Desde Nostradamus hasta las películas de ciencia ficción, pasando por la propia Biblia y su capítulo dedicado al Apocalipsis, las visiones del futuro parecen coincidir en un punto: el futuro es aterrador. ¿Por qué, entonces, no dar esta pátina trágica a las amenazas informáticas en una era en que los delincuentes virtuales disponen de tecnologías muy poderosas para crear sus ataques?
El temor está en el aire y un dato se vuelve ilustrativo: el 86 por ciento de los ejecutivos a nivel mundial cree que la inestabilidad geopolítica mundial podría provocar un acontecimiento catastrófico en ciberseguridad en los próximos dos años, según un estudio de Accenture y el World Economic Forum. La preocupación se alimenta del poder que gana día a día la IA, una aliada clave para crear ataques cada vez más sofisticados, o la computación cuántica, con un poder de procesamiento suficiente como para vulnerar los sistemas de cifrado existentes hasta hoy.
En la Argentina, esta preocupación por el futuro no debe impedir un trabajo más urgente: proteger el presente. "Vivimos una situación bastante preocupante, tanto por la falta de profesionales capacitados como de inversión en herramientas, al tiempo que se suman las trabas para comprar licenciamiento en el exterior por la imposibilidad de girar dólares: un combo explosivo", indica Walter Quiroga, CISO de la proveedora de servicios de telecomunicaciones Metrotel. El ejecutivo distingue no obstante la realidad de las empresas privadas y la de las públicas. "Las primeras van en tren y las segundas, en bicicleta", sostiene.
La aceleración de la transformación digital postpandemia generó avances, es cierto. "La pandemia y el aislamiento social pusieron sobre la mesa el tema de la ciberseguridad, que estaba muy postergado y que se mitigaba con medidas parciales y de urgencia ante incidentes serios", refiere Federico Del Val, head de Technology de la consultora de IT Evoltis. "Los riesgos se hicieron más evidentes y eso aceleró las curvas de aprendizaje, las inversiones en infraestructura relacionada al tema y el cambio cultural", agrega.
El pasado que vuelve
"Vemos puntos pendientes a resolver, los cuales en la gran mayoría de los casos se ven frenados por motivos económicos, pero también observamos un gran avance, en la mayoría de las empresas de argentina para proteger sus sistemas y datos", aporta en la misma dirección Pablo Aguilar, ingeniero senior de Soluciones de VMware.El tema es urgente. De acuerdo con el ESET Security Report 2023, el 24 por ciento de las organizaciones en la Argentina padeció un incidente de seguridad durante 2022.
¿Cómo se vincula ese pasado con deuda en seguridad con este futuro plagado de nuevas amenazas? "Es importante conocer el nivel de madurez de la organización, contar con un plan de acción para que evolucione, disponer de un equipo dedicado a asegurar y proteger los datos, concientizar a toda la organización y mantener capacitado a todo el personal en ciberseguridad: lo mejor es prevenir", sostiene Pablo Lema, enterprise architect de Ingenia, especializada en tecnologías emergentes.
"La cuestión no es si va a ocurrir, sino cuándo: las tecnologías relacionadas a la IA y a la computación cuántica plantean desafíos enormes a la seguridad", detalla Sebastian Pereira, director de Transformación Digital de la proveedora nearshore de servicios de software Santex. "Ambas son tecnologías exponenciales y es muy difícil estimar dónde estaremos en el corto plazo", agrega. Entre otras medidas, la empresa incorporó en sus procesos de desarrollo prácticas de seguridad como OWASP (Open Web Application Security Project), una organización sin fines de lucro especializada en este punto.
"Las empresas no deben seguir considerando la seguridad de manera clásica, sino que piensen en pasar a modelos adaptativos que puedan responder a los cambios y más aún: los equipos de seguridad deben volcarse al aprovechamiento de las tecnologías de monitoreo e inteligencia de amenazas, ya que no basta solamente con las tecnologías de detección", afirma Miguel Ángel Mendoza, investigador de Seguridad Informática de ESET Latinoamérica.
Ampliando la superficie
Uno de los fenómenos de la digitalización es que se amplió de manera notable la superficie de ataque, muchísimo más allá de los límites físicos de las empresas: el trabajo remoto, la nube, el edge, internet de las cosas (IoT) y los emergentes ecosistemas en que las aplicaciones de distintas empresas se vinculan a través de API (siglas en inglés por interfaz de programación de aplicaciones) hacen que los datos potencialmente vulnerables estén en todas partes.Ya no se trata de proteger una instalación, sino los datos -en especial cuando se encuentran en tránsito-, las aplicaciones y el hecho de que las personas puedan acceder a los sistemas corporativas de manera segura estén donde estén.
"Más del 90 por ciento de los datos se encuentran cargados en la nube, pero este crecimiento en muchos casos no fue acompañado de una estrategia de seguridad para su protección", señala Patricio Jaca, responsable de Ventas de protección de datos de la empresa especializada en soluciones tecnológicas Thales para el Cono Sur, quien destaca el ciberataque conocido como MITM (man in the middle) como una de las principales amenazas: la intercepción de transferencias de datos a través de redes públicas o semiprivadas y la consecuente exposición del contenido más sensible.
El criptocuento del criptotío
El panorama de amenazas cibernéticas futuristas se completa, como no podía ser de otra manera, con las estrategias para robar criptoactivos como monedas virtuales o NFTs a los usuarios. La plataforma de análisis de blockchain Chainalysis había estimado que entre 2017 y 2021 se habían realizado fraudes equivalentes a más de US$26.000 millones. El 2022 rompió todos los records: US$20.000 millones solo en un año. La consultora destacó que "incluso considerando que algunas personas caen en estafas varias veces, el fraude con criptomonedas afecta a millones de víctimas, la mayoría de las cuales son probablemente personas comunes que han invertido un poco de dinero en cripto". El análisis de blockchain permite hacer una suerte de investigación forense para seguir las criptoestafas hasta su origen y prevenir estos fraudes.
"Que las personas accedan a los sistemas de la empresa desde fuera de la red corporativa aumenta el riesgo de ataques de phishing y malware: cualquiera, incluso los que estén capacitados en seguridad informática, puede caer en un engaño de estos y si acceden desde sus dispositivos personales se agrega otro riesgo, lo mismo si utilizan aplicaciones de terceros o dispositivos no autorizados para acceder", enuncia Del Val, quien advierte que la autenticación de dos factores y el cifrado de datos pueden mitigar estos riesgos.
A esto se suma un incremento exponencial en el número de dispositivos de IoT que, a menudo, "tienen medidas de seguridad más débiles y son utilizados como puntos de entrada para atacar otros dispositivos en la red", según apunta Del Val.
Las cosas por su nombre
"El incremento de dispositivos IoT y su interconexión hace que sean un target muy atractivo para los ciberdelincuentes, especialmente en el ámbito industrial: se impone reforzar las capas de seguridad considerando diferentes vectores de ataque, en especial por los riesgos que implica para infraestructuras críticas", apunta Pablo Dubois, gerente regional de Productos de Seguridad para América latina de Cirion Technologies, para quien las APIs, como algo más nuevo, "tiene un nivel de seguridad que no está a la altura de las circunstancias: además de la falta de documentación, muchas veces se crean APIs de las que luego ni se sabe si están activas". Cirion es proveedor de conectividad y de redes y ofrece servicios de seguridad."Al no estar normalizado o regulado, todos los dispositivos IoT trabajan de diferentes maneras, con diferentes lenguajes o arquitecturas, por lo que al no existir estándares a seguir que sean consistentes, exige más conciencia de lo que se está usando, ya que se vuelve más complejo cubrir todos los frentes", cuenta Pedro Minetti, gerente Regional para América latina de la desarrolladora de software Endava. En relación con los ecosistemas abiertos que se comunican a través de API, Minetti detalla que "es necesario que exista muy buena coherencia entre cómo se está usando, qué sistema está puesto en juego, si es confiable, qué vulnerabilidades se plantean y cómo se da el intercambio de información".
Santiago Cavanna, CISO de Microsoft Argentina, detalla que existe un camino simple para contrarrestar prácticamente todas estas amenazas: adoptar una estrategia zero trust (confianza cero), que propone asumir que toda actividad, incluso por parte de usuarios de confianza, podría ser un intento de violación de seguridad. "El modelo de confianza cero es una forma holística de pensar y de hacer realidad la ciberseguridad: su mantra es "nunca confío, siempre chequeo" y se basa en tres pilares, verificar explícitamente, utilizar el menor privilegio posible y asumir que ya fuimos comprometidos", dice el ejecutivo. "De esta forma, asumimos que todo intento de acceso proviene de un lugar inseguro hasta que se demuestre lo contrario", agrega.
Por supuesto, la gente debe estar en el centro de la estrategia de protección. "La concientización y la capacitación son vitales para evitar la fuga de datos sensibles o los accesos inadecuados", indica Lema. "Todos los empleados son focos de posibles ataques y deben estar preparados para detectar, prevenir y alertar de posibles amenazas", asegura.
A ver quién es más inteligente
¿Puede la IA servir como herramienta para armar un ataque infalible? La sensatez juega aquí una pulseada con el temor irracional. Y la contienda es pareja. "De la misma manera que no podemos hablar de un ciberataque infalible con tecnología tradicional, tampoco deberíamos hablar de un ataque infalible con IA", asegura Carlos Jaureche, gerente Comercial de INSSIDE Ciberseguridad. "La IA es un arma de doble filo y la mejor manera de combatir los ataques que la utilicen es integrar esta inteligencia en los sistemas de seguridad", apunta.En términos de datos, "el 70 por ciento de los últimos ataques cibernéticos masivos fueron efectuados por robots", señala Lucas Benteo, gerente de Desarrollo de negocios de Ricoh Argentina. "Los atacantes usan estas herramientas para facilitar la tarea de robar información de empresas o personas a un ritmo exponencial, no hablamos de ataques 100 por ciento infalibles, sino de procesos más sofisticados sin interrupción ni cansancio", aporta Quiroga.
"Varios estudios han observados distintas conversaciones entre humanos e IA, sin darse cuenta de que este último fuera un sistema, por lo cual el factor humano vuelve a ser participe en el cual la IA puede llegar a utilizar técnicas de persuasión para lograr la obtención de datos sensibles", explica Aguilar. Su empresa se apoya en tecnologías IA para el aprendizaje y análisis de comportamientos y utilizando su base propia de conocimientos como herramienta para detectar y reportar vulnerabilidades para la protección de los sistemas y datos.
Dubois destaca el caso de CyberArk's Cybersecurity, "que ha logrado crear una prueba de malware polimórfico casi imposible de detectar, dado que en cada interacción vuelve a modificarse". De todas formas, también observa el vaso medio lleno de la IA: "Puede ser una herramienta muy útil para conocer, aprender, anticiparse a amenazas y riesgos y simplificar el trabajo de los analistas de seguridad para que detecten posibles amenazas con mayor rapidez".
Con el poder de tu oponente
"Hace unas semanas, Sam Altman (CEO de Open AI) remarcaba en una entrevista respecto a Chat GPT que ahora que crece la posibilidad de que las plataformas mejoren su capacidad de escribir código, también aumenta la chance de que sean utilizadas para ataques cibernéticos: es cierto que el avance de la tecnología es un desafío en este sentido, pero también es necesario para crear productos cada vez más innovadores y seguros", indica Mateo Sauton, CTO de n1u, una billetera virtual lanzada recientemente que está enfocada en el público joven en general y en el mundo gamer en particular. La fintech considera la seguridad en el centro de su negocio. "Buscamos que todas las personas que se suman a la empresa sigan las políticas día a día, por ejemplo, que establezcan doble factor de autenticación en sus cuentas relacionadas con el mail de n1u", cuenta."La clave es usar las tecnologías a favor para mantenerse a salvo, proteger los datos de sus usuarios y permitirá que los profesionales de ciberseguridad se mantengan actualizados para tener información al día sobre las amenazas", dice Pamela Skokanovic, gerente IBM Security para Argentina, Paraguay y Uruguay. El área de Seguridad de IBM, que apoya a empresas en más de 130 países, monitorea diariamente más de 150.000 millones de eventos de seguridad. Y un informe preparado por la empresa detectó que las organizaciones que desplegaron completamente la automatización y la IA en seguridad incurrieron en un costo promedio menor en filtraciones de datos y lograron un ahorro de 65 por ciento frente a las que no. Además, su tiempo de detección y contención es menor: 2,5 meses más rápido.
Mientras luchamos con la IA, aparece otro amigo-enemigo con el cual lidiar en materia de seguridad informática: la computación cuántica. "Es uno de los mayores desafíos para la nueva era de la ciberseguridad, ya que posibilita la resolución de cifrados en menor tiempo y con mayor eficacia que los procesadores normales", dice Jaca. "Por eso trabajamos en el desarrollo de algoritmos de encriptación poscuánticos y hoy nuestra tecnología impiden que un procesador cuántico rompa nuestras llaves", afirma.
Avances cuánticos
En materia cuántica las opiniones están divididas entre quienes sugieren entrar en pánico ya mismo y los que proponen esperar a que la tecnología continúe evolucionando. "Por ahora solo hablamos de algoritmos, metodologías y modelos matemáticos: hay que saber que ya el equipo que se necesita para llevar a cabo esta operación es extremadamente costoso", pone paños fríos Quiroga."La mayoría de los expertos cree que falta tiempo antes de que la computación cuántica alcance ese nivel de poder, pero es importante que las empresas y gobiernos sean conscientes de estos riesgos y trabajen para desarrollar nuevas estrategias y tecnologías de seguridad para enfrentarlos", reflexiona Santiago Braña, CEO de la creadora de experiencias inmersivas ERKS Virtual Studio.
"La tecnología sigue siendo en gran parte teórica, con muchos problemas aún, incluidas tasas de error muy altas", dice Jaureche. Aunque advierte sobre los datos que se almacenan de manera encriptada y que podrían quedar al descubierto en un futuro.
Lo cierto es que el tema se está trabajando. Y muy en serio. La National Institute of Standards and Technology (NIST), por ejemplo, ya anunció cuatro modelos pensados para este futuro: Crystals-Kyber, Crystals-Dilithium, Falcon y Sphincs+.
"No dejemos de pensar que la computación cuántica también podría tener un impacto positivo en la ciberseguridad, ya que podría ser utilizada para desarrollar sistemas de cifrado más robustos y seguros", relaja Aguilar.
"Prepararse ante los eventuales ciberataques requerirá inversiones sustanciales en herramientas, servicios y habilidades de seguridad cibernética, incluidas las necesarias para abordar la amenaza cuántica", dice Martín Malievac, director de investigación y desarrollo de Napse, proveedora de soluciones tecnológicas para el retail. "Al mismo tiempo, la seguridad cibernética no solo es un medio de protección, sino también una importante fuente de innovación que ayuda a garantizar la competitividad", define.
El eterno tire y afloje
El campo de la seguridad informática está en constante evolución, por lo que incluso si se crea un ataque que funciona en un momento determinado, los expertos pueden desarrollar medidas para detectar y prevenir futuras amenazas.Algunas cosas mejoraron para siempre. "A diferencia de épocas anteriores, la gran mayoría de las nuevas tecnologías toman en cuenta la ciberseguridad desde su diseño y brindan funcionalidad para aplicar controles pero de todas formas, cualquier adopción merece un análisis para evaluar nuevos riesgos", detalla Tandeter.
El 24 por ciento de las organizaciones en la Argentina padeció un incidente de seguridad durante 2022.
Otras, requieren de nuestro esfuerzo. "La seguridad la construimos entre todos: si la tecnología contempla aspectos de seguridad desde el diseño, si nos tomamos el tiempo para analizar los riesgos y aprovechamos la funcionalidad que ofrece la tecnología para sumar capas de protección, y logramos que todos tomen conciencia sobre el tema, tendremos un ecosistema seguro de punta a punta", define el propio Tandeter.
En cualquier caso, la compulsa está en marcha y no parece que vaya a detenerse. "Desde años se han planteado este tipo de escenarios en que los ataques se vuelven cada vez más sofisticados, la mayoría de este tipo de ataques se encuentran en la fase de prueba de concepto", expresa Mendoza. "Es una carrera tecnológica, tanto de la perspectiva de seguridad como de los atacantes, que nunca terminará y que día con día mostrará nuevos avances en ambos frentes", concluye.
Compartinos tu opinión