Las 4 fases de un ciberataque y dónde puede frenarlo la pyme

Más de lo que imagina. De LinkedIn saca nombres y cargos; de la web, direcciones de correo; de las noticias, los proveedores; de las ofertas de empleo, el software interno. Le añade credenciales de empleados divulgadas en filtraciones de otros servicios. El resultado es un ataque dirigido: el mensaje del proveedor de siempre, la llamada del banco, el intento de acceso con la contraseña repetida. Nada de esto deja rastro visible.

El freno: quitar valor a las credenciales y reducir la superficie pública. Una contraseña distinta por servicio, guardada en un gestor de contraseñas, vuelve inútiles las filtraciones ajenas. Menos direcciones genéricas publicadas y una regla clara para las peticiones hechas "en nombre de" alguien recortan espacio a la ingeniería social.

• Correo fraudulento Credenciales escritas en un portal falso o un adjunto que instala malware.
• Accesos abiertos a Internet RDP, VPN o portales antiguos protegidos solo con contraseña.
• Fallos conocidos Firewall con firmware desactualizado, servidor sin parches, Windows 10 sin soporte.

La intrusión propiamente dicha lleva minutos.

El freno: MFA en todos los accesos externos, para que la credencial robada no abra nada; filtrado de correo y un equipo preparado para detectar y notificar el phishing; parches aplicados y un firewall gestionado que expone solo lo imprescindible. La mayoría de los ataques a pymes debería acabar aquí.

Ya dentro, el intruso quiere tres cosas: cuentas de administrador, ruta hasta los servidores y acceso a las copias de seguridad. Si la red es plana, si cada usuario administra su PC y si la contraseña de administración es la misma en todas las máquinas, bastan horas. Después vienen el antivirus desactivado, cuentas creadas para volver más tarde y backups borrados o cifrados.

El freno:

• Red segmentada VLAN que separan puestos, servidores y copias (guía de segmentación).
• Sin administradores locales Cada persona trabaja con los permisos estrictamente necesarios.
• Copias inmutables y aisladas Fuera del alcance de cualquier cuenta de la red.
• Ojos en la red NOC y monitorización, en régimen 24/7 en el plan Premium 365, para detectar accesos a horas extrañas, cuentas nuevas o tráfico anómalo mientras aún son alertas.

Es el razonamiento de los cuatro pasos de Zero Trust aplicados a las pymes.

La entrada nunca estará cerrada del todo: siempre hay un clic equivocado y una vulnerabilidad nueva. El impacto ya no se puede prevenir. Es en la expansión donde una red segmentada, vigilada y con copias protegidas reduce un incidente grave a un puesto que reinstalar. Aun así, es la fase que las empresas más descuidan: invierten en la puerta y en la recuperación y dejan el interior sin tabiques.

Contener. El daño se manifiesta en archivos cifrados con nota de rescate, datos expuestos o vendidos, transferencias fraudulentas o servicios caídos. El atacante elige la hora (viernes por la noche, víspera de festivo) para ganar tiempo. A partir de ahí se paga en días de inactividad, consultores de recuperación, comunicaciones a la autoridad de protección de datos y a los clientes, e imagen.

La contención: plan de respuesta escrito y ensayado (quién desconecta qué, quién habla con quién); copias verificadas e inaccesibles para el atacante, la diferencia entre restaurar en horas y negociar con delincuentes; disaster recovery con objetivos de recuperación definidos; y las primeras horas gestionadas con método, como describe la guía de recuperación de datos justo después del incidente.

Reconstrucción a partir de varios incidentes en pymes.

1. Martes: en contabilidad llega una "factura del proveedor"; la empleada introduce sus credenciales en un portal falso.
2. Esa noche: el atacante abre el buzón y observa durante una semana. Descubre un acceso remoto al escritorio sin segundo factor.
3. Días después: ya en la red, aprovecha que la usuaria es administradora local, recoge credenciales y alcanza el servidor de archivos y el NAS de las copias, en el mismo segmento.
4. Jueves por la noche: elimina las copias.
5. Madrugada del sábado: cifra todos los datos. La empresa no se da cuenta hasta el lunes.

Un segundo factor en el acceso remoto lo habría parado todo en la fase 2. Las VLAN y las copias aisladas habrían dejado un solo servidor que restaurar. Sin ninguna de estas medidas, la factura fueron tres semanas a medio gas.

Analizamos su infraestructura fase por fase y le entregamos por escrito el punto en el que hoy se frenaría un ataque y lo que falta para frenarlo antes. Conozca la ciberseguridad gestionada de DataRoad: en 11 años, DataRoad nunca ha registrado un incidente de seguridad. Propuesta sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.

Llame al +351 211 459 950 * o escriba a sales@dataroad.pt.

*Llamada a la red fija portuguesa.