Aunque cualquier organización es susceptible a filtraciones de datos, las de FinTech, salud y SaaS son particularmente vulnerables debido al alto volumen de información que poseen. Es imprescindible que estas entidades aseguren su patrimonio digital de extremo a extremo. La gestión de identidades y accesos (IAM), las políticas de autorización y las herramientas de observabilidad son necesarias para reforzar la seguridad. Pero con la proliferación de microservicios, arquitecturas distribuidas, numerosas integraciones con socios y proveedores, así como componentes de código abierto, la cadena de suministro digital se ha vuelto más vasta y compleja que nunca. Esto requiere una solución de seguridad diseñada específicamente para abordar las nuevas necesidades de las organizaciones de estos sectores, para lo cual ha surgido la gestión de identidades no humanas.
Ejemplos de brechas en FinTech
El término 'FinTech' abarca una variedad de organizaciones como bancos, instituciones financieras no bancarias, plataformas de negociación de acciones, aseguradoras e incluso organismos financieros gubernamentales e internacionales. El FMI estima que las empresas FinTech han perdido en conjunto 12.000 millones de dólares en las últimas dos décadas debido a ciberataques. La razón de la vulnerabilidad de FinTech es clara: el dinero está directamente en juego. Poseen grandes sumas de fondos de clientes que los atacantes intentarán obtener por cualquier medio. Las recompensas son grandes y la vía de escape puede ser sencilla.
Prudential Insurance expone datos de 2,5 millones de clientes
Los datos personales de 2,5 millones de clientes de Prudential Insurance se vieron comprometidos debido a un ataque de ransomware. El atacante obtuvo acceso a los sistemas internos de la organización e instaló software de ransomware que vigilaba y recopilaba información sobre el sistema y las funciones de forma sigilosa. La brecha comenzó cuando los atacantes accedieron mediante credenciales filtradas de cuentas de empleados y contratistas. Podrían haber sido cuentas de usuario humano o credenciales de software como tokens de acceso y claves API. El grupo de ransomware Alphv/BlackCat, conocido en la comunidad RaaS (Ransomware como servicio), fue identificado como el atacante. Además de realizar ataques ellos mismos, también proporcionan todas las herramientas y recursos necesarios para que cualquiera pueda llevar a cabo ataques de ransomware por su cuenta. Opciones como esta están haciendo que los ciberataques sean más accesibles para cualquier persona con un ordenador.
Bank of America y Fidelity afectados por la misma brecha
Bank of America, uno de los bancos más grandes de EE. UU., sufrió el robo de datos de 57.000 clientes y una pérdida de 30 millones de dólares. El ataque tuvo un efecto dominó en otra organización de servicios financieros: Fidelity, que sufrió el robo de datos de 28.000 clientes. El origen del ataque se vinculó nuevamente a terceros que pudieron obtener acceso no autorizado a los sistemas de BoA. Socios, proveedores y otros terceros suelen tener permisos excesivos para sus cuentas, lo que es aprovechado por ellos o por un atacante externo. Estos privilegios deben revocarse lo antes posible para que las organizaciones FinTech estén seguras.
Ejemplos de brechas en el sector salud
Las organizaciones sanitarias quizás no manejen tanto dinero como sus homólogas FinTech, pero operan en un ámbito invaluable: la vida humana. Cualquier interrupción de sus servicios tiene un impacto material en la vida de los pacientes. Incluso si no se interrumpe el tratamiento, se exponen los datos privados y personales de los pacientes. El sector salud ha intentado modernizarse con la ayuda de Internet y aplicaciones SaaS. Están reemplazando rápidamente sus sistemas heredados locales por otros modernos basados en la nube en un esfuerzo por volverse más centrados en el paciente, estar mejor centralizados como institución y reducir los costos de TI. Sin embargo, esto solo los ha convertido en blancos más fáciles para los ciberataques. Las instituciones sanitarias han pagado rescates cada vez mayores, pasando de un promedio de 5.000 dólares en 2022 a 1,5 millones en 2023. A continuación, algunos ejemplos de fallos de seguridad en el sector salud.
1. El Hospital Infantil Lurie pierde los registros médicos de sus pacientes pediátricos
El Hospital Infantil Lurie de Chicago, de renombre nacional, sufrió una grave brecha que lo obligó a cerrar por completo toda su red durante un período. Algunos pacientes que requerían cirugía quedaron en suspenso sobre cuándo se realizaría. Los cirujanos no tenían confianza para operar con registros médicos perdidos o incompletos. Algunos pacientes tenían registros en papel y pudieron recibir tratamiento con normalidad, pero no fue el caso para todos.
2. Coronalab expone los datos personales de millones de neerlandeses
Con la llegada de la COVID-19, muchos proveedores de salud se apresuraron a crear aplicaciones y bases de datos en línea que almacenan datos de pacientes en la nube. Sin embargo, gran parte de esta infraestructura carecía de la seguridad necesaria. Un ejemplo es la empresa neerlandesa de pruebas COVID, Coronalab, que realizó pruebas y almacenó datos de 1,3 millones de ciudadanos neerlandeses, incluidos algunos registros de ciudadanos de otros países. Coronalab tenía un bucket de almacenamiento de Google Cloud mal configurado, sin contraseña de lectura, al que cualquiera con la ruta podía acceder. Esta única identidad no humana mal configurada causó toda la brecha de datos. Hubo muchas otras filtraciones similares, como la de Harvard Pilgrim Health Network, que expuso la información personal de 2,8 millones de personas, y la farmacéutica Cencore, que reportó un incidente de exfiltración de datos que afectó a 250.000 personas.
Brechas de datos en SaaS
Las aplicaciones SaaS son la norma hoy en día: desde Gmail hasta Amazon, Uber y Netflix, usamos aplicaciones SaaS a diario y no podemos vivir sin ellas. Sin embargo, el cambio de entornos locales a SaaS ha introducido nuevas amenazas de gran escala. Las aplicaciones SaaS tienen la mayor cantidad de usuarios, a veces en miles de millones, como es el caso de Gmail y otras aplicaciones SaaS de grandes tecnológicas. Las aplicaciones SaaS dependen de otras aplicaciones SaaS. Esto facilita que los atacantes se muevan lateralmente hacia aplicaciones SaaS vecinas. Ataques como los de SolarWinds y Snowflake muestran el potencial de que un solo ataque se extienda a miles de organizaciones.
1. Ticketmaster compromete los datos de 560 millones de usuarios
Ticketmaster, el mayor vendedor de entradas para eventos del mundo, fue noticia por las razones equivocadas recientemente al ser víctima de una filtración de datos que comprometió los datos de 560 millones de usuarios. El evento causó revuelo mundial, ya que los datos de ciudadanos de muchos países estaban involucrados. Curiosamente, esta brecha fue una ramificación de una filtración anterior de Snowflake, la empresa de almacenamiento y análisis de datos. Los atacantes exigieron un rescate de 500.000 dólares.
2. Un plugin de WordPress pone en riesgo 5 millones de sitios web
La plataforma de creación de sitios web y CMS más grande del mundo, WordPress, tuvo uno de sus plugins gratuitos, Litespeed Cache, comprometido. Esto permitió a los atacantes crear una cuenta de administrador y tomar el control de cualquier sitio web que usara el plugin gratuito. El plugin tenía alrededor de 5 millones de instalaciones activas en el momento de la brecha, y solo unos 3 millones de sitios descargaron el parche después. Esto deja aún unos 2 millones de sitios en riesgo. Ticketmaster y WordPress son solo dos ejemplos del poder de las aplicaciones SaaS que operan en la nube y a escala. Facilitan la creación y distribución global de software. Sin embargo, con este poder también aumenta el riesgo de ser atacado y comprometer la seguridad de todos los usuarios dentro del sistema SaaS.
Las consecuencias de una filtración de datos
Veamos lo que está en juego para las organizaciones que son víctimas de una filtración de datos.
Pérdida de reputación y clientes
La mayor pérdida para la organización es la pérdida de su reputación y la confianza de los clientes. Esto es especialmente cierto para organizaciones de FinTech y salud. ¿Por qué alguien confiaría su dinero a una organización con antecedentes de perder datos o fondos? ¿Por qué alguien pondría su vida en manos de una organización con antecedentes de perder historiales médicos? Algunas organizaciones son lo suficientemente grandes para capear una gran amenaza de seguridad, pero muchas pymes pueden ser llevadas a la quiebra con un solo ataque.
Privacidad y seguridad del cliente
La mayoría de las filtraciones en organizaciones FinTech y de salud terminan perdiendo los registros de sus clientes. Esto puede incluir nombre, correo electrónico, dirección, número de teléfono, número de seguridad social, detalles de tarjetas de crédito, cuentas bancarias, afiliaciones políticas, contraseñas de correo, entre otros. Una vez robados y vendidos, es imposible saber con qué fines siniestros se utilizarán los datos.
Pérdida financiera y rescate
Para las organizaciones atrapadas en un ataque de ransomware, las cantidades exigidas crecen hasta alcanzar cifras de millones. En muchos casos, no solo se pierden los fondos de la organización, sino también los de sus clientes. Esto es común en ataques relacionados con criptomonedas.
Efectos dominó en otras organizaciones
Los ciberataques hoy en día son más extendidos porque las organizaciones están intrincadamente conectadas entre sí en el mundo digital. Por ejemplo, el ataque a Snowflake tuvo efectos dominó en Santander Bank y Ticketmaster, como se mencionó anteriormente. Los verdaderos efectos de una filtración de datos no se conocen por completo en el momento en que ocurre. A menudo, una sola filtración puede continuar propagándose incluso años después de su inicio. Ahora que hemos discutido los desafíos de asegurar las organizaciones FinTech, de salud y SaaS en detalle, veamos cómo hacerlo.
Las organizaciones deben ser capaces de proteger sus propios datos
Las organizaciones de FinTech, salud y SaaS deben ser estratégicas e intencionales en materia de seguridad. Necesitan una propiedad clara de la seguridad en todos los equipos, hasta el CISO. Al utilizar plataformas en la nube e infraestructura local en conjunto, necesitan procesos que abarquen estas infraestructuras híbridas. Esto incluye establecer IAM de extremo a extremo para usuarios humanos con herramientas como Okta y Active Directory. Sin embargo, esto es solo un punto de partida. El verdadero desafío es asegurar un número mucho mayor de identidades no humanas en los sistemas de la organización. Soluciones de gestión de identidades no humanas como Entro han surgido para abordar este desafío. Aportan el contexto crítico sobre cada identidad no humana, como quién la creó, cuándo se creó, qué recursos asegura, en qué bóveda se almacena, cuándo se rotó por última vez, si hay actividad sospechosa a su alrededor, si hay amenazas activas, si hay informes de nuevas filtraciones en la dark web, o si hay una brecha reciente que pudiera afectar a la organización.
Las organizaciones deben proteger los datos de sus clientes
Los datos de los clientes suelen almacenarse en buckets de almacenamiento en la nube. Estos buckets deben asegurarse con identidades no humanas: cada bucket debe configurarse con una identidad no humana, creada mediante una bóveda provisionada por la organización, especificando la ubicación o zona de disponibilidad, qué roles/empleados pueden crear buckets, y cualquier actividad sospechosa relacionada con las identidades no humanas o los buckets. Los datos de los clientes deben cifrarse en reposo y en tránsito. Si hay signos de una brecha, es necesario saber qué secretos revocar o rotar. Las cosas están cambiando rápidamente para FinTech, salud y SaaS. Con nuevas posibilidades surgen nuevas amenazas para estas organizaciones y sus clientes. Al ser conscientes de los riesgos y tomar medidas para protegerse, estas organizaciones pueden obtener lo mejor de ambos mundos: aprovechar las nuevas tecnologías y generar confianza con los clientes. Las soluciones de gestión de identidades no humanas como Entro son clave para hacer realidad este futuro.
Nota: Este artículo, contribuido por Itzik, se basa en sus más de 15 años de experiencia en I+D y gestión. Comenzando como ingeniero DevOps en las FDI, Itzik avanzó hasta gestionar equipos de I+D en organizaciones como Microsoft y Maccabi, donde fue CISO. Después de presenciar brechas relacionadas con identidades no humanas, cofundó Entro Security en 2021 con Adam Cheriki. Entro es la primera plataforma integral para gestionar identidades no humanas y secretos, automatizando su ciclo de vida y garantizando un uso seguro.
