Sophos publicó recientemente su Threat Report 2024 (Informe de Ciberamenazas de Sophos 2024) en el que, este año, se detalla la ‘Ciberdelincuencia en Main Street’ y las mayores amenazas a las que se enfrentan las pequeñas y medianas empresas. Según el informe, en 2023, casi el 50% de los programas maliciosos detectados para las pymes eran keyloggers, spywares y stealers con los que los ciberatacantes robaron datos y credenciales. Posteriormente, los delincuentes utilizan esta información robada para obtener acceso remoto no autorizado, extorsionar a las víctimas y desplegar ransomware.
El informe de Sophos también analiza a los intermediarios de acceso inicial (IAB), delincuentes especializados en acceder a redes informáticas. Como se observa en el informe, los IAB utilizan la dark web para publicitar su capacidad y servicios de acceder a las redes de pymes o vender accesos, que ya han descifrado, listos para usar.
«El valor de los datos como moneda de cambio ha aumentado exponencialmente entre los ciberdelincuentes, y esto es especialmente crítico para las pymes, que tienden a utilizar un servicio o aplicación de software, por función, para sus operaciones empresariales. Por ejemplo, digamos que los atacantes despliegan un infostealer en la red de su objetivo para robar credenciales y luego hacerse con la contraseña del software de contabilidad de la empresa. Los atacantes podrían entonces obtener acceso a las finanzas de la empresa objetivo y tener la capacidad de canalizar fondos a sus propias cuentas. Hay una razón por la que más del 90% de todos los ciberataques reportados a Sophos en 2023 involucraron el robo de datos o credenciales, ya sea a través de ataques de ransomware, extorsión de datos, acceso remoto no autorizado o simplemente robo de datos», explica Christopher Budd, director de investigación de Sophos X-Ops en Sophos.
El ransomware sigue siendo la mayor ciberamenaza para las pymes
Aunque el número de ataques de ransomware contra pymes se ha estabilizado, sigue siendo su mayor ciberamenaza. De los casos de pymes gestionados por Sophos Incident Response (IR), que ayuda a las empresas que sufren ataques activos, LockBit fue el principal grupo de ransomware que causó estragos. Akira y BlackCat ocuparon el segundo y tercer lugar, respectivamente. Las pymes estudiadas en el informe también se enfrentaron a ataques de ransomware persistente, más antiguos y menos conocidos, como BitLocker y Crytox.
Según el informe, los operadores de ransomware siguen cambiando sus tácticas. Esto incluye aprovechar el cifrado remoto y dirigirse a los proveedores de servicios gestionados (MSP). Entre 2022 y 2023, el número de ataques de ransomware que implicaban cifrado remoto (cuando los atacantes utilizan un dispositivo no gestionado en las redes de las empresas para cifrar archivos en otros sistemas de la red) aumentó un 62 %.
Además, el año pasado, el equipo de Detección y Respuesta Gestionadas (MDR) de Sophos respondió a cinco casos de pequeñas empresas que fueron atacadas a través de un exploit en el software de monitorización y gestión remota (RMM) de sus MSP.
Los atacantes afinan sus ataques de ingeniería social
Después del ransomware, los ataques de compromiso de correo electrónico empresarial (BEC por sus siglas en inglés) fueron el segundo modo de ataque más alto que Sophos IR manejó en 2023, según el informe.
Estos ataques BEC y otras campañas de ingeniería social contienen un nivel de sofisticación cada vez mayor. En lugar de limitarse a enviar un correo electrónico con un archivo adjunto malicioso, ahora es más probable que los atacantes interactúen con sus objetivos enviándoles una serie de correos electrónicos conversacionales de ida y vuelta o incluso llamándoles por teléfono.
En un intento de eludir la detección por parte de las herramientas tradicionales de prevención de spam, los atacantes están experimentando ahora con nuevos formatos para sus contenidos maliciosos, incrustando imágenes que contienen el código malicioso o enviando archivos adjuntos maliciosos en formatos OneNote o de archivo. En un caso investigado por Sophos, los atacantes enviaron un documento PDF con una miniatura borrosa e ilegible de una ‘factura’. El botón de descarga contenía un enlace a un sitio web malicioso.
