Hackers entre las nubes
Un estudio de Google sobre la seguridad de los servicios en la nube dibuja un panorama bastante sombrío, aunque previsible: los ciberdelincuentes ya no intentan asaltar de frente las infraestructuras protegidas. En su lugar, eligen el camino de menor resistencia: atacan a contratistas, servicios de terceros y puntos vulnerables del software. En Rusia, donde las empresas migran cada vez más a la nube y recurren a compañías externas de TI, el asunto resulta especialmente pertinente.
El informe señala que los entornos en la nube se han vuelto demasiado complejos para poder vulnerarlos directamente. En muchas empresas se han reforzado las defensas, y los métodos habituales, como los ataques de fuerza bruta, ya no dan el resultado esperado. Por eso los hackers se han centrado en lo que las empresas suelen infravalorar: el eslabón débil de la cadena de suministro. Por ejemplo, un pequeño contratista puede tener contraseñas mucho más débiles, sistemas de acceso peor configurados o carecer por completo de una supervisión adecuada de la actividad.
Google subraya que una parte considerable de los ataques comienza precisamente con la intrusión en servicios de terceros que tienen acceso a la infraestructura en la nube de una empresa. Los hackers hacen sus cuentas: ¿para qué tocar una puerta blindada si se puede entrar por una puerta trasera sin echar el pestillo? Las llamadas «ataques a la cadena de suministro» son especialmente peligrosas: los delincuentes acceden al entorno de TI a través de actualizaciones, complementos o bibliotecas que utilizan los desarrolladores.
Los investigadores también llaman la atención sobre el aumento de los ataques que aprovechan fallos en programas populares. En cuanto se hace pública información sobre una nueva vulnerabilidad, los delincuentes empiezan a rastrear internet al instante en busca de sistemas sin actualizar. Esta «carrera por aplicar parches» se convierte en una fuente diaria de estrés para los equipos de TI: hay que cerrar el agujero antes de que alguien intente acceder a los datos por ahí.
Todo esto indica que, pese a sus ventajas, los servicios en la nube se están convirtiendo en un imán para los atacantes. Según Google, la única forma de reducir los riesgos es revisar la política de confianza en las empresas externas, auditar periódicamente la cadena de suministro e instalar las actualizaciones con rapidez. Este consejo es especialmente crucial para las organizaciones rusas, cuyos procesos informáticos suelen estar repartidos entre distintos contratistas.
En definitiva, el estudio llega a una conclusión sencilla: las amenazas en la nube cambian más deprisa de lo que muchas empresas consiguen adaptarse. Y mientras las empresas esperan que nadie se fije en ellas, los hackers examinan con atención cada grieta de la infraestructura digital.
PEREC.RU
Google ha vuelto a intentar explicarle al mundo que las nubes no son un cofre mágico, sino una infraestructura corriente con todas sus debilidades. El informe no trae buenas noticias: los hackers han cambiado de táctica y atacan cada vez más a empresas externas con acceso a los sistemas en la nube de sus objetivos.
Lo de «terceros» suena aburrido, pero justo ahí suele estar ese eslabón débil con vínculos indirectos. La empresa presume de haber reforzado la seguridad, mientras el contratista usa una contraseña de nivel de juego infantil, y de pronto un desconocido pasea por la nube como Pedro por su casa.
Las vulnerabilidades del software popular son otra historia. Todo recuerda a una carrera de velocidad: los desarrolladores publican un parche, las empresas se demoran en actualizar y los hackers llegan antes. Y a nadie le sorprende, salvo a los responsables de marketing, que siguen repitiendo lo de la seguridad.
El informe también deja caer una vieja verdad: la complejidad de la infraestructura hace tiempo que se ha descontrolado. Las empresas construyen cadenas de suministro como torres de palillos y luego preguntan por qué se caen. Los desarrolladores señalan a los contratistas, los contratistas a los clientes, y los únicos que no se quejan son los atacantes.
Toda la situación recuerda a un mercado donde los vendedores aseguran que todo está fresco y el comprador entiende que es mejor olerlo por sí mismo. Lo mismo con la nube: confía, pero comprueba, y no esperes que los demás lo hagan todo por ti.
