En el campo de la ciberseguridad, la evolución constante de las tácticas y las técnicas de los atacantes ha alcanzado niveles de sofisticación sin precedentes. Este avance ha impulsado la explotación de vulnerabilidades de sistemas desde el “día cero”, lo que plantea desafíos significativos para desarrolladores y profesionales de ciberseguridad. Ello se debe a que las vulnerabilidades ocultas pueden ser descubiertas y explotadas, incluso el mismo día en que se lanzan sistemas operativos, aplicaciones o dispositivos, y pueden permanecer sin ser detectadas durante días, meses o incluso años antes de que el proveedor las identifique y aborde.
En el mejor de los casos, los especialistas en seguridad o los desarrolladores de software identifican la falla antes que los atacantes. Sin embargo, en muchos casos los ciberdelincuentes llegan primero a estas vulnerabilidades.
De hecho, el conocimiento de una nueva falla de día cero desencadena una carrera entre los profesionales de seguridad que trabajan para desarrollar una solución y los agentes maliciosos que buscan explotar la vulnerabilidad para sus propios fines. Tan solo en junio de este año se explotaron 215 vulnerabilidades de día cero, de acuerdo con el Monthly Zero-Day Vulnerability Coverage Report.
Un aspecto crítico que a menudo se pasa por alto es el impacto de estas vulnerabilidades ocultas en la identidad digital de los individuos y las organizaciones, algo que se convierte en un objetivo atractivo para los atacantes que buscan explotar estas debilidades para obtener acceso no autorizado a información sensible.
Una vez que se descubre una brecha de seguridad, suele pasar un promedio de 60 días en los que los investigadores de seguridad trabajan para entender la vulnerabilidad y desarrollar un código de prueba de concepto (POC) que demuestra cómo puede ser explotada, información que también puede ser usada por los atacantes para generar sus propias estrategias de guerra.
Esto acelera el riesgo de explotación, ya que los atacantes tienen una guía clara sobre cómo sacarle provecho a esa vulnerabilidad antes de que se publique la solución oficial por parte de los proveedores.
Además, las vulnerabilidades descubiertas tienden a estar disponibles en herramientas automatizadas de exploración y explotación, como Metasploit, alrededor de 120 días después de su divulgación. Estas herramientas permiten a los hackers realizar ataques masivos utilizando las vulnerabilidades identificadas, lo que amplifica el riesgo para las organizaciones que aún no han aplicado los parches necesarios.
Aunque, según el Informe de Protección Digital de Microsoft de 2022, los exploits de vulnerabilidades tardan en estar disponibles en un plazo de 14 días tras su divulgación, lo que da tiempo a los proveedores para emitir parches, la eficacia de estas remediaciones depende, en gran medida, de la diligencia de los usuarios para ejecutar las actualizaciones y mantener sus sistemas, aplicaciones y dispositivos al día.
No solo las vulnerabilidades ocultas son una amenaza. De hecho, esta posible falta de higiene cibernética por parte de los usuarios y la carencia de políticas rigurosas de actualización y aplicación de parches por parte de las organizaciones está ponderando el crecimiento de ciberataques de día uno, que aprovechan las vulnerabilidades conocidas, pero no corregidas, y exponen activos críticos, incluida la identidad digital.
Entonces, ¿cómo mitigar los riesgos? Para mitigar estos riesgos las organizaciones deben implementar un ciclo de gestión de parches que asegure la aplicación oportuna de actualizaciones críticas.
Además, la educación de los colaboradores en cuanto a las mejores prácticas de seguridad puede ayudar a reducir el riesgo de ciberataques al aumentar la conciencia sobre las amenazas potenciales.
La implementación de tecnologías de detección y respuesta a amenazas, como sistemas de detección de intrusiones y soluciones de inteligencia artificial, también pueden proporcionar una capa adicional de protección al identificar y mitigar amenazas en tiempo real. N
—∞—
Alicia Trejo es gerente ciberlegal en IQSEC. Los puntos de vista expresados en este artículo son responsabilidad de la autora.
