"La evolución del cibercrimen es más un cambio de mentalidad que algo tecnológico"

Junto con los avances tecnológicos como la inteligencia artificial (IA), el Internet de las Cosas (IoT), el cloud, el 5G y otros, el cibercrimen ha experimentado una evolución sin precedentes, potenciado también por la situación geopolítica y la masiva migración a la nube pospandemia. Sin embargo, para Udo Schneider, evangelista de ciberseguridad de Trend Micro, el avance de las ciberamanzas en los últimos años responde más a “un cambio de mentalidad que a algo tecnológico”. 

En entrevista con ComputerWorld, Schneider asegura que los ciberdelincuentes “optimizaron su modelo de negocio para hacer frente a la nueva realidad de que la gente trabaja desde casa, ya sea desde dispositivos propiedad de la empresa o desde dispositivos privados”. Agrega que “ahora tienes esta infección inicial y entonces los atacantes evalúan dónde están. ¿Estoy en algún PC privado, en un portátil de empresa, estoy en algún tipo de entorno de fabricación? Y basándose en dónde están y a dónde quieren llegar, cambian sus métodos de ataque”.

"Simplemente toman una decisión empresarial: ¿qué es más eficaz, codificar los datos y extorsionar o robar los datos y revenderlos a alguien que esté más interesado?"

Trend Micro, multinacional japonesa de ciberseguridad, cuenta con un brazo académico y de investigación llamado Trend Research, que se dedica a analizar los retos y oportunidades tecnológicas que se presentarán en unos cinco a diez años. Uno de sus informes, que se publicó el año pasado, reveló que los ciberdelincuentes se han ido especializando por sector (por ejemplo, unos atacan a la industria, otros a las entidades financieras, etc). 

“Si estoy infectando tu PC y no tengo ni idea de fabricación, podría revender [el acceso a] tu PC a alguien que sabe de fabricación, y ellos decidirán cuáles son los archivos interesantes para encriptar, para maximizar el impacto negativo. Desde la infección inicial pueden pasar semanas hasta que realmente veas algo, porque el atacante podría decidir atacar otros sistemas en tu empresa, de modo que no es sólo un PC encriptado sino 20, incluyendo tu servidor o tu correo o podría usurpar tu dirección de correo electrónico para escribir a tus proveedores o clientes”, detalla Schneider. “Simplemente toman una decisión empresarial: ¿qué es más eficaz desde el punto de vista empresarial, codificar los datos y extorsionar basándose en ello, o puede tener más sentido simplemente robar los datos y revenderlos a alguien que esté más interesado?”, añade.

¿Es el 5G más seguro?

El 5G ya es una realidad. Según el Informe de Cobertura de Banda Ancha 2022 del Ministerio de Asuntos Económicos y Transformación Digital, el 82% de la población española ya tiene acceso a redes 5G. Este despliegue impulsará, a su vez, nuevas tecnologías como el IoT, las ciudades inteligentes y los coches autónomos, gracias a una siguiente generación de conectividad, más rápida y segura. “Desde el punto de vista operativo, de la red de radio, el 5G es mucho más seguro que el 4G y el 3G”, confirma Schneider. 

"Desde el punto de vista operativo, el 5G es mucho más seguro que el 4G y el 3G. Desde el punto de vista informático, no tanto"

Sin embargo, advierte que “desde el punto de vista informático, no tanto”. Para el evangelista de Trend Micro, el problema está en que las empresas que están comenzando a desplegar 5G lo hacen como prueba de concepto (PoC), sin integrar la seguridad desde el inicio. “Lo que hemos visto es que muchos de esos PoC gradualmente se transfieren al uso de producción, sin que la seguridad se añada más tarde, y una vez que están en uso de producción nadie quiere tocar el sistema, porque cualquier tipo de control de seguridad podría poner en riesgo la disponibilidad. Lo interesante aquí es que, desde una perspectiva de riesgo, no importa realmente si tienes vulnerabilidades en tus sistemas TI, OT o en tu entorno 5G: todo supone un riesgo para tu cadena de valor, así que tienes que asegurarlo”. 

El otro reto actual: la IA

La llegada de herramientas de inteligencia artificial e IA generativa al día a día de las personas ha supuesto el agravamiento de problemas de seguridad que, si bien ya existían (como la suplantación de identidad, los deepfakes, la sextorsión con imágenes falsas), se han masificado. “Realmente no puedes confiar en que la información visual de audio o vídeo sea precisa. Este es un gran cambio”, dice Schneider. Para muchas empresas, como las financieras o de seguros, que estaban integrando sistemas de verificación de identidad por vídeo o foto tras la pandemia, esto se ha transformado en un problema. “La confianza implícita que teníamos en las imágenes, en las caras, incluso en la videocomunicación, con la llegada de la IA ya no funciona. Ya no se puede confiar”, afirma.

En la otra cara de la moneda está cómo los ciberdelincuentes están optimizando sus ataques gracias a la inteligencia artificial. Por ejemplo, muchos atacantes están utilizando tecnologías como ChatGPT para escribir correos electrónicos de phishing y testear su eficacia con pruebas A/B. “Empiezas con 10 variaciones del email hechas por ChatGPT y simplemente mides cómo de efectivo es un texto específico, y entonces seleccionas los dos textos que mejor funcionan. Esto se ha hecho en el pasado, pero era un proceso manual”, explica.

"La confianza implícita que teníamos en las imágenes, con la llegada de la IA ya no funciona"

Asimismo, existen investigaciones que demuestran que ChatGPT no sólo es mejor y más rápido que los humanos encontrando vulnerabilidades en sistemas, sino que también creando exploits para aprovecharlas. “Así que todo el trabajo duro de tomar la información de vulnerabilidad y convertirla en una plataforma de ataque, esto podría ser totalmente automatizado en este momento”, cuenta Schneider. 

“Así estamos viendo diferentes lados de la IA. Nosotros podríamos tener algunas reservas éticas sobre cómo estamos utilizando la IA. Yo no tengo intención de crear un vídeo sexual a partir de la foto de mi mujer, no tengo intención de cometer fraude usando deepfake en una videollamada. Yo soy contrario a esa idea, pero los ciberdelincuentes no. Y creo que eso tenemos que recordar: todo lo que están haciendo a gran escala es optimizar su proceso de negocio para ganar más dinero, y si una tecnología como la IA aparece y les permite agilizar su proceso de negocio, no tienen limitaciones morales para hacerlo. Ya lo hacen”, comentó el experto.