Cómo protegerse contra los ciber-ataques dirigidos

De hecho, se cree que los gusanos Conficker y Stuxnet se propagan precisamente a través de estos dispositivos, por lo que su tratamiento debe quedar adecuadamente contemplado en las políticas de seguridad de las empresa. También es una buena idea educar a los usuarios sobre los peligros que conllevan estos dispositivos.

4. Actualizar periódicamente los sistemas operativos y las aplicaciones, especialmente los navegadores Web y todos los productos de Adobe.

Un número muy importante de los ataques producidos por malware y hacking han sido posibles debido a la existencia de sistemas operativos o aplicaciones en los que no han sido implantados los correspondientes parches de seguridad. Incluso los denominados ataques zero-day (que se aprovechan de vulnerabilidades desconocidas hasta el momento) también pueden evitarse antes de que los propios parches estén disponibles, a través de workarounds (arreglos temporales ligados a problemas detectados en los sistemas). Y es que estos “apaños” a menudo se publican tan sólo unos días después de los primeros informes de explotación.

5. Dado que los troyanos bancarios a menudo se instalan a través de archivos adjuntos maliciosos o de enlaces incluidos en un email, quizás sea conveniente considerar el uso de equipos dedicados (que no incluyan clientes de correo) para el acceso a las cuentas bancarias.

Múltiples troyanos se ejecutan en Micrososft Windows, por lo que una línea adicional de defensa para la empresa podría ser el uso de otros sistemas operativos en los equipos utilizados para la banca online.

6. Formar a los empleados, para que los mismos sean conscientes de los problemas e importancia de la seguridad informática.

Demasiadas personas conciben la seguridad como un problema relacionado únicamente con el hardware y software. Debido a ello, el amplio uso que hacen los operadores maliciosos de la ingeniería social, convierte a la formación de los empleados en un elemento de defensa muy importante contra estos ataques.

Los troyanos bancarios dependen en gran parte de la ingeniería social. Se propagan mediante phising y a menudo llegan como archivos adjuntos enviados a personas concretas (altos directivos, a las cuentas de los empleados acreedores, etc.) y que probablemente cuentan con acceso a información de los registros de la banca online. Una vez robadas las credenciales, por una “puerta trasera” o a través de una funcionalidad para usurpar claves, los ladrones transfieren los fondos de las víctimas a money mules (personas que transfieren dinero robado de un país a otro), para recuperarlos a posteriori mediante transferencias imposibles de rastrear.

Algunos de los puntos que hay que tener en cuenta al formar y concienciar a los empleados en cuestiones de seguridad informática, son:

• La existencia de una política de seguridad de la compañía bien documentada y actualizada, de la que los empleados deberían recibir copias.

• La importancia de ofrecer formación en temas de seguridad informática y de concienciar a los nuevos empleados y contratistas. También sería conveniente incluir en estas iniciativas a los altos directivos, ya que los mismos suelen ser el principal blanco de ataques de tipo phising.

• Es importante enseñar a los trabajadores con acceso a las redes informáticas y a los equipos de la compañía a reconocer los efectos de una actividad sospechosa y tener a alguien a quien se pueda informar de ello. Si se instruye a los empleados para que envíen informes vía e-mail y los ciber-criminales han deshabilitado el correo electrónico, los informes no llegarán a su destino.

• Los avisos por correo electrónico, los boletines de recordatorio y la formación en seguridad en el propio puesto de trabajo, deberían actualizar la formación a intervalos regulares y mantener un alto nivel de concienciación de los empleados en relación con la seguridad informática de la empresa.