Indaguem en les motivacions dels hackers i proposem algunes mesures de protecció bàsiques per a empreses i marques.
A l'economia digital actual, els ciberatacs i les filtracions de dades són una amenaça constant. Els pirates informàtics ataquen tota mena d'organitzacions, des de petites associacions fins a grans multinacionals.
Però què fa que una entitat sigui més atractiva que una altra per als pirates informàtics? Les víctimes dels atacs tenen alguna cosa en comú?
Per saber si la teva empresa pot ser un blanc potencial de pirateig i quines mesures convindria adoptar per protegir-la, cal entendre qui són els pirates informàtics i què els motiva.
Tipus de pirates informàtics
Les raons per les quals algú s'introdueix a una xarxa informàtica aliena són molt variades. Tant, que fins i tot donen peu a disquisicions lingüístiques: mentre que, parlant en propietat, un hackers és una 'persona amb coneixements informàtics sòlids capaç d'introduir-se sense autorització en sistemes aliens per manipular-los, obtenir informació, etc., o simplement per diversió', un galeta és algú que, a més de ser capaç d'entrar en sistemes aliens, ho fa amb finalitats delictives.
L'incentiu principal dels hacktivistes, per exemple, és la ideologia, per la qual cosa els seus objectius solen ser institucions o empreses els actes de les quals xoquen amb els seus valors. Aquests tipus de hackers intenten filtrar informació que cridi l'atenció de l'opinió pública o bé boicotejar la pàgina web o les plataformes socials d'aquestes entitats com a forma de protesta.
També hi ha els anomenats vàndals digitals, que es dediquen a desfigurar pàgines per diversió. Solen ser joves que estan fent els seus primers passos com a pirates i simplement volen practicar i jugar amb les seves habilitats recentment adquirides.
Una altra categoria de pirata és la del agent finançat per un Estat. Ja sigui com a membre del servei nacional d'intel·ligència o com freelance, els Estats contracten crackers per assolir objectius de política exterior mitjançant atacs d'espionatge, interrupció o sabotatge econòmic, cada cop més adreçats a empreses de sectors tan diversos com la sanitat, els serveis financers, l'educació i l'oci.
Tot i això, el perfil més corrent és el del pirata que es mou per diners. En molts casos, estan vinculats directament o indirectament amb bandes organitzades. Per això, tenen capacitat per utilitzar un gran repertori d'eines, pràctiques i mètodes sofisticats d'intrusió.
Entre les activitats més habituals hi ha les estafes de phishing i de ransomware, que solen executar a gran escala. És a dir, en general llancen campanyes indiscriminadament tantes víctimes com puguin per maximitzar els guanys potencials.
Segons diversos experts en ciberseguretat, moltes vegades les pimes són «víctimes col·laterals», en la mesura que hi ha una tendència creixent a activar els programes maliciosos a la xarxa oberta, de manera que ataquin qualsevol equip no actualitzat o desprotegit (en lloc de atemptar contra una empresa, un organisme o una indústria en particular).
Tot i així, també s'utilitzen estratègies més selectives: molts ciberatacs consisteixen en la recerca d'objectius i l'ús de phishing de llança o intents d'intrusió directa a una xarxa per dur a terme operacions de frau, robatori o xantatge. Aquest tipus d'atacs estan dirigits generalment a organitzacions del sector privat, ja que solen tenir més liquiditat que els particulars o els organismes públics.
Què motiva els pirates informàtics?
En qualsevol cas, les motivacions de la infiltració donen una indicació de qui pot ser la víctima, així com dels mitjans i les tàctiques escollides per executar-la.
Continguts
Atacs ideològics
En el cas dels ciberatacs ideològics, les motivacions no són gens transparents. Hi ha tantes raons per les quals algú pot discrepar dels actes d'una organització com de persones: potser l'atacant no estigui d'acord amb els valors corporatius, que certes accions li hagin indignat o simplement que l'empresa representi una concepció del món o un sistema que voldria enderrocar.
Sigui quina sigui la raó, l'objectiu sol implicar avergonyir la víctima, cosa que moltes vegades s'aconsegueix traient a la llum informació que l'entitat preferiria que no es conegués. En concret, en aquest tipus d'atacs els correus electrònics interns solen ser un objectiu clau, igual que els documents financers.
Grafit online
Als actes de vandalisme digital, els atacants solen ser adolescents i aficionats a la programació que deixen la seva marca en una pàgina o bé la desfiguren, de vegades de forma divertida o extravagant, per diversió o com a forma de lluir-se. Alguns fins i tot arriben a penjar fotos de les seves malifetes per competir amb altres.
La bona notícia és que aquesta forma de pirateria es detecta immediatament, es pot eliminar fàcilment i és menys perillosa que altres ciberatacs, com el codi maliciós (malware).
'Spamdexing' o indexació indiscriminada
Una altra motivació per atacar un lloc web és utilitzar-lo per enganyar els cercadors, de manera que indexin contingut que normalment no inclourien en els seus resultats, a més d'enganyar els usuaris perquè cliquin enllaços en què altrament no confiarien.
La intenció d'aquests crackers és infiltrar-se i instal·lar una porta del darrere que els permet manipular el contingut creant subpàgines i ocultant enllaços i paraules clau al codi. Així aconsegueixen desviar trànsit fins a altres llocs.
Per a la pàgina atacada, això implica no només una pèrdua dingressos i del rànquing SEO, sinó que destrueix la seva reputació i pot fer que entri a la llista negra dels cercadors.
Segrest de dades
Tot i això, en la majoria dels casos, l'incentiu és el guany directe de diners. Per això, o bé recorren al ransomware per fer xantatge a les seves víctimes o bé fan servir tècniques de phishing per enganyar-les i fer una transferència fraudulenta.
En aquest sentit, atès que els diners són els principals motivadors, el més lògic és que el blanc sigui conegut pels seus ingressos. Normalment són corporacions —que tenen més probabilitats de pagar sense donar part a la policia, ja que fer-ho podria repercutir en el preu de les seves accions—, però també hi ha empreses mitjanes.
A finals de gener del 2022, el grup Llobet, una cadena catalana de supermercats, va patir un atac informàtic que va trastocar el negoci. Uns pirates es van introduir al sistema de l'empresa, van esbrinar tots els detalls i ho van xifrar tot, incloses les dades al núvol. Dos dies més tard, van rebre una petició de rescat en un correu electrònic impossible de rastrejar.
Les 40 botigues repartides entre les províncies de Barcelona i Girona van estar dies amb els prestatges gairebé buits. Totes rebien la majoria del gènere mitjançant un sol magatzem central: l'afectat per l'hackeig.
Robatori de dades
Els ciberdelinqüents també poden perseguir informació valuosa que puguin utilitzar o vendre: dates de naixement, adreces de correu electrònic, informació financera, números de telèfon, contrasenyes…
Els números de targetes segueixen sent molt buscats i les botigues en línia són la principal presa: si els pirates accedeixen a la targeta d'un client, poden fer comandes per valor de milers d'euros i deixar de fer-la servir quan arriba al límit de crèdit.
No obstant això, avui dia els números de la seguretat social són un dels blancs més preuats: tenen un gran valor per als suplantadors d'identitat, que es fan passar per una altra persona per obrir comptes bancaris i línies de crèdit, cometre frau fiscal, accedir a inversions, sol·licitar prestacions o fins i tot rebre tractament mèdic.
Recentment i després de nombroses denúncies, l'Agència Espanyola de Protecció de Dades (AEPD) va multar les quatre operadores principals del mercat espanyol amb 5,81 milions d?euros per tramitar duplicats indeguts de targetes SIM.
El SIM swapping consisteix a generar un duplicat de la targeta SIM sense el consentiment del titular per accedir a informació personal i confidencial, i fer transferències de diners. Aquesta estafa gairebé sempre està precedida pel robatori d'altres dades –en particular les claus d'accés a la banca en línia– mitjançant tècniques de phishing, malware o pharming.
Com protegir la teva empresa
En tot cas, a gairebé tots els ciberdelictes hi ha un fil conductor: al final, els pirates es decideixen per l'opció més fàcil, tant pel que fa a l'elecció de les víctimes com a la dels mètodes que utilitzaran per atacar-les.
Buscar totes les vies d'entrada potencials que hi pot haver a la xarxa d'una possible víctima és relativament trivial. Per contra, a una organització li convé més invertir a posar en marxa una sèrie de pràctiques:
1. Impartir formació sobre ciberseguretat a la plantilla. L'Institut Nacional sobre Ciberseguretat ofereix eines i material interactiu gratuït, i organitza tallers presencials i cursos online per a empreses i autònoms.
2. Instal·lar tecnologia especialitzada. Després de determinar les solucions més apropiades (antivirus, antispam, antimalware, tallafocs…) per al tipus d'empresa i d'infraestructura, cal configurar aquestes solucions. Igualment, és essencial mantenir tots els sistemes actualitzats. Els pirates informàtics exploten les vulnerabilitats del programari. Per tant, cal utilitzar sempre la darrera versió aplicada de tots els programes, inclosos els plugins i temes de WordPress.
3. Establir polítiques de seguretat. Traçar un pla de resposta és clau perquè els atacs causin la mínima disrupció en cas de prosperar. Entre altres aspectes, la política de seguretat ha d'abordar: l'esborrament segur de les dades al final de la vida útil, l'ús dels diversos dispositius corporatius, el control d'accés a la informació, el procediment davant d'una infecció per malware i la recuperació de dades en cas de desastre.
4. Protegir i monitoritzar les marques a Internet. Per mantenir la reputació i la integritat d'una marca en línia, val la pena comptar amb un programa de protecció de marca que detecti les amenaces i infraccions més habituals: dominis ocupats il·legítimament, phishing, pirateria i venda de falsificacions. El servei Online Brand Protection de Nominalia ofereix una resposta ràpida i efectiva davant aquests abusos, i permet prioritzar les actuacions i prendre les mesures necessàries.
Al final, diuen, si estàs d'acampada i un ós ataca, no cal que corris més ràpid que l'ós: només cal córrer més de pressa que el campista més lent.