ESET, compañía líder en detección proactiva de amenazas, analiza el impacto de la guerra en Irán en el panorama global de la ciberseguridad y advierte sobre los principales riesgos que las organizaciones deben monitorear ante este escenario.

Tal tipo de incidentes demuestra que la distancia física respecto de una zona de guerra no garantiza estar aislado de sus consecuencias, especialmente en entornos altamente interconectados.

Sin embargo, para la mayoría de las organizaciones, el riesgo más inmediato se manifiesta en el ciberespacio. Tras las primeras operaciones militares, actores vinculados a Irán incrementaron rápidamente su actividad, con decenas de grupos hacktivistas activos en apoyo a sus intereses.

El ciberespacio es un frente activo más, donde los ataques pueden escalar rápidamente y tener impacto global

Este contexto genera un escenario en el que múltiples actores de amenazas —desde grupos organizados hasta hacktivistas— pueden llevar adelante ataques con distintos objetivos, ampliando la superficie de riesgo para empresas y organismos en todo el mundo.

“Este tipo de conflictos pone en evidencia que el ciberespacio es un frente activo más, donde los ataques pueden escalar rápidamente y tener impacto global. Las organizaciones deben estar preparadas para enfrentar un aumento en la actividad maliciosa, incluso si se encuentran lejos del epicentro del conflicto”, comenta Martina Lopez, especialista en Seguridad Informática de ESET Latinoamérica.

Ante este panorama, desde ESET destacan la importancia de monitorear de cerca la evolución de las amenazas, reforzar las estrategias de protección y comprender que los conflictos geopolíticos actuales tienen un correlato directo en el mundo digital.

Si desea profundizar o ampliar sobre este tema puede ingresar a: El impacto en la ciberseguridad de la guerra en Irán: riesgos clave que debe monitorear.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imagen referencial suministradas por ESET y Comstat Rowland

¡Sigue nuestras noticias en Google! Para obtener información actual, interesante y precisa. Haz clic aquí y conoce todos los contenidos de DOBLE LLAVE. Encuéntranos también en X/Twitter e Instagram

“No es una novedad que muchas personas usan los chatbots como si fueran espacios privados. Utilizarlos de esa manera se contradice con la naturaleza de este tipo de herramientas ya que las propias plataformas remarcan que las conversaciones pueden almacenarse, analizarse o revisarse para mejorar el servicio. Los chatbots no fueron concebidos como un lugar confidencial, más allá que la experiencia conversacional invite a pensarlos así. Si bien las principales plataformas de IA afirman aplicar medidas de seguridad y privacidad  (controles de acceso, monitoreo, protección de infraestructura), esto no elimina el riesgo de sufrir brechas de datos, ni es sinónimo de invulnerabilidad», destaca Martina Lopez, Investigadora de Seguridad Informática de ESET Latinoamérica.

Al usarlos como asistentes personales o hasta de consejeros, muchas veces se comparte información personal y sensible casi sin darse cuenta. A saber:

• Datos personales. Información sensible como nombre, edad, ciudad y país, pero también hábitos cotidianos: dónde trabajas, con quién vives y cómo está compuesta tu familia. Esta información combinada y en las manos equivocadas, puede ser peligrosa.
• Información laboral. Con la necesidad de “Ayúdame a mejorar esto”, muchos usuarios comparten correos internos, contratos, informes, presentaciones, estrategias comerciales, campañas, detalles de clientes, proveedores, conversaciones y tickets. También código fuente y arquitecturas internas.
• Consultas médicas, psicológicas o emocionales. Los chatbots también son entendidos por muchas personas como consejeros o especialistas (práctica que puede ser peligrosa). Se comparten cuestiones vinculadas a la salud, como síntomas, diagnósticos y medicación, y también temas personales como conflictos de pareja, duelos, consultas que no harían en otra red social, o el pedido de un consejo.
• Opiniones, creencias y posturas sensibles. Los chatbots reciben opiniones de usuarios vinculados a ideologías políticas o religiosas, posturas sobre empresas, jefes o colegas, y también información que, fuera de contexto, puede generar daño reputacional.

“El problema no es lo que se comparte, sino esa falsa sensación de intimidad y privacidad, la cual puede romperse muy fácilmente. Meses de conversaciones construyen un perfil, que puede tener un valor muy alto para un ciberatacante», agrega Lopez de ESET.

La información que se comparte con los chatbots de IA puede quedar expuesta y caer en manos de cibercriminales por distintas razones. La principal es si alguien ingresa a la cuenta, esto puede suceder accediendo a la contraseña, se cae en un ataque de phishing o si se usa la misma clave en varios servicios. Otra razón son los Chatbots manipulados que pueden ser inducidos con prompts maliciosos por parte del cibercrimen, para obtener información de los usuarios. Por otro lado, el aceptar los términos y condiciones sin leerlos, ya que en los chatbots se recopila y almacena información de uso, como historial y conversaciones, para entrenar su modelo de lenguaje de manera predeterminada. También hay que tener en cuenta alguna brecha de seguridad, un error de la plataforma que deje expuestas las conversaciones e historial de sus usuarios, o si una extensión o app mira más de la cuenta, quizás si se instala un plugin para hacer el chatbot más potente y esa app falla, es vulnerable o es maliciosa, la conversación sale del control del proveedor principal.

Los 5 riesgos destacados a los que se está expuesto por una filtración de chatbots, según ESET

1. Robo de identidad / Ingeniería social: Las conversaciones con chatbots aportan contexto humano. Así, el ciberatacante obtiene información sobre hábitos, intereses, rutinas, servicios que se utilizan, problemáticas que los trascienden y hasta el tono que se usa al hablar. Esto permite crear ataques mucho más personalizados, a través de correos o mensajes que parecen escritos por alguien del entorno, estafas que incluyen datos reales de la vida o suplantaciones de identidad mucho más difíciles de detectar.
2. Espionaje corporativo: Dado que muchos usuarios usan chatbots como apoyo laboral, es posible que los atacantes obtengan información confidencial como estrategias, documentos, decisiones internas, información sobre clientes, detalles de precios y/o productos. Más allá de los riesgos legales que esa situación puede ocasionar, también puede significar una ventaja competitiva para terceros o el incumplimiento de ciertos compromisos contractuales.
3. Daño reputacional: Si quedan expuestas opiniones privadas, dudas profesionales o pensamientos íntimos, las consecuencias pueden ir desde conflictos laborales a la pérdida de credibilidad profesional.
4. Exposición de datos sensibles: Este tipo de chatbots también se usan como espacio de consulta íntima, y suelen contener información personal como síntomas, diagnósticos, tratamientos, creencias religiosas o políticas, conflictos personales o familiares. Si eso se filtrara, el impacto para la víctima puede ser devastador: estigmatización, discriminación y hasta vulneración emocional.
5. Extorsión: Cuando el ciberatacante cuenta con información privada puede presionar a través de amenazas creíbles y chantajes personalizados. ¿El objetivo? Obtener algún tipo de rédito económico por parte de la víctima.

Una buena manera de reducir el impacto que puede tener la exposición de conversaciones es adoptar buenas prácticas a la hora de interactuar con estos chatbots. Un checklist preventivo de máxima utilidad

• No compartir datos personales (cédula, fecha de nacimiento, mail, teléfono) es la primer recomendación de ESET
• Anonimizar casos reales (cambiar nombres, empresas, ubicaciones)
• No adjuntar documentos sensibles, información confidencial o credenciales
• Revisar configuraciones de privacidad (qué se guarda, qué se usa como entrenamiento)
• Proteger la cuenta con contraseña robusta y doble factor de autenticación
• Utilizar cuentas diferentes para trabajo y uso personal
• Pensar: ¿esto lo diría en voz alta en una sala con desconocidos?

“La comodidad de una conversación fluida, natural y sin juicio, hace que bajemos la guardia y compartamos información que jamás publicaríamos en otro espacio digital. Una filtración de conversaciones no expone solo información sino rutinas, vulnerabilidades, decisiones y emociones. Ahora bien, este escenario debe tomarse como una invitación a entender qué son y qué no. No son espacios confidenciales, ni consejeros personales, ni bóvedas de información sensible. Son herramientas poderosas, pero como toda tecnología, requieren criterio, límites y hábitos digitales responsables”, concluye la investigadora de ESET.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros datos preventivos útiles está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imagen referencial suministradas por ESET y Comstat Rowland

¡Sigue nuestras noticias en Google! Para obtener información actual, interesante y precisa. Haz clic aquí y conoce todos los contenidos de DOBLE LLAVE. Encuéntranos también en X/Twitter e Instagram

«La primera etapa de un ataque típico de ingeniería social es la recopilación de información. La siguiente es utilizar esa información como arma en un ataque de spearphishing diseñado para engañar al destinatario y que instale sin saberlo malware en su dispositivo. O, potencialmente, para que comparta sus credenciales corporativas para obtener acceso inicial. Esto podría lograrse a través de un correo electrónico, un mensaje de texto o incluso una llamada telefónica. Alternativamente, podrían utilizar la información para suplantar a un ejecutivo de alto nivel o a un proveedor en un correo electrónico, una llamada telefónica o una videollamada en la que soliciten una transferencia bancaria urgente», revela Martina Lopez, Investigadora de Seguridad Informática de ESET Latinoamérica.

Las principales plataformas para compartir este tipo de información son las habituales. LinkedIn es quizás la más utilizada. Se podría describir como la mayor base de datos abierta de información corporativa del mundo: un auténtico tesoro de puestos de trabajo, funciones, responsabilidades y relaciones internas. También es el lugar donde los reclutadores publican ofertas de empleo, que pueden revelar demasiados detalles técnicos que luego pueden aprovecharse en ataques de spearphishing.

GitHub es quizás más conocido en el contexto de la ciberseguridad como un lugar donde los desarrolladores distraídos publican secretos codificados, direcciones IP y datos de clientes. Pero también pueden compartir información más inocua sobre nombres de proyectos, nombres de canalizaciones CI/CD e información sobre las pilas tecnológicas y las bibliotecas de código abierto que utilizan. También pueden compartir direcciones de correo electrónico corporativas en las configuraciones de Git commit.

Luego están las plataformas sociales clásicas orientadas al usuario final, como Instagram y X. Aquí es donde los empleados suelen compartir detalles sobre sus planes de viaje a conferencias y otros eventos, lo que podría utilizarse en su contra y en contra de su organización. Incluso la información que aparece en el sitio web de su empresa podría ser útil para un posible estafador o hacker. Piense en detalles sobre plataformas técnicas, proveedores y socios, o anuncios corporativos importantes, como actividades de fusiones y adquisiciones. Todo ello podría servir de pretexto para un phishing sofisticado.

Los ataques preliminarmente mencionados suelen requerir una combinación de suplantación de identidad, urgencia y relevancia. A continuación se presentan algunos ejemplos hipotéticos:

• Un atacante encuentra información en LinkedIn sobre un nuevo empleado que ocupa un puesto en el departamento de TI de la empresa A, incluyendo sus funciones y responsabilidades principales. Se hace pasar por un proveedor tecnológico clave y afirma que es necesaria una actualización de seguridad urgente, haciendo referencia al nombre, los datos de contacto y el puesto del objetivo. El enlace de la actualización es malicioso.
• Un agente malicioso encuentra información sobre dos compañeros de trabajo en GitHub, incluido el proyecto en el que están trabajando. Se hace pasar por uno de ellos en un correo electrónico en el que le pide al otro que revise un documento adjunto, que contiene malware.
• Un estafador encuentra un video de un ejecutivo en LinkedIn o en el sitio web de una empresa. Ve en el feed de Instagram/X de esa persona que va a dar una conferencia y que estará fuera de la oficina. Sabiendo que puede ser difícil ponerse en contacto con el ejecutivo, lanza un ataque BEC deepfake utilizando video o audio para engañar a un miembro del equipo financiero y que transfiera fondos urgentes a un nuevo proveedor.

Desde ESET describen ejemplos reales de actores maliciosos que utilizan técnicas de «inteligencia de fuentes abiertas» (OSINT) en las primeras etapas de los ataques. Entre ellos se incluyen:

• Un ataque BEC que le costó 3.6 millones de dólares a Children’s Healthcare of Atlanta (CHOA): es probable que los actores maliciosos revisaran los comunicados de prensa sobre un campus recién anunciado para obtener más detalles, incluido el socio constructor del hospital. A continuación, habrían utilizado LinkedIn y/o el sitio web de la empresa para identificar a los principales ejecutivos y miembros del equipo financiero de la empresa constructora implicada (JE Dunn). Por último, se hicieron pasar por el director financiero en un correo electrónico enviado al equipo financiero de CHOA en el que solicitaban que actualizaran sus datos de pago para JE Dunn.
• Los grupos SEABORGIUM, con sede en Rusia, y TA453, alineado con Irán, utilizan OSINT para realizar reconocimientos antes de lanzar ataques de spearphishing contra objetivos preseleccionados. Según el NCSC del Reino Unido, utilizan las redes sociales y las plataformas de networking profesional para «investigar los intereses [de sus objetivos] e identificar sus contactos sociales o profesionales en el mundo real». Una vez que han establecido la confianza y la relación a través del correo electrónico, envían un enlace para recopilar las credenciales de las víctimas.

Educación: el arma preventiva más potente

“Si bien los riesgos de compartir en exceso son reales, las soluciones son sencillas. El arma más potente es la educación, actualizar los programas de concienciación sobre seguridad es un punto fundamental para garantizar que quienes integran una compañía comprendan la importancia de no compartir en exceso en las redes sociales. Solicitar al personal que evite compartir información a través de mensajes directos no solicitados, incluso si reconocen al usuario (ya que su cuenta podría haber sido suplantada) y asegurarse de que sean capaces de detectar los intentos de phishing, BEC y deepfake.”, aconseja Lopez de ESET Latinoamérica.

Además, dentro de las recomendaciones de seguridad de ESET Latinoamérica, se encuentra el respaldar esto con una política estricta sobre el uso de las redes sociales, definiendo límites claros sobre lo que se puede y no se puede compartir, y aplicando fronteras claras entre las cuentas personales y las profesionales/oficiales. Es posible que también sea necesario revisar y actualizar los sitios web y las cuentas corporativas para eliminar cualquier información que pueda ser utilizada como arma.

Chequear la autenticación multifactorial (MFA) y las contraseñas seguras (almacenadas en un administrador de contraseñas) también deben ser una práctica habitual en todas las cuentas de redes sociales, por si las cuentas profesionales son comprometidas para atacar a los compañeros de trabajo.

Por último, supervisar las cuentas de acceso público, siempre que sea posible, para detectar cualquier información que pueda ser utilizada para el spearphishing y el BEC, y realizar ejercicios de equipo rojo con los empleados para poner a prueba su concienciación.

“La IA está haciendo que sea más rápido y fácil que nunca para los actores maliciosos perfilar a sus objetivos, recopilar OSINT y luego redactar correos electrónicos/mensajes convincentes en un lenguaje natural perfecto. Los deepfakes impulsados por IA aumentan aún más sus opciones. La conclusión debería ser que, si algo es de dominio público, hay que esperar que un ciberdelincuente también lo sepa y que pronto llamará a la puerta”, cierra Martina Lopez de ESET.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imagen referencial suministradas por ESET y Comstat Rowland

¡Sigue nuestras noticias en Google! Para obtener información actual, interesante y precisa. Haz clic aquí y conoce todos los contenidos de DOBLE LLAVE. Encuéntranos también en X/Twitter e Instagram