¿Es el hack de Tesco Bank la llamada de atención necesaria para hacer de la seguridad móvil una prioridad?

El reciente hackeo de Tesco Bank ha dejado al mundo de la banca minorista tambaleándose, buscando respuestas y formas más efectivas de proteger las redes contra futuros ataques. Se ha revelado que las debilidades en las aplicaciones móviles del banco dejaron la puerta abierta para que los ciberdelincuentes ingresen por la fuerza bruta y se lleven más de 2,5 millones de libras esterlinas del dinero de los clientes. Peor aún, el banco había sido advertido por varios expertos en seguridad de esta debilidad antes del ataque.

Cómo Tesco se equivocó tanto

Fue el mayor ciberataque de la historia contra un banco del Reino Unido. Una de las cosas más importantes del hack de Tesco fue que las cuentas de los clientes fueron penetradas con fuerza sin ninguna credencial, lo que no ha sucedido antes. Los ciberdelincuentes irrumpieron en el sistema informático de Tesco Bank y robaron £ 2,5 millones de las cuentas corrientes de 9.000 clientes.
El resultado de este ataque fue el escenario al que muchas personas tienen más miedo: despertarse una mañana y descubrir que su cuenta bancaria está completamente vacía. Tesco tenía la responsabilidad de proteger a sus clientes y, al no hacerlo, ha provocado una erosión de la confianza.
Lo que ha empañado la confianza del consumidor es la revelación de vulnerabilidades de las que los probadores de penetración habían advertido a Tesco varias veces antes del ataque. Si bien ahora sabemos que Tesco estaba al tanto de las grietas en su perímetro de seguridad, está claro que no estaba al tanto de la escala potencial del ataque o simplemente no estaba equipado para hacer frente a un ciberataque en este nivel. En un momento de compromiso malicioso, Tesco debería haber tenido los protocolos de detección y corrección adecuados para detener a los piratas informáticos antes de que pudieran retirar dinero real de las cuentas de los clientes.

Mantenerse al día con múltiples vectores de amenazas

Con el creciente número de dispositivos conectados para que los exploten los ciberdelincuentes, las empresas deben proteger más vectores de amenazas que nunca. Nunca ha sido tan fácil para los ciberdelincuentes obtener información confidencial. Con la proliferación de dispositivos móviles, redes sociales e ingeniería social, ahora hay un millón de formas de llegar a un individuo y obtener las llaves del reino.
Los cortafuegos de plataforma se pueden configurar mal fácilmente, creando puertas traseras para que los piratas informáticos encuentren vulnerabilidades y las exploten. Cuanto más compleja sea la red, mayor será la probabilidad de que pasen desapercibidos.

El perímetro sin bordes

Los riesgos se extienden ahora cada vez más más allá del perímetro del usuario individual a través de la ingeniería social. Ya hemos visto conjuntos de chips comprometidos, puertas traseras en los sistemas operativos y aplicaciones fraudulentas que colocan malware en el dispositivo. El mayor elemento de preocupación en 2017 es cómo los vectores de ataque expandidos permiten el movimiento lateral, y los malos buscan utilizar plataformas móviles como un medio para obtener acceso al núcleo de la red.
Si bien la brecha de Tesco Bank elevará la seguridad aún más hasta que se considere un artículo de alto precio, muchos se preguntan cómo actuará la industria en conjunto para resolver el problema. Al igual que la brecha de Heartland en Estados Unidos en 2015, la compañía pensó que cumplía totalmente y aún estaba comprometida, lo que resultó en una campaña de rehabilitación de un año. En cambio, deberíamos preguntarnos qué está haciendo mal la industria. La industria en general no ha adoptado la noción de hiperconectividad, lo que significa que tanto los usuarios como los clientes son vectores individuales de amenaza.
Las plataformas móviles deben tratarse como una extensión de la red.
La protección de los dispositivos y el tráfico que crean debe tratarse de la misma manera que trataría los dispositivos dentro del perímetro de la red tradicional. Al igual que cerrar las puertas con llave cada vez que sale de casa, nunca configuraría una red sin un firewall, pero los firewalls ya no son suficientes para proteger el «perímetro sin bordes».
Lo que le pasó a Tesco le podría pasar a cualquier empresa, de cualquier tamaño, en cualquier sector.
Los servicios financieros están acostumbrados a estar en su propia burbuja aparentemente segura. Ahora, sin embargo, esa burbuja realmente ha estallado. Los dispositivos conectados entre sí a través no solo de redes móviles, sino también de Internet de las cosas ha ampliado el riesgo de que todos los dispositivos de los clientes se vean comprometidos o atacados. La industria de los servicios financieros tiene la gran responsabilidad de salvaguardar el dinero de las personas y está fuertemente regulada debido a esto. Por lo tanto, es imperativo que vaya más allá del bloqueo básico y el abordaje de amenazas dentro del firewall para abarcar los nuevos vectores de ataque asociados con la miríada de dispositivos conectados.

Por Kirsten Bay, presidenta y directora ejecutiva, Cyber ​​adAPT