Cómo detectar filtraciones masivas de datos tras el acceso

Ataques menos técnicos, pero a menudo más eficaces

Muchas de las grandes filtraciones de datos del pasado se basaban en la explotación de vulnerabilidades en las aplicaciones. La inyección SQL es uno de los ejemplos más conocidos: mediante la manipulación de las consultas enviadas a una base de datos, un atacante podía extraer grandes cantidades de información a las que nunca debería haber tenido acceso.

Este tipo de ataque no ha desaparecido, pero ya no es siempre la vía preferida. Los ciberdelincuentes son cada vez más conscientes de que, a menudo, resulta más sencillo utilizar una cuenta legítima que eludir un control de seguridad.

Una vez iniciada la sesión con credenciales válidas, pueden realizar consultas en una aplicación a gran velocidad para recopilar tanta información como sea posible. En algunos casos, los privilegios asociados a la cuenta son suficientes. En otros, basta con modificar un parámetro de una URL o navegar por funcionalidades que no están adecuadamente segmentadas para acceder a grandes volúmenes de datos.

Este enfoque resulta especialmente peligroso porque, a primera vista, parece una actividad normal.

¿Cómo consiguen los defraudadores este acceso?

El robo de credenciales sigue siendo un método muy utilizado, pero ya no es el único.

También estamos observando un aumento de los riesgos asociados al factor humano. Algunas redes delictivas buscan obtener acceso legítimo directamente a través de personas que disponen de los permisos necesarios. Esto puede incluir el soborno de empleados o contratistas a cambio de facilitar sus credenciales o su acceso, así como el chantaje o la extorsión a empleados que desempeñan funciones sensibles.

En todos los casos, el resultado es el mismo: para los sistemas de la organización, el defraudador aparece como un usuario autenticado y autorizado.

Y ahí radica precisamente el desafío. Tradicionalmente, las herramientas de seguridad se han diseñado para detectar intentos de acceso no autorizado. Sin embargo, resultan mucho menos eficaces cuando el actor malicioso ya dispone de una identidad legítima.

Por qué las defensas tradicionales están llegando a sus límites

Del control del acceso al análisis del comportamiento

Por tanto, el desafío ya no consiste únicamente en verificar si un usuario tiene derecho a acceder a un sistema. También es fundamental comprender qué hace una vez que ha iniciado sesión.

Este enfoque está ampliamente consolidado en el ámbito de la prevención del fraude. Desde hace años, las plataformas especializadas buscan determinar no solo quién realiza una acción, sino también si esa acción es coherente con los patrones y comportamientos observados.

Soluciones como LexisNexis® ThreatMetrix® permiten analizar el comportamiento prácticamente en tiempo real y ayudan a detectar desviaciones significativas respecto a los patrones habituales asociados a un usuario o dispositivo. Sin necesidad de realizar cambios importantes en las aplicaciones existentes, las organizaciones pueden medir prácticamente en tiempo real el volumen de acciones realizadas por una cuenta o dispositivo en ventanas temporales móviles que pueden abarcar desde unos minutos hasta varias semanas.

Pensemos en un ejemplo sencillo. Un empleado accede habitualmente a unos diez registros al día. Si, de repente, accede a varios miles en cuestión de horas, el sistema puede identificar esta desviación de comportamiento y activar automáticamente una alerta, un paso adicional de verificación o un bloqueo.

El análisis también puede realizarse a nivel de dispositivo. Esta capacidad resulta especialmente útil cuando un defraudador intenta distribuir su actividad entre varias cuentas para mantenerse por debajo de los umbrales de detección tradicionales.

El próximo reto para la ciberseguridad y la prevención del fraude

Durante mucho tiempo, la ciberseguridad se ha centrado en una pregunta fundamental: ¿Quién está intentando acceder?

A medida que evolucionan las amenazas, cobra cada vez más importancia una nueva pregunta: ¿Qué hace realmente esa persona una vez que ha iniciado sesión?

Las organizaciones que sigan basando su estrategia únicamente en la autenticación y la protección del perímetro corren el riesgo de pasar por alto los incidentes más sutiles y difíciles de detectar. Por el contrario, aquellas que incorporen el análisis del comportamiento como parte de su estrategia de prevención del fraude dispondrán de una capacidad adicional para ayudar a identificar actividades anómalas, incluso cuando procedan de identidades legítimas.

Porque hoy, las puertas suelen estar bien cerradas.

El verdadero desafío es detectar a quienes ya tienen la llave.