Cómo se desarrollan los ataques

Un único correo electrónico sospechoso no es "el ataque". Suele ser el primero de varios pasos que da un adversario, cada uno con su propio objetivo, desde entrar hasta salir con algo valioso. MITRE ATT&CK, una base de conocimientos utilizada en la industria de la seguridad, denomina a estos pasos "tácticas": como lo expresa su propia referencia para el primero, "el adversario está tratando de ingresar a su red". Ver la secuencia completa hace que sea más fácil detectar dónde un solo buen hábito puede romper la cadena.

El ciclo de vida, un paso a la vez

1. Acceso inicial. El adversario necesita una forma de entrar. En el caso de las personas, más que de las grandes redes, esto casi siempre es phishing: un mensaje, texto o llamada diseñada para hacerte hacer clic, responder o instalar algo.
2. Ejecución. Algo que el adversario controla ahora se ejecuta en su dispositivo o cuenta: un archivo adjunto dañino abierto, una actualización falsa instalada, un script que se ejecutó porque aprobó una solicitud de permiso sin leerlo.
3. Persistencia. El adversario se las arregla para mantener el acceso incluso después de que usted cierra la aplicación, reinicia el teléfono o cambia una contraseña: una segunda aplicación con un inicio de sesión válido, una regla de reenvío agregada silenciosamente a su bandeja de entrada, un correo electrónico de recuperación cambiado.
4. Acceso credencial. El adversario, en palabras de ATT&CK, está "tratando de robar nombres de cuentas y contraseñas", a menudo reutilizando una contraseña filtrada a partir de una infracción no relacionada o simplemente solicitándola a través de una página de inicio de sesión falsa y convincente.
5. Recolección y exfiltración. El adversario reúne lo que quiere (documentos, contactos, historial de mensajes) y lo traslada a algún lugar que controla.
6. Impacto. Se utiliza el objetivo final: publicar tus datos, extorsionarte, suplantarte para llegar a tus conocidos o entregar lo recopilado a quien ordenó la operación.

Phishing: sigue siendo la forma más común de

La guía de CISA sobre phishing describe por qué el primer paso a menudo funciona: los atacantes usan “lenguaje urgente o emocionalmente atractivo” y se hacen pasar por organizaciones en las que ya confía, obligándolo a actuar antes de pensar. También señala que confiar en detectar mala gramática ya no funciona, ya que los atacantes escriben cada vez más mensajes convincentes. Su consejo consta de tres palabras: reconozca la táctica de presión, resista hacer clic o responder, y elimine o informe a través de las propias herramientas de su proveedor de correo electrónico en lugar del propio enlace de "cancelar suscripción" del mensaje.

El robo de credenciales rara vez requiere un allanamiento

La mayoría de los robos de cuentas no implican romper el cifrado. Implican una contraseña que ya quedó expuesta en una infracción no relacionada y se reutilizó, o una página de inicio de sesión falsa que parece idéntica a la real y simplemente le pide que escriba su contraseña. Una vez que un adversario tiene credenciales válidas, los sistemas creados para mantener alejados a los intrusos a menudo lo tratan como un usuario legítimo, razón por la cual el punto de la siguiente lección sobre los controles proporcionales (y, en el curso de criptografía, sobre los métodos de inicio de sesión resistentes al phishing) es tan importante como cualquier herramienta.

Aplicaciones dañinas y actualizaciones falsas

El paso de “ejecución” frecuentemente llega disfrazado de algo ordinario: una aplicación de mensajería promocionada fuera de una tienda oficial, una “actualización requerida” enviada por correo electrónico en lugar de por el dispositivo en sí, o una herramienta de apariencia legítima que solicita muchos más permisos del dispositivo de los que necesita para su propósito declarado. Revisar lo que una aplicación realmente puede ver y hacer (contactos, ubicación, micrófono, archivos) antes de instalarla aborda este paso directamente, y revisarla nuevamente periódicamente detecta aplicaciones que silenciosamente solicitaron más más adelante.

Por qué es importante la vista del ciclo de vida

Ningún control detiene cada paso. Un administrador de contraseñas bien elegido debilita el acceso a las credenciales. Revisar los permisos de la aplicación debilita la ejecución. La autenticación multifactor (que se trata en el curso de criptografía) debilita tanto el acceso inicial como la persistencia. La siguiente lección convierte esto en un proceso repetible: identificar lo que realmente tienes que perder, cuál de estos pasos es más probable en tu contra y combinar tus esfuerzos con eso, en lugar de tratar de defenderte de todo a la vez.