y lo que elijas, hacerlo con total seguridad nunca ha sido tan esencial como ahora. A medida que Rusia actúa en Ucrania, es más fácil que lancen potentes ciberataques y se dirijan al hardware extranjero para redoblar sus actuaciones en el proceso militar. Si quieres alejarte de estos esfuerzos bélicos, empieza por conocer los métodos de ciberataque más comunes en Rusia y por mantener tus dispositivos a salvo frente a ellos.
Para más consejos sobre ciberseguridad y protección digital, ¡suscríbete para recibir gratis nuestro magazine!