Debido a la alta presencia digital, vivimos tiempos en los que la exposición, tanto de personas como organizaciones, es más alta que nunca. Fluid Attacks destacó cómo la Inteligencia de Fuentes Abiertas (Open Source Intelligence, OSINT) se ha transformado en una modalidad efectiva para conocer detalles significativos sobre una persona y sobre la empresa para la cual trabaja.
Al respecto, Andrés Roldán, Partner y Offensive Team Leader de Fluid Attacks, explicó que la inteligencia es el resultado de recolectar, relacionar y analizar información. A partir de allí, señala que “OSINT es una técnica para hacer inteligencia sobre una persona o una empresa utilizando fuentes abiertas, recursos en línea e información pública. La investigación comienza con identificadores, es decir, palabras clave únicas, como nombre, apellido, correo electrónico, compañía, teléfono, dominio, dirección IP y usuario en redes sociales. El siguiente paso es la correlación, es decir, buscar esos identificadores por toda Internet y enlazar la información similar para descubrir nuevos indicadores. Al correlacionar todos los indicadores con una sola persona o empresa, se logra realizar una investigación a profundidad”.
OSINT puede ser usado por actores maliciosos para el reconocimiento de una empresa. Estos pueden utilizar la inteligencia recogida para atacar blancos fáciles, aprovechándose del error humano. Un hecho alarmante es que la detección de un ataque puede tardar hasta más de 200 días. Según el informe “2021 Threat Hunting Report” de Cybersecurity Insiders, el 55% de los profesionales de la ciberseguridad encuestados señalaron que la detección oportuna de las amenazas avanzadas es su principal desafío. Al implementar prácticas tecnológicas efectivas y servicios de pruebas de seguridad, las organizaciones pueden proteger sus datos y sus infraestructuras de TI.
Ante la abundancia de información que se encuentra esparcida en Internet, resulta fundamental ser precavidos y evitar convertirse en el objetivo de un atacante. Es por esto que Fluid Attacks sugirió tres acciones de defensa para que las empresas y las personas eviten ser víctimas de robo de información:
● Eliminar información para limitar los identificadores: Es importante tener presente en qué redes sociales tiene actividad la organización. Se recomienda a las empresas minimizar la cantidad de información delicada en acceso público. Además, esta recomendación puede relacionarse con la educación a los empleados para que eliminen las cuentas en redes sociales que no utilizan, limiten quiénes pueden ver su información y conozcan que pueden ser víctimas de engaños basados en OSINT. Con respecto a esta última amenaza, se encuentra la posibilidad de que actores malintencionados se ganen la confianza de sus empleados, alegando intereses o actividades comunes, para influenciarlos a que actúen de formas que comprometan la seguridad de la empresa.
● Confundir por medio de información falsa para limitar la correlación: Si bien la mejor prevención es que los empleados limiten la cantidad de información personal que comparten en Internet, también pueden evitarse problemas de seguridad al alterar los metadatos (datos que describen a otros datos) de los archivos que comparten. Información como fechas, nombres de aplicaciones y dispositivos, e incluso datos de geolocalización pueden en algunos casos modificarse, además de eliminarse.
● Aplicar en beneficio propio el método de inteligencia: Por supuesto, una forma que puede contribuir a que una empresa proteja su información y su infraestructura es el OSINT ético. Tal investigación puede permitir conocer qué identificadores de la compañía se encuentran en acceso público y si hay información delicada que puede ser utilizada por actores maliciosos. Ligado a esto se puede aplicar un método llamado Cacería de Amenazas (Threat Hunting), por medio del cual se comprende en qué entorno se encuentra, cómo fluye, y cómo se protege la información de la empresa. Entendiendo las técnicas que usan los ciberdelincuentes, los expertos en OSINT ético pueden identificar movimientos anómalos dentro de los sistemas y seguir pistas para detectar posibles amenazas y riesgos a mitigar, para que luego se generen mejores controles y se optimice la seguridad de la empresa.
“OSINT realmente ayuda, y, sin duda, debería ser una labor a aplicar en todas las compañías para verificar qué tipo de material tienen expuesto, ya sea en actividades públicas o privadas. Estar averiguando si hay o pueden haber fugas de información, debería ser un proceso continuo, ya sea con personal interno y capacitado, o contratando a una compañía como Fluid Attacks que cumpla con un monitoreo a través de sus expertos en Ethical Hacking”, concluyó Roldán.
