Quan la màquina de vending obre la porta als hackers

Els hackers poden fer la intrusió per punts aparentment impossibles

“Escolta, jo em pensava que la seguretat de la meva empresa estava coberta amb tots els sistemes informàtics protegits, a través de firewalls i altres eines de Ciberseguretat, sense oblidar l’assegurança contra el ciberrisc.

També hem procurat conscienciar tots els nostres equips en els gestos que ens protegeixen, que els protegeixen, contra la majoria dels atacs.

Tot i així, hem patit un atac. Han aconseguit entrar i segrestar part de les nostres dades. Què ha passat?”

La història:

Així comença el relat d’un client que, malgrat haver-ho fet “tot bé”, ha estat víctima d’un ciberatac, mitjançant una intrusió aparentment impossible.

La veritable dificultat ha estat trobar el punt d’intrusió ja que, com ens comentava el nostre client, ho havien fet tot bé.

El pla de seguretat es va completar amb un test d’intrusió (també conegut com a pentest), gràcies al qual van identificar les diferents vulnerabilitats i es van prendre mesures adequades de protecció, aleshores com pot ser que s’hagi patit aquesta intrusió?

Com imaginareu, vam buscar per tot arreu, vam revisar tots els dispositius de l’empresa: ordinadors, portàtils, telèfons mòbils professionals, servidors, USB i un llarg etcètera. Ens estàvem tornant bojos preguntant-nos com i de quina manera havien pogut franquejar les mesures de seguretat.

La investigació ens estava prenent temps i, per continuar al 100% vam necessitar recórrer a un cafè. Busquem la màquina de begudes calentes i passem de comentar les accions que estàvem realitzant per investigar la intrusió a parlar sobre com feien el seguiment de les seves màquines els de l’empresa de vending.

La clau de la intrusió

En aquell moment va sorgir un dubte inquietant. Com saben els de l’empresa de vending quan han de reposar productes a les seves màquines? Cada quant ho fan? Com estan informats?

Tot preguntant, vam descobrir que aquesta màquina de vending estava connectada a la wifi (¿¿??). Com és possible que ningú del departament tècnic no n’hagi fet referència en fer l’inventari dels dispositius connectats a la xarxa? Perquè ningú no ho sabia! O almenys no se n’havia estat conscient.

Vam decidir fer un parell de proves i… efectivament, la intrusió havia passat per la màquina de vending (màquina de cafè, de llaminadures, etc.).

Una altra pregunta important: per què ningú del departament tècnic ho sabia? La gestió de les màquines de vending, com tot allò relacionat amb el manteniment de les oficines i locals, no relacionat directament amb la informàtica, en aquesta empresa, està gestionat per el departament d’administració i, com en el cas del servei de neteja, no solen informar el departament tècnic, ni tan sols quan faciliten el codi de la wifi, com es va fer amb els de la màquina de vending…

Un cop detectat el punt d’entrada de l’atac (aquesta màquina, no tan amiga, de vending), vam poder prendre les accions correctives necessàries, per evitar que aquest camí pugui donar peu a noves intrusions.

Com tot conte, aquesta història verídica ens ensenya coses: ens confirma que el risc zero no existeix.

Què puc fer per evitar aquesta mena d’intrusions?

En aquest cas en particular tenir xarxes wifi separades hauria ajudat a evitar la intrusió. Per tant caldria tenir-ne:

• Una per a ús intern o corporatiu: l’accés de la qual vagi vinculada, per exemple, a les credencials d’usuari corporatiu.
• Una altra per a les “visites”: l’accés del qual es pugui facilitar a externs i que estigui totalment aïllada i separada de la xarxa corporativa.

Informar el Responsable de seguretat / ciberseguretat

Per tal d’evitar que, per exemple, es faci pública la informació de connexió o accés a recursos corporatius de forma indeguda o per continuar incrementant el nivell de control i seguretat, cal informar el responsable de seguretat / ciberseguretat en casos com:

• Requeriments d’accés a recursos o Internet de col·laboradors externs durant més temps que el d’una simple visita comercial o de cortesia.
• Tot departament que tingui relació amb proveïdors, susceptibles de necessitar una connexió a l’empresa o accés a algun recurs o informació compartits.
• Baixes de personal o canvis de rol interns d’algun treballador.
• Canvis o pèrdues de dispositius.
• Qualsevol sospita d’algun intent de ciberamenaça que es detecti per part dels usuaris. És una mala idea provar-ho abans per no molestar.

Altres elements de control

Hi ha altres elements de control, polítiques o configuracions que han de tenir en compte els responsables de seguretat de tota companyia per poder protegir-la:

• Segmentar la xarxa corporativa segons els serveis o dispositius que inclou.
• Encriptar discos durs.
• Disposar d’una política de backup fiable i testejada amb regularitat.
• Establir polítiques de control de la informació o DLP.
• NAC o control sobre l’accés a les xarxes per desplegar polítiques de seguretat o compliance, de compliment mínim per permetre connexions a persona o dispositius externs.

Marc de control conegut de tots

Totes aquestes accions o configuracions han de tenir com a finalitat establir un marc de control conegut i acotat sobre què o qui i com s’accedeix a la nostra xarxa, recursos o infraestructura.

En resum, a més a més de posar en marxa polítiques de seguretat, actualitzar els sistemes i programes i conscienciar els treballadors, hem de mantenir una comunicació fluida de tota informació, per insignificant que sigui. Tot allò que no s’explica, consulta o comparteix pot ser la causa que aquesta amenaça, que tant d’esforç estem dedicant a evitar, acabi impactant a la companyia.

Moral de la història

Aquesta història, o conte, és el resum d’un cas real a què s’ha vist confrontat un dels nostres clients que, en poder comptar amb la nostra ajuda professional, va poder descobrir l’origen de la intrusió i prendre les mesures pertinents perquè no es repeteixi .

Si, com aquest client, vols saber més coses sobre com millorar la seguretat de la teva empresa o penses formar els teus equips en la importància de la ciberseguretat, no dubtis a contactar amb nosaltres.

Més informació:

No basta con contraseñas: el reto normativo de Europa para evitar ciberataques a cafeteras o neveras conectadas

L’Internet de les Coses i el ciberrisc

7 y + Mitos falsos sobre la Ciberseguridad

En Ciberseguretat la mida no és important

Ciberrisc: també afecta les empreses de el sector industrial (1)

#escuda #hackers #ciberseguretat #cybersecurity #intrusio #ciberatac #TestdIntrusio #PlaDeSeguritat #ransomware #NAC #formació #PYMES