En l’article Alerta per l’augment de ciberatacs contra les entitats es feia palès l’augment dels ciberatacs en els darrers anys. Si bé les organitzacions cada cop tenen més consciència de la necessitat d’invertir en seguretat digital, les petites i mitjanes entitats sense ànim de lucre encara arrosseguen aquesta mancança.
Tot i que considerem que la nostra entitat és poc rellevant o no tenim informació d’interès per als ciberatacants, això no és així. Com més fràgil sigui la seguretat de la nostra entitat i com més exposada estigui als atacs, més fàcil serà patir-ne un. I, encara que les pèrdues no siguin milionàries com en les grans empreses, pot suposar inconvenients molt greus.
A mesura que les possibles víctimes s’han reforçat, les organitzacions criminals han vist clarament una davallada en els seus ingressos pels atacs. Per això, l’objectiu ja no és només el pagament del rescat i de les dades robades o bloquejades, sinó que aquests operadors de ransomware estan monetitzant les dades robades al mercat negre per obtenir ingressos addicionals, retroalimentats.
És a dir, les dades robades són posades a la venda al mercat negre perquè una altra organització les faci servir i, alhora, tornar a perpetrar un nou atac sobre les dades robades. Les dades del sector de la sanitat són les més valuoses, així com les sensibles (dades personals, estudis…).
Alguns tipus de ciberatacs
Existeixen moltes fórmules per atacar digitalment. A continuació, es mostren els tipus més habituals que poden patir les entitats:
- Phishing: enganyar els usuaris perquè proporcionin informació confidencial a través de correus electrònics o missatges de text.
- Malware: infectar un ordinador o una xarxa amb un software maliciós per obtenir accés a dades confidencials o demanar un rescat per desbloquejar les dades xifrades.
- Atacs de força bruta: provar un gran nombre de combinacions de contrasenyes per accedir a un compte o sistema. Normalment, es fan servir ‘Diccionaris’ de contrasenyes. Per això, és important posar contrasenyes complexes, més enllà de no tenir-les a la vista o guardar-les als dispositius.
- Suplantació d’identitat: fer-se passar per una altra persona o organització per obtenir informació o enganyar altres persones per realitzar accions no desitjades.
- Atacs BEC: utilitzen correus electrònics suplantats per enganyar els destinataris i aconseguir l’accés a dades o diners. Solen dirigir-se a empreses o organitzacions i els atacants sovint es fan passar per empleats, proveïdors o altres contactes confiables de la víctima.
Durant el 2022 els casos de frau de correu professionals publicats han augmentat un 300% respecte el 2021.
En un atac BEC típic, l’atacant envia un correu electrònic suplantat a un empleat de l’empresa, demanant dades o informació confidencial, o bé sol·licitant una transferència de fons a un compte bancari controlat per l’atacant. El correu electrònic pot semblar autèntic, amb un remitent similar al d’un contacte legítim de la víctima, i pot contenir informació específica i personalitzada que fa que el correu electrònic sigui més creïble.
La millor manera d’anticipar-se és ser conscients de la seva existència i dur a terme l’anomenat Zero Trust (confiança cero), és a dir sospitar de tot allò que podria dur-nos a un engany, fins i tot, si ve de persones de confiança.
Coneix el Servei informàtic de Suport Tercer Sector
Previsió i protecció contra els ciberatacs
Per a una correcta protecció, són necessaris cadascun dels nivells del cicle de vida de la ciberseguretat. L’Institut Nacional d’Estàndards i Tecnologia els descriu de la següent manera:
- Identificar: identificació dels sistemes, les dades i els recursos crítics que són importants per a l’organització. Això inclou la creació d’un inventari d’actius, la identificació de les amenaces i la valoració dels riscos per ajudar a prioritzar la gestió de la seguretat.
- Protegir: implementació de mesures de seguretat per prevenir o minimitzar els atacs. Això inclou la implementació de polítiques de seguretat, la formació del personal en ciberseguretat, la implementació de controls d’accés i la gestió de les vulnerabilitats.
- Detectar: identificació ràpida i efectiva de les amenaces i els atacs. Això inclou la implementació de sistemes de monitoratge i alerta, la realització de revisions de seguretat periòdiques i l’establiment d’indicadors de compromís per ajudar a detectar les amenaces.
- Respondre: resposta ràpida i efectiva als incidents de seguretat. Això inclou la definició de procediments d’actuació davant d’incidents, la coordinació dels esforços d’investigació i resposta, i la comunicació amb les autoritats competents.
- Recuperar: restauració dels sistemes i les dades després d’un incident de seguretat. Això inclou la realització de còpies de seguretat i la implementació de plans de contingència per minimitzar l’impacte dels incidents de seguretat i garantir la continuïtat dels negocis.
En resum, aquests cinc nivells són fonamentals per a la gestió eficaç de la ciberseguretat i per protegir les organitzacions contra els atacs TIC. Les empreses que creen i distribueixen solucions per a la seguretat, no destinen els mateixos recursos a tots els nivells del cicle. En la majoria dels casos, els usuaris adquireixen els productes de seguretat, no perquè coneguin les necessitats sinó perquè els fabricants parlen de les necessitats que el seu producte pot cobrir. No obstant això, és important tenir consciència de la importància de la seguretat a les TIC.