Trabajando desde casa: La constelación de desafíos de seguridad de COVID-19

A medida que la amenaza de los coronavirus continúa extendiéndose, las empresas están enviando a los empleados a casa para trabajar de forma remota, y los estudiantes están trasladándose a las clases en línea. Pero con el distanciamiento social, viene una nueva amenaza, una relacionada con la cibernética.

Los ciberdelincuentes están intensificando sus tácticas para aprovecharse de aquellos que pueden tener posturas de seguridad inadecuadas o ingenuas como resultado. Dadas las dificultades para asegurar los entornos de trabajo y de aprendizaje desde el hogar, la superficie de ataque representa una oportunidad atractiva para los actores de la amenaza.

“Trabajar desde casa ó los programas de educación en línea no son nuevos. Sin embargo, una gran migración inmediata de personas desde las redes de empresas y universidades que están estrechamente supervisadas y aseguradas, a redes Wi-Fi domésticas en gran parte no supervisadas y a menudo inseguras, crea un gran objetivo de oportunidades para los ciberdelincuentes”, aseguró Chris Hazelton, director de soluciones de seguridad de Lookout. “Estos usuarios están fuera del alcance de las herramientas de seguridad basadas en el perímetro, y es probable que tengan una mayor exposición al phishing y a los ataques de red”.

La preocupación es más que teórica. Los atacantes ya han estado aprovechando los ciberataques con coronavirus mientras continúa el pánico por la pandemia global, incluyendo varios ataques de malware que involucran a Emotet y otras amenazas. Por ejemplo, recientemente se vio a un APT propagando un troyano de acceso remoto (RAT) personalizado y único que toma capturas de pantalla, descarga archivos y más, en una campaña temática de COVID-19. Y, la Organización Mundial de la Salud (OMS) ha emitido advertencias sobre estafadores que pretenden ser la organización. Se espera que esa actividad se expanda junto con la expansión de la superficie de ataque, dijeron los investigadores.

“En general, los atacantes buscan una vulnerabilidad para lanzar su ataque”, indicó Chris Rothe, jefe de producto y cofundador de Red Canary. “En este caso, el temor de la gente por el virus es la vulnerabilidad que los atacantes buscarán aprovechar. Si una persona está preocupada o estresada por el virus es menos probable que recuerde su formación en seguridad y será más probable que, por ejemplo, haga clic en un enlace de un correo electrónico de phishing ó dé sus credenciales a un sitio web malicioso”.

Este olvido en lo que respecta a la seguridad puede ser especialmente cierto para aquellos que no están acostumbrados a trabajar o aprender en casa: “La gente que trabaja desde casa se distrae fácilmente, sobre todo si está acostumbrada a trabajar en la oficina, y mezclará el trabajo con el correo electrónico personal y la navegación por la web”, dijo Colin Bastable, director general de la empresa de formación de concienciación sobre seguridad Lucy Security, en una entrevista por correo electrónico. “Esto aumenta los riesgos que pueden introducir a sus empleadores y colegas, al hacer clic en los enlaces de malware. Así que ahora es un gran momento para advertir a la gente que sea ultra cautelosa, que pase el cursor sobre los enlaces y que se tome su tiempo”.

La falta de recursos informáticos puede alcanzar a muchas organizaciones cuando se mueven para habilitar estrategias remotas. Cuando se envía a los trabajadores y estudiantes fuera del perímetro normal, la gestión de la expansión de los dispositivos y la aplicación de parches y la seguridad de cientos de miles de puntos finales se convierte en un desafío mucho mayor.

Sumir Karayi, CEO y fundador de 1E, advirtió que hay una gran cantidad de empresas que normalmente no permiten el teletrabajo. “El gobierno, el sector legal, los seguros, la banca y la sanidad son todos grandes ejemplos de industrias que no están preparadas para esta afluencia masiva de trabajadores remotos. Muchas compañías y organizaciones en estas industrias están trabajando en sistemas de legado y están usando software que no está parcheado. Esto no sólo significa que el trabajo a distancia es una preocupación de seguridad, sino que hace que el trabajo sea una experiencia negativa e improductiva para el empleado”, explicó.

Los desafíos son particularmente notables para quienes trabajan en industrias reguladas, añadió, y para quienes utilizan programas informáticos patentados o específicos, como los corredores de bolsa o los reservistas de las líneas aéreas.

“Las industrias reguladas plantean un reto significativo porque utilizan sistemas, dispositivos o personas que aún no han sido aprobadas para el trabajo a distancia”, dijo. “Muchas empresas deben disponer de entornos y dispositivos seguros para cumplir las normas; no es posible asegurar y certificar el trabajo a distancia debido a las preocupaciones de seguridad y a las personas no autorizadas que acceden a él. El software propietario o específico suele ser también software heredado. Es difícil de parchar y mantener, y rara vez se puede acceder a él a distancia”.

Muchas organizaciones, incluidas escuelas, tienen programas informáticos patentados en sus instalaciones que requieren configuraciones especiales para poder ser accesibles a distancia.

“En un mundo de creciente adopción de SaaS y nubes esto puede ser muy fluido, pero si sus sistemas están todos en una red interna el reto es proporcionar a los usuarios una forma segura de acceder a esos sistemas a través de una VPN u otra solución de red”, señaló Rothe.

Y, añadiendo el insulto a las lesiones, los trabajadores de las industrias reguladas a menudo se ven atrapados en puntos finales que tienen protocolos de seguridad engorrosos – que irónicamente pueden añadir a la superficie de ataque.

“Cuando necesitan ayuda de la TI, ésta a menudo no tiene las herramientas adecuadas, por lo que tienen que intentar hacerse cargo de la máquina, lo que supone una gran pérdida de tiempo y un riesgo para la seguridad”, señaló Karayi.

También existe, por supuesto, el espectro de una mayor amenaza de la esfera móvil. “Los estudiantes y trabajadores que permanezcan en sus casas, o posiblemente varados en lugares remotos, van a depender en gran medida de sus dispositivos móviles”, dijo Hazelton de Lookout. “Los ataques móviles son particularmente efectivos porque a menudo desencadenan respuestas inmediatas de los destinatarios: plataformas de comunicación instantánea como SMS, iMessage, WhatsApp, WeChat y otras”.

Afortunadamente, las empresas y las escuelas pueden planificar la educación y el trabajo a distancia para hacer frente a algunos de estos desafíos.

“El primer paso que los empleadores deben dar ahora mismo es realizar un ejercicio de mesa de trabajo a distancia con sus principales ejecutivos y líderes de línea de negocios”, dijo Rick Holland, CISO y vicepresidente de estrategia de Digital Shadows, hablando con Threatpost. “Es necesario hacer un inventario de sus aplicaciones de negocios e identificar las de misión crítica. Para las aplicaciones SaaS, haga un seguimiento con sus proveedores y pregunte sobre sus planes de continuidad de negocio. Para las aplicaciones en las instalaciones que requieren conectividad VPN, pruebe y valide esa conectividad VPN para una mayor utilización que la habitual”.

También es esencial hacer evaluaciones de riesgo de las configuraciones informáticas de los trabajadores remotos, añadió. Las preguntas que hay que hacer incluyen cómo se conectarán a los sistemas de la empresa, y desde qué dispositivos.

“El personal podría conectarse desde los portátiles de la empresa u opciones como Citrix o Amazon Workspaces que permiten al personal trabajar desde cualquier dispositivo”, dijo Holland. “También podría ser necesario desplegar nueva VoIP y aumentar las licencias de los servicios de conferencias web”.

Asimismo, es importante considerar la cuestión del software en las instalaciones, incluyendo los costos. “No pueden reemplazarse las aplicaciones heredadas en las instalaciones de la noche a la mañana, por lo que aumentar la capacidad de la VPN para dar cabida a más personal que trabaja a distancia podría ser costoso”, dijo Holland. “Una de las consecuencias no deseadas de COVID-19 será probablemente el aumento de la adopción de la confianza cero que abra aún más los servicios en la nube, elimine las VPN y permita a los empleados trabajar desde cualquier lugar”.

Y finalmente, dado el aspecto de ingeniería social de la mayoría de los ataques, la educación del usuario es muy importante.

“Así que sí, asegúrese de que sus empleados y estudiantes estén al día con la última información sobre el coronavirus y que sepan cómo protegerse a sí mismos y a sus familias del propio virus, así como a todos los artistas del fraude que siguen su estela”, aseguró Eric Howes, investigador principal del laboratorio de KnowBe4.

Con información de: Threat Post.