¿Cuáles son los sectores más apetecibles para el cibercrimen?

Con la acumulación de cada vez más información personal, además de dispositivos de la Internet de las Cosas (IoT) y datos de perfiles y sobre transacciones de comercio electrónico, la seguridad de muchos sectores industriales ha aumentado en relevancia en los últimos tiempos. En España el INCIBE-CERT (Instituto Nacional de Ciberseguridad) cuenta con un sistema de respuestas para infraestructuras críticas, además de que publica boletines y alertas en relación con vulnerabilidades y brechas de seguridad de todo tipo tan pronto como suceden. En sus guías y estudios de 2018 se mencionan más de 220 vulnerabilidades, casi un 10 por ciento más que el año anterior.

Consigue tu guía de gestión de ciberseguridad para PYMEs

Las brechas de seguridad más habituales en industria y servicios

Las empresas privadas cuidan de su propia seguridad bien con personal y protocolos propios o mediante la ayuda de proveedores externos, en la llamada Seguridad Gestionada. Esto incluye protecciones en áreas como las credenciales, antivirus, accesos seguros desde equipos externos (SSL, IPSec), intrusiones o incluso ataques de denegación de servicio (DoS o DDoS) que pueden «tumbar» servidores y sistemas críticos. Según el INCIBE, los problemas más típicos que afectan a todos los sectores industriales y de servicios suelen ser principalmente estos:

• Información sensible no borrada correctamente
• Contraseñas insuficientemente seguras
• Petición de recursos web
• Interceptación de canales de comunicación no seguros
• Revelación de información (en ficheros o directorios inapropiados)
• Almacenamiento de contraseñas de forma no segura

Web, Salud y Turismo y Hostelería encabezan la lista

También es interesante analizar los diferentes sectores de los que los atacantes suelen extraer información sensible o confidencial. Los datos varían lógicamente de un país a otro, pero un estudio realizado por Steve Hansen publicado en Hackernoon respecto a Estados Unidos permite hacerse una idea de cómo suele ser. La lista, por orden de «vulnerabilidad», sería más o menos esta:

1. Web
2. Salud
3. Turismo y hostelería
4. Sector público
5. Comercio y finanzas

En España, el INCIBE clasificó los sectores industriales especialmente críticos y vio que los problemas sobresalían en los sectores de la administración, energía, transporte, alimentación y salud.

El principal problema del sector web es su universalidad. Casi todas las empresas que realizan algún tipo de negocio o actividad con clientes guardan esos datos de forma accesible en algún lugar de su web. Los atacantes obtienen un mayor «premio» si consiguen robar datos personales, contraseñas, o datos bancarios. A veces, una brecha de seguridad en estos sitios es la puerta para abrir otros de mayor seguridad, gracias a la posibilidad de impersonar a esas personas, acceder a sus perfiles personales completos o a otro tipo de información crítica.

El sector de la salud es una jugosa fuente de datos personales –incluyendo los de personas famosas– y en algunos países da acceso a recetas o historiales médicos, con la posibilidad de darles malos usos, incluyendo el chantaje. En los sectores del turismo y la hostelería los atacantes pueden acceder a información de pagos de hoteles, viajes, servicios de alquiler y restaurantes, a veces incluso a redes Wi-Fi que pueden interceptar y a mucho más.

Las administraciones con instalaciones modernas suelen estar bien protegidas, si bien las de Estados Unidos son de las peores del mundo en este sentido. Por desgracia, estas instituciones contienen datos muy delicados, tanto personales a nivel estatal como local, de padrones, viviendas o vehículos, por no hablar de los de la administración de justicia, que está en un penoso estado en España, como se ha desvelado a raíz de varios incidentes en los últimos años. El acceso a contratos, concursos públicos y otra información altamente confidencial –posiblemente incluso la política– entraría en esta categoría.

Finamente está el sector más aparentemente goloso, el de las tiendas de todos los tamaños, incluyendo el comercio electrónico. Por un lado almacena la información más actualizada sobre las compras de todo tipo de clientes, incluyendo tarjetas de crédito o cuentas bancarias. Por otro lado son lugares de los que obtener bienes físicos con datos falsos (tarjetas robadas y similares). Otro problema es que muchos sitios de e-Commerce cada vez tienen mayor necesidad de integración con terceras partes: proveedores, otras tiendas, empresas de transporte, etcétera. Esto hace que sea necesario intercambiar toda esa información entre las empresas participantes, lo cual es muy exigente en cuanto a seguridad. La información vuela y es difícil asegurar todos los eslabones de la cadena.

Es vital contar con un partner especializado en ciberseguridad

Un aparte merecen los Sistemas de Control Industrial, tan importantes, numerosos y expuestos a los ataques que el INCIBE realiza una clasificación de sus vulnerabilidades incluso por marcas de fabricantes. La lista es enorme y aunque la mayor parte de las incidencias acaban en el cajón de «Otras marcas», hay varias que por su extendida presencia provocan el mayor número de avisos, concretamente Schneider Electric, Siemens, ABB, Philips y Delta Electronics. Es importante recalcar que esto no indica necesariamente un problema con esas marcas, puesto que a veces aparecen muchos avisos precisamente porque se trata de equipos «puestos más a prueba» o que están en la lista de los más vendidos (y normalmente también más actualizados y parcheados).

Como puede verse el panorama puede resultar un tanto complejo y apabullante. Lo mejor es analizar con ayuda de los expertos dentro de cada sector las necesidades concretas de la empresa, estudiando todos los sistemas y áreas que pueden necesitar de medidas y protocolos específicos de seguridad. Sabiendo además cuáles son los problemas más habituales –algunos de los cuales son muy mundanos y se deducen de estos estudios– es más fácil empezar encargándose de ellos, abarcando así una mayor protección en menos tiempo.

Descarga gratis tu guía de ciberseguridad para PYMEs