INTECO

La mayoría de empresas y organismos de seguridad coincidimos en destacar que las previsiones para este año que comienza son:

1. Predominarán los ataques en las redes sociales, lo que conocemos como Web 2.0, y aumentará su sofisticación

   Se espera un aumento del volumen de spam; un incremento de ataques en las redes sociales –Facebook, Twitter, Tuenti…- y más resultados maliciosos en los buscadores.

   En el 2009 vimos numerosos ataques dirigidos a través de redes sociales y en herramientas colaborativas; oleadas de correos suplantadores que buscaban capturar las credenciales de acceso a estos servicios y malware que se propagaba a través de estos mismos canales, entre los amigos y con mensajes atractivos del tipo: ¡Mira, que fotos!, o ¡Sales en este video!. Esta tendencia seguirá acentuándose ya que estos ataques consiguen un alto grado de efectividad en su propagación debido a la gran credibilidad que los usuarios otorgan a los mensajes dentro de la red social.

2. Ingeniería social como principal vector de ataque

   La seguridad de las aplicaciones y sistemas cada vez es más robusta y las medidas de protección han mejorado notablemente, por ello, los atacantes prefieren dirigirse directamente a los usuarios finales con la intención de engañarles para que descarguen programas maliciosos o faciliten información sensible, bajo la apariencia de que están haciendo algo completamente normal; esto es lo que conocemos como ingeniería social. La ingeniería social es independiente del sistema operativo o navegador que se use, por lo que las víctimas potenciales son mucho mayores, como es el caso del phishing bancario. Por eso, estas técnicas también seguirán utilizándose y combinándose con otras, como por ejemplo, engañar al usuario para que visite una página desde la que ver un falso vídeo, y así poder aprovechar una vulnerabilidad del navegador o reproductor multimedia.

   Los atacantes seguirán utilizando mensajes llamativos o alarmantes, noticias de actualidad como eventos internacionales o catástrofes que se usan como reclamo para captar la atención de los usuarios y embaucarles a realizar determinadas acciones en su provecho. En ese sentido: cuidado este año con la cita del mundial de fútbol y, en cualquier caso, apliquemos el sentido común.

3. Los antivirus son un complemento, pero no son suficientes por sí solos

   Con el aumento de las amenazas polimórficas y la explosión de malware en 2009, la industria se ha dado cuenta de que los enfoques tradicionales de antivirus, de firmas de archivo y heurística, no son suficientes para protegerse contra las amenazas actuales. Como dice Symantec en su análisis del 2009 se ha llegado a un punto de inflexión donde los nuevos programas maliciosos se están creando a un ritmo mayor que los programas legítimos.

   No podemos confiar la seguridad en sólo una herramienta, la seguridad debe ser algo global, a todos los niveles, y en el que tiene mucho que ver la prevención mediante la adopción de buenas prácticas: actualizar los sistemas y aplicaciones, descargar de fuentes de confianza, ser precavido con las contraseñas, etc.

4. Los falsos antivirus seguirán siendo un negocio

   El año pasado fue el auge de las falsas soluciones de seguridad, los atacantes convencían a los usuarios de que su ordenador estaba infectado (p.ej. páginas que imitaban el análisis de un antivirus) para, a continuación, aconsejarle un antivirus con el que desinfectar el sistema. Al final, para conseguir limpiarlo satisfactoriamente, es necesario comprar la versión de pago del producto, con lo que, por un lado, el usuario está siendo estafado al pagar por una herramienta que no hace su función y, por otro, está facilitando sus datos financieros a los estafadores. Informes de Panda reflejan que este tipo de fraude mueve gran cantidad de dinero.

   En este año se espera que, para convencer al usuario de que compre el producto, incluso se llegue a secuestrar el PC, o determinados ficheros, con los que chantajear al usuario para la compra.

   Recomendamos acudir a fabricantes de confianza para proteger el sistema, del mismo modo que no iríamos a cualquier médico para velar por nuestra salud. Se puede consultar en foros especializados, o contrastar la reputación de una solución de seguridad antes de pagar por ella.

5. Aplicaciones de terceros en redes sociales objetivo de los atacantes

   Los creadores de malware están allí donde hay gran cantidad de usuarios, y estas plataformas serán objetivo prioritario para ellos. A medida que las redes sociales vayan proporcionando a terceros desarrolladores cada vez más acceso a sus API, con la que acceder a la información de las cuentas de los usuarios, los atacantes buscarán vulnerabilidades en estas aplicaciones de terceros, de igual forma que vimos cómo se aprovechaban los plugins del navegador, que ya han empezado a desarrollarse de forma más segura.

   Cuidado con las aplicaciones de terceros que añadimos, tengamos en cuenta su procedencia y leamos con detenimiento las condiciones de uso y privacidad. Del mismo modo que, antes de instalarlas, merece la pena invertir un poco de tiempo en contrastar la reputación de estas aplicaciones. El año pasado ya se vieron algunas que estaban desarrolladas explícitamente para defraudar a los usuarios.

6. Nuevas plataformas entran en acción

   El nuevo sistema operativo de Microsoft , Windows 7, está teniendo gran aceptación, por lo que veremos ataques dirigidos contra él, enfocados principalmente en saltarse la protección que brinda la funcionalidad UAC (User Access Control), que nos avisa cuando estamos realizando alguna acción que puede comprometer la seguridad del equipo. De hecho en Octubre ya vimos cómo Microsoft parcheo cinco vulnerabilidades de Windows 7, incluso antes de salir comercialmente al público.

   También la cuota de mercado de Mac OS ha ido aumentando durante los últimos años. Aunque aún no ha alcanzado la masa crítica para que sea tan rentable como los PCs, sí que es cierto que cada vez es más apetitoso para los cibercriminales. El Mac OS se usa al igual que el PC para acceder a redes sociales, correo, navegación… y éstos son los principales sistemas de distribución de malware utilizados por los ciberdelincuentes. En 2009 ya hemos visto bastantes ataques dirigidos a esta plataforma, y crecerán en 2010. Hay que dejar de pensar que sólo Windows es vulnerable a los virus.

7. Los acortadores de URL como gran aliado del phishing

   Son muy útiles para publicar URLs en servicios que tienen limitaciones de carácteres, y facilitan el intercambio al reducir la extensión de las direcciones, pero también suponen un problema de seguridad al reducir la visibilidad que tiene el usuario sobre la página final a la que va a acceder. Permiten engañar más fácilmente al usuario al no prestar atención a la dirección a la que apuntan.

   Se espera que los spammers también aumenten el uso de estos servicios para ofuscar los enlaces que envían en sus correos y así evitar los filtros antispam.

   Para evitar el impacto tan negativo que esto puede tener en los usuarios, los acortadores de URLs están implantando contramedidas implementado filtros, además, ya existen extensiones para los navegadores que permiten ver la URL final.

8. Malware enfocado a dispositivos móviles

   A finales de año vimos varios ataques dirigidos al iPhone, malware enfocado a robar datos de los usuarios y con funcionalidad de bot con la que controlar el dispositivo de forma remota.

   Con el rápido crecimiento de estos dispositivos entre los usuarios, y su uso intensivo en transacciones financieras, compras, banca, etc. serán un claro objetivo para los atacantes.

   Aún así, también hay que tener en cuenta que, mientras que en los PC, Windows todavía sigue siendo la plataforma mayoritaria, facilitando un entorno homogéneo para el facilitar el desarrollo de malware; en los móviles el panorama es mucho más heterogéneo, con multitud de fabricantes diferentes, que emplean hardware y sistemas operativos distintos.

9. La seguridad de la computación en la nube

   El desarrollo del concepto de SaaS durante el año pasado trajo consigo la explosión como fenómeno de la computación en la nube -también conocida como cloud computing-, dicho fenómeno también ha generado controversias respecto a la gestión de la privacidad y la seguridad de estos servicios y entidades como la ENISA, la Cloud Computing Alliance o el SANS institute están desarrollando líneas de investigación y eventos que sin duda nos traerán novedades importantes a lo largo de este año.

10. La seguridad empresarial

    Y por último, un deseo, el aumento de la implantación de la norma ISO 27001, más conocida como SGSI, y que en el ámbito de la cultura empresarial de nuestro país, la visión de la seguridad como proceso y no como un producto, se arraigue lo antes posible.

Estas son las previsiones para el nuevo año, veremos su evolución, a ver si llegan a cumplirse.