Una de cada cinco empresas rusas ya ha sido hackeada: los hackers están dentro y no los ven

Los hackers ya podrían estar dentro, y la empresa ni siquiera lo sabe. Según estimaciones de especialistas en ciberseguridad, la presencia oculta de atacantes se registra en aproximadamente una de cada cinco empresas rusas. Y no se trata de un ataque único, sino de un trabajo prolongado e inadvertido dentro de la infraestructura.

A diferencia de los hackeos ruidosos, aquí todo sucede en silencio. Los ciberespías no irrumpen en el sistema "de frente" ni exigen un rescate; se afianzan en la red y durante semanas, e incluso meses, recopilan datos sin interrumpir el funcionamiento habitual de los servicios. Cuanto más tiempo permanezcan desapercibidos, mayor será el acceso que obtengan.

El objetivo principal son los nodos clave de la infraestructura: servidores, sistemas de gestión y controladores de dominio. El control sobre ellos proporciona acceso prácticamente completo a todo el entorno de TI de la empresa, desde las cuentas hasta los servicios internos.

Se puede entrar de varias maneras. A veces, a través de vulnerabilidades en los sistemas. Pero cada vez más, a través de las personas. Correos electrónicos de phishing, contraseñas débiles, falta de atención de los empleados: todo esto abre la puerta a la red corporativa. Hay casos en los que los atacantes obtienen acceso al correo electrónico de un empleado y, en su nombre, solicitan derechos adicionales, sin levantar sospechas.

Otro canal son los contratistas. Si las infraestructuras están conectadas, un ataque a una empresa puede convertirse en un punto de entrada a otra.

Después de la infiltración del atacante, comienza lo más difícil: detectarlo. Se disfrazan de actividad ordinaria: utilizan herramientas legítimas, trabajan en horario nocturno, ocultan el tráfico detrás de VPN y proxies. Como resultado, el sistema parece "limpio", aunque ya se está trabajando en su interior.

Sin embargo, hay señales. Entre ellas, inicios de sesión atípicos en el sistema, picos de tráfico saliente, especialmente por la noche, comportamiento extraño de los ordenadores, desactivación de antivirus o ralentización del trabajo sin razones obvias.

El problema es que el tiempo juega a favor de los atacantes. Primero estudian la infraestructura, luego se afianzan, amplían el acceso y en cualquier momento pueden pasar a la acción: desde el robo de datos hasta la paralización total del trabajo de la empresa.

Por eso, los expertos hablan cada vez más de un cambio de enfoque: es importante no solo protegerse de los ataques, sino también partir de la base de que el atacante ya puede estar dentro, y hay que encontrarlo antes de que decida manifestarse.