Predicciones de seguridad para 2015 y años posteriores

La información proporcionada en este documento es de carácter general y se ofrece con fines formativos únicamente. Esta información no debe interpretarse como asesoramiento jurídico y es posible que no pueda aplicarse a todos los casos ni reflejar la situación más actual. Esta información no debe considerarse como una base de actuación sin el debido asesoramiento jurídico para los hechos y circunstancias concretos de cada caso y nada de lo estipulado en este documento debe interpretarse de otro modo. Trend Micro se reserva el derecho a modificar el contenido de este documento en cualquier momento sin previo aviso.

Las traducciones de este material a otros idiomas únicamente se han realizado para la comodidad de los lectores no angloparlantes. No se garantiza ni se implica la precisión de las mismas. Si tiene alguna pregunta relacionada con la precisión de una traducción, consulte la versión original del documento en el idioma oficial. Las posibles discrepancias o diferencias con respecto a la traducción no son vinculantes y carecen de efecto jurídico para el cumplimiento o la aplicación de normativas.

A pesar de todos los esfuerzos razonables realizados por Trend Micro para incluir información actualizada y precisa, Trend Micro declina toda responsabilidad o representación por su precisión, vigencia o integridad. El acceso a este documento y a la información que contiene, así como su utilización y la confianza en el mismo se realizan exclusivamente bajo su propia responsabilidad. Trend Micro renuncia a todas las garantías de cualquier tipo, explícitas o implícitas. Ni Trend Micro ni cualquier otra parte involucrada en la creación, producción o presentación de este documento asumen responsabilidad alguna por ninguna consecuencia, pérdida o daño, ya sean directos, indirectos, especiales, consecuenciales, pérdida de beneficios o daños especiales causados por el acceso a este documento o por el uso o imposibilidad de uso, o en conexión con el uso de este documento, así como de errores u omisiones de cualquier tipo en el contenido. El uso de esta información constituye la aceptación de la condición de utilización “tal cual”.

Las redes oscuras constituirán la tormenta perfecta para los ciberdelincuentes, que continuarán vendiendo y compartiendo herramientas y tácticas en las sombras inexploradas de Internet. Actualmente, los ciberdelincuentes se agrupan de forma anónima en torno a actividades maliciosas a través de servicios resistentes a la censura como Tor y otros servicios de redes oscuras. En 2015, esta realidad seguirá constituyendo un problema creciente.

Pese a las detenciones de ciberdelincuentes y la paralización de las operaciones relacionadas con SpyEye y GameOver que se han producido este año, los agentes de la ley y los estafadores continuarán jugando al gato y al ratón, ya que estos últimos son cada vez más astutos y escurridizos. Los cambios de oferta y demanda del mercado negro empujarán a los ciberdelincuentes a camuflarse con mayor esmero y convertirán el anonimato en un factor decisivo en el comercio de crimeware. Cuando cierre un mercado, emergerá otro. Los ciberdelincuentes alentarán a los usuarios y a otros atacantes para que se sumerjan en las profundidades de la Web y participen en actividades ilegales altamente codiciadas, como la visualización de fotos filtradas de famosos o el uso del comercio ilegal, como en el caso del reciente pirateo de iCloud®.

Trend Micro continuará proporcionando información relevante sobre amenazas, resultados de investigaciones y soluciones tanto para partners de las fuerzas de seguridad como para usuarios con el objetivo de mejorar la ciberseguridad. Pondremos todo nuestro empeño en vigilar las actividades que se llevan a cabo en la denominada “Internet profunda” para igualar la lucha frente a los ciberdelincuentes, incluidos aquellos que pasan más desapercibidos.

Nadie está a salvo del pirateo. Debido al rápido crecimiento de la población online y al uso extendido de los dispositivos inteligentes, la ciberdelincuencia seguirá coexistiendo con la tecnología, las personas e Internet como un todo indisoluble. Los usuarios que se conectan habitualmente con otros usuarios, ya sea a través de redes sociales o de otras plataformas, utilizarán y compartirán más datos. Esto conllevará un aumento de las filtraciones de datos en 2015. Si bien los robos exprés a particulares descienden lentamente, los atacantes muestran cada vez más interés por grandes organizaciones como eBay, P.F. Chang’s, Target y Home Depot, que les resultan mucho más rentables.

A medida que nos acerquemos a 2015, veremos cómo los usuarios aprenden más sobre las amenazas de Internet actuales, actualizan sus programas de seguridad y practican hábitos informáticos más seguros. Mejorarán la gestión de contraseñas, desvincularán sus cuentas e incluso crearán identidades online individuales para uso personal y profesional. Puede que algunos incluso disminuyan su presencia en la Web, ya que la batalla contra los atacantes se vuelve cada vez más ardua.

La creciente popularidad de los smartphones y los dispositivos móviles es un arma de doble filo. Aunque facilitan la conexión continua entre personas, cosas y datos, también permiten a los ciberdelincuentes exponer y explotar vulnerabilidades de seguridad y datos personales mal protegidos.

Y, dado que los usuarios de dispositivos móviles tienen tendencia a realizar transacciones financieras mediante diversos métodos de pago electrónico, es evidente que se convertirán en los principales objetivos de los fraudes. El hecho de que se hayan detectado y explotado fallos de plataformas y dispositivos Android™ como FakeID y la vulnerabilidad “master key” indica que pueden producirse problemas aún mayores.

Surgirá un kit para explotar vulnerabilidades parecido a BHEK, que está específicamente dirigido a usuarios de dispositivos móviles, para obtener beneficios de la fragmentación y otros problemas similares. Instalar aplicaciones maliciosas y visitar sitios poco seguros ya no serán los únicos vectores de infección para los dispositivos móviles. También entrará en juego la explotación de vulnerabilidades “automatizada” a través de la interacción entre plataformas. Asimismo, conectar dispositivos móviles infectados en ordenadores derivará en problemas mayores. Por lo tanto, los usuarios deberán mantener actualizados los dispositivos y las aplicaciones. Descargar aplicaciones y parches únicamente de fuentes legítimas y de confianza también resultará de gran ayuda.

En 2015, las campañas de ataques dirigidos continuarán propagándose. Sin embargo, ya no se originarán únicamente en Estados Unidos y fijarán sus objetivos en más países. Los atacantes también procederán de otros países, ya que se han detectado ataques procedentes de India, Vietnam, Reino Unido, etc. Tras el éxito de los ataques dirigidos a objetivos valiosos, los ciberdelincuentes valorarán las tácticas y herramientas ya probadas como el método más práctico para obtener lo que desean.

De 2015 en adelante, observaremos cómo los atacantes utilizan las redes sociales para localizar objetivos valiosos. Ya no se limitarán a instigar ataques de abrevadero y a utilizar correos electrónicos de phishing dirigido. Ampliarán drásticamente la zona de ataque, que incluirá los dispositivos para llevar con tecnología Wi-Fi que ejecutan firmware vulnerable.

Basándonos en ataques previos, podemos afirmar que los sistemas de las instituciones financieras y de puntos de venta (TPV) continuarán siendo un campo fértil para los atacantes en el futuro. La necesidad de mejorar los análisis de seguridad será más imprescindible, así como la aplicación de soluciones innovadoras basadas en un modelo de seguridad operacional que responda a los riesgos actuales y a las amenazas en tiempo real.

Cabe esperar una transformación masiva en los sistemas de pago a medida que Apple Pay™ obtenga una masa crítica entre los usuarios de iPhone® durante los próximos 18 meses. Aunque este nuevo sistema de pago todavía está en periodo de incubación, los ciberdelincuentes continuarán intentando explotar la comunicación inalámbrica de corto alcance (NFC) para beneficiarse de la gran tendencia de Apple a adoptar nuevas tecnologías.

Las herramientas y las tácticas de los ciberdelincuentes evolucionarán de forma paralela a los sistemas de pago con dispositivos móviles a fin de acceder a los datos confidenciales sin levantar sospechas. Dado que la NFC se basa principalmente en la premisa de que los usuarios podrán pagar con sus dispositivos móviles, los atacantes no perderán el tiempo en desarrollar aplicaciones para dispositivos móviles habilitadas para NFC que parezcan legítimas cuando pueden utilizar otros sistemas. De hecho, los usuarios de Google Wallet™ ya aprendieron esta lección cuando se descubrió que una aplicación maliciosa que otorgaba privilegios de NFC podía robar su dinero y la información de sus cuentas. Los recientes esquemas de comercio con dispositivos móviles, como el de WeChat, también pueden convertirse en objetivos importantes de la ciberdelincuencia si llegan al público general.

La tecnología NFC está a punto de alcanzar su mayor relevancia, por lo que los usuarios deben ser conscientes de que los atacantes pueden encontrar maneras de interceptar etiquetas de NFC en tránsito y de que, con toda seguridad, lo lograrán. Por lo tanto, los fabricantes de dispositivos móviles deben tomar medidas y tener en cuenta la seguridad desde el momento en el que se diseñan los productos y se deciden las funciones con las que estos estarán equipados. Las tecnologías, si se configuran y se utilizan correctamente, ofrecen innumerables ventajas. Por desgracia, si se desarrollan sin pensar en la seguridad, las consecuencias pueden ser muy peligrosas.

El año 2014 se vio notablemente empañado por el descubrimiento de fallos tan importantes como Heartbleed y Shellshock. Y, lo que es peor, los ciberdelincuentes no van a parar de exponer y explotar fallos en software e infraestructuras de código abierto como Open Secure Sockets Layer (SSL) y Bash. Por ello, es evidente que en 2015 se producirán más explotaciones de fallos de código abierto. Heartbleed y Shellshock abrieron la caja de Pandora. Ahora, los atacantes comenzarán a desbaratar tecnologías que anteriormente se consideraban seguras.

A medida que gigantes del sector como Microsoft incrementen la seguridad, observaremos una disminución de los ataques de explotación de vulnerabilidades contra productos y servicios de renombre. Cabe esperar que los atacantes centren su atención en explotar fallos de software de código abierto, que probablemente no está sujeto a auditorías de componentes del todo fiables. Después de todo, las revisiones de seguridad a las que se someten no parecen ser tan rigurosas como las de los productos que se comercializan.

A partir de 2015, los usuarios empezarán a darse cuenta de que prácticamente todos los dispositivos y aplicaciones con acceso a Internet, incluidos los dispositivos inteligentes y las appliances, puede ser pirateados. La aplicación de parches de software y la actualización de dispositivos serán de vital importancia. Entretanto, las organizaciones deberían comprobar sus redes de forma rutinaria para detectar signos de ataques y probar e implementar inmediatamente los parches disponibles. También sería interesante invertir en soluciones de seguridad basadas en la información que proporcionen protección en tiempo real y estén respaldadas por fuentes de información de amenazas globales.

Se espera que se produzca una marcada subida en el uso de dispositivos inteligentes, pero garantizar seguridad en el espacio de IdT/IdC implicará un enfoque más amplio a la hora de proteger las redes y los puestos de trabajo frente a posibles amenazas. Aunque en 2015 no se observará un gran número de ataques de IdT/IdC, sí se producirán intentos de pirateo de sombrero blanco en los que se intentará detectar los puntos débiles de dispositivos inteligentes ya disponibles como frigoríficos, cámaras o tecnología para llevar. No obstante, a medida que los ciberdelincuentes adquieran más conocimiento de la tecnología IdT/IdC, observaremos cómo dirigen sus ataques de forma gradual hacia los dispositivos inteligentes con el objetivo de chantajear o extorsionar económicamente a las víctimas.

La creciente introducción de dispositivos inteligentes en nuestros hogares nos exige que prestemos más atención a la seguridad en la nube. Al fin y al cabo, los atacantes se verán obligados a optimizar sus tácticas para piratear los datos que, cada vez más, almacenamos en la nube. No olvide que si no se protegen estos datos, prácticamente cualquiera, incluso los ciberdelincuentes, podría acceder a ellos. Si bien es cierto que los profesionales de la seguridad se verán obligados a mejorar la respuesta frente a las filtraciones para ganarse la confianza pública, en realidad usted es el único responsable de sus datos.

La falta de aplicación de prácticas de seguridad (incluso en países desarrollados como Estados Unidos) como la autenticación de dos factores o la tecnología de chip y pin contribuirá al incremento de las amenazas dirigidas a servicios bancarios online y a otros tipos de objetivos financieros.

Hemos visto cómo el malware dirigido a operaciones bancarias en Internet ha crecido de forma constante durante la primera mitad de 2014. Además del malware ZeuS para el robo de datos, VAWTRAK también afectó a multitud de clientes de servicios de banca online, especialmente en Japón, lo que provocó un aumento del volumen total durante el segundo trimestre del año. Operaciones complejas como Emmental, que demostró que incluso las medidas de autenticación de dos factores empleadas por los bancos podían fallar, también figuraban en el panorama de las amenazas.

En los próximos años, los ciberdelincuentes ya no solo crearán amenazas de motivación económica dirigidas a los usuarios de ordenadores, sino que también se fijarán como objetivo a los usuarios de dispositivos móviles. Es probable que utilicen aplicaciones falsas y programas para cambiar el sistema de nombres de dominio (DNS), y que lancen ataques de phishing contra dispositivos móviles parecidos a los que ya conocemos. No solo obtendrán acceso a las cuentas bancarias online de las víctimas... llegarán incluso a robar sus identidades. También se elaborarán amenazas para dispositivos móviles más sigilosas: asistiremos al nacimiento de empaquetadores semejantes a los que se utilizan en el malware de los ordenadores.

El éxito de los ataques dirigidos a la hora de obtener datos de usuarios también inspirará a los ciberdelincuentes para utilizar mejor el reconocimiento y rentabilizar más aún sus esquemas maliciosos. Los ciberestafadores utilizarán metodologías de ataque dirigidas ya probadas para las operaciones de ventas cortas e inversiones ventajistas.

Los riesgos crecientes que plantean las amenazas bancarias online deberían motivar tanto a particulares como a empresas a utilizar las medidas de autenticación de dos factores y los tokens de hardware o de sesión que ofrecen los bancos y otras instituciones financieras. Mientras tanto, los proveedores de tarjetas de pago de Estados Unidos y otros países deberían modernizar los procesos de seguridad de los datos mediante el uso obligatorio de tarjetas de chip y pin y terminales de puntos de venta (TPV), especialmente para evitar las continuas filtraciones que sufren las grandes compañías.
Predicciones de seguridad de Trend Micro para 2015 y años posteriores
Lo invisible se hace visible
Las redes oscuras constituirán la tormenta perfecta para los ciberdelincuentes.
UN MAYOR NÚMERO DE CIBERDELINCUENTES UTILIZARÁN LAS REDES OSCURAS
para compartir herramientas ofensivas, organizar ataques y comercializar mercancías robadas.
Existe otra red de Internet, una a la que los usuarios comunes no suelen acceder. Se utiliza con distintos fines, algunos de ellos legales, otros inequívocamente ilegales. Es posible que un ciudadano que vive en un régimen represivo desee encontrar un modo de comunicarse en el que no interfiera el estado, al igual que un agente de seguridad nacional puede necesitar comunicarse sin dejar rastro. La única forma de conseguir estos objetivos es mediante el anonimato.
Los usuarios que se conectan habitualmente con otros usuarios, utilizarán y compartirán más datos.
Los ataques serán más agresivos a medida que aumente la actividad en Internet.
Surgirá un kit para explotar vulnerabilidades específicamente dirigido a los usuarios de Android.
Surgirá un kit parecido a BHEK para explotar vulnerabilidades específicamente dirigido a los usuarios de Android.
En 2015, las campañas de ataques dirigidos continuarán propagándose.
LOS ATAQUES DIRIGIDOS SERÁN LOS MÁS COMUNES.
Los particulares que utilicen lectores de NFC con sus dispositivos móviles deberían apagarlos cuando no los utilicen.
Los nuevos métodos de pago con dispositivos móviles introducirán nuevas amenazas.
Se observarán más intentos de explotar las vulnerabilidades de las aplicaciones de código abierto.
Se seguirán explotando los fallos de las aplicaciones de código abierto.
La diversidad tecnológica evitará los ataques masivos a dispositivos IdT/IdC, pero no ocurrirá lo mismo con los datos que procesan.
NO VEREMOS CLARAMENTE LOS ATAQUES A DISPOSITIVOS IDT/IDC,
pero los datos que procesarán nos indicarán lo contrario.
Hemos visto cómo el malware dirigido a operaciones bancarias en Internet ha crecido de forma constante durante la primera mitad de 2014.
Emergerán amenazas más graves dirigidas a operaciones bancarias online y a otros tipos de objetivos financieros.