Ataque a Uber evidencia falta de seguridad, ya que el 15 de septiembre una persona que indica tener 18 años expone que logró tener acceso a múltiples sistemas y servicios de Uber con privilegios de administrador, al inicio el ciberdelincuente avisó a la misma empresa, pero sus empleados lo tomaron a broma, posterior a eso, la persona que se infiltró en los sistemas de Uber, exhibió información del ataque a través de sus redes sociales.

Israel Gutiérrez, CTO global y Manager para México de la empresa de ciberseguridad A3Sec comenta: “La manera de lograr un ataque exitoso fue utilizando lo que se llama ingeniería social: el ciberdelincuente se hace pasar por un empleado de Uber, así consigue que un empleado verdadero le entregue sus credenciales de acceso a la red corporativa (VPN). Con esta información logra entrar y escanea la red interna donde encuentra una carpeta compartida en la cual se almacenan scripts en texto, con información de más cuentas privilegiadas, así logró ingresar a múltiples sistemas de seguridad y administración de las infraestructuras tecnológicas”.

“En principio podemos ver que el acceso a través de las personas sigue siendo efectivo, la gestión de las plataformas de seguridad, por más controles existentes, si tenemos los usuarios y passwords almacenados en archivos de texto, nada es útil y agentes externos logran acceder a la información corporativa. Cuando nos referimos a que los ataques más efectivos son los internos no necesariamente vienen de personas que laboran dentro de la organización si no agentes externos que se hacen pasar por personal interno y ahí está el gran riesgo”. Remarca Israel Gutiérrez

La previsión para este tipo de incidentes es claramente la concientización a los empleados y mejores sistemas de validación de identidad e implementar sistemas de doble factor de autenticación. Sistemas de identificación de comportamiento de acceso, validar la ubicación geográfica de los empleados al acceder, aunque los colaboradores remotos existen, hay patrones claros para establecer comportamientos anómalos y poder reaccionar más rápido ante estas situaciones

El CTO de A3sec comenta: “Al analizar la información que tenemos disponible de Uber podemos ver que no existen ejercicios de simulación de ataques ni protocolos de comunicación claros ante un incidente de seguridad, por ejemplo: ¿cómo sabemos que quien empieza a escribir es o no un atacante? y ¿Cómo hemos estructurado los protocolos de reacción?. Uber emite que está investigando un incidente pero esto fue cuando empiezan a compartir información en las redes sociales, debió ser antes que el atacante revelara información asi podriamos ver que son más preventivos que reactivos, pero se ve claramente que la comunicación al público en general se desarrolla unos minutos después de que su información comienza a exponerse a través de algunos feeds de twitter”.

Contar con equipos efectivos de ciberseguridad debe brindar los protocolos de actuación necesarios ante un incidente de este tipo para todas las áreas de la organización no solamente para las áreas de tecnología o de ciberseguridad.

Israel Gutiérrez enfatiza que “el reaccionar a tiempo y con eficacia ante estas situaciones es crucial, no solamente por la información que se pueda perder, la productividad u operaciones, también el efecto que un ataque de esta índole representa para la reputación de la empresa, en este caso de Uber, aunque el atacante parece no haber comprometido la operación ni los ingresos de la empresa pero el solo hecho de exponer esta situación en las redes sociales, provocó que las acciones de Uber tuvieran una caída importante, lo cual representó una pérdida de 3 mil MDD.

Tal vez nuestras organizaciones no coticen en bolsa o tengan el tamaño de la empresa afectada, sin embargo qué pasaría si un agente externo le enviara un correo a nuestros clientes y proveedores diciendo que nuestra información ha sido comprometida. Los impactos de este tipo de ataques se podrían medir en las operaciones que no pudiéramos hacer o en las ganancias que dejarían de entrar a la organización. ¿Hasta cuánto dinero está una empresa dispuesta a perder, en lugar de invertir no solo en controles de seguridad sino en aliados que hagan frente a situaciones similares?