En los últimos años, han entrado en vigor una serie de nuevas leyes de privacidad de datos. Si bien el Reglamento General de Protección de Datos (GDPR) de la UE y el Ley de privacidad del consumidor de California (CCPA) son algunos de los ejemplos más visibles y conocidos de estos, pero están lejos de ser los únicos.
Estas nuevas leyes de privacidad se unen a las regulaciones y estándares existentes, como el Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) y la Ley de accesibilidad y portabilidad de seguros médicos (HIPAA).
Si bien muchas de estas regulaciones difieren en sus jurisdicciones y requisitos, comparten ciertas características. Una de estas características compartidas es el requisito de proteger ciertos tipos de PII o “información de identificación personal”.
Si bien los tipos de PII protegida pueden variar de una regulación a otra, los vectores de ataque que los ciberdelincuentes utilizan para acceder a ella a menudo no lo hacen. Las aplicaciones web son un objetivo común de ataque, ya que están expuestas a la Internet pública y, a menudo, a vulnerabilidades explotables.
Un ataque reciente contra sitios basados en WordPress demuestra la creatividad de los ciberdelincuentes en busca de datos confidenciales de los clientes. El ataque tuvo como objetivo archivos de configuración, que podrían contener credenciales de bases de datos. Estas credenciales, en caso de ser robadas, podrían permitir a un atacante obtener acceso a datos confidenciales de los clientes.
1] Las aplicaciones web son un objetivo común de los ataques
Las aplicaciones web son un objetivo principal para los ciberdelincuentes. Estas aplicaciones están diseñadas para afrontar la Internet pública, contienen una gran cantidad de funciones para los usuarios y, a menudo, tienen acceso a datos confidenciales almacenados en sistemas backend.
Esta combinación hace que sea relativamente fácil para los ciberdelincuentes explotar estos dispositivos. La complejidad de la aplicación web moderna (y su dependencia de una serie de bibliotecas externas) significa que es muy probable que una aplicación web contenga una vulnerabilidad.
Una guía para mejorar la seguridad del iPhoneDe hecho, una aplicación web promedio contiene 22 vulnerabilidades, de las cuales 4 son de gravedad crítica.
Si bien existen algunas vulnerabilidades debido a errores en el código desarrollado internamente, los ciberdelincuentes suelen atacar vulnerabilidades más generales.
Muchos sitios web dependen de WordPress o plataformas similares, y estas plataformas a menudo permiten que un desarrollador de sitios web importe complementos desarrollados por terceros que brindan una funcionalidad deseable (como implementar un carrito de compras para una página de comercio electrónico o proporcionar análisis de usuario).
Las vulnerabilidades en estas plataformas y los complementos que contienen pueden afectar a miles o millones de sitios web diferentes, lo que los convierte en un objetivo de alto impacto para los esfuerzos de un ciberdelincuente.
2] El ataque de WordPress se dirige a archivos de configuración confidenciales
La plataforma WordPress es un objetivo común de los ciberataques debido a su amplia adopción. Un porcentaje importante de sitios web utiliza WordPress, por lo que frecuentemente es blanco de ataques a gran escala.
Un ejemplo de tal ataque ocurrió en junio de 2020. Durante el ataque, el actor de amenazas intentó explotar una amplia gama de vulnerabilidades antiguas en la plataforma WordPress. Su objetivo era el acceso a los archivos wp-config.php.
Estos archivos contienen información de configuración para el sitio de WordPress, incluidas potencialmente credenciales para una base de datos backend. Con estas credenciales robadas, un atacante podría acceder a la base de datos directamente y consultarla en busca de información confidencial del cliente, como direcciones de correo electrónico, contraseñas y otra PII.
Este ataque no aprovechó una vulnerabilidad de día cero; de hecho, apuntó a vulnerabilidades antiguas y bien conocidas. Sin embargo, se destacó por su escala.
En su punto máximo, el ataque representó el 75% de todos los ataques contra WordPress, lo que significa que los volúmenes de ataque fueron tres veces mayores que los de todos los demás atacantes de WordPress juntos.
3] Los desafíos de gestionar las vulnerabilidades de las aplicaciones web
El ataque de WordPress fue detectado por Wordfence, que pudo detectar y bloquear ataques contra los sitios de WordPress que protege. Sin embargo, muchos otros sitios no están protegidos por Wordfence y es posible que hayan sido explotados con éxito.
Como se mencionó, este ataque aprovecha vulnerabilidades conocidas en la plataforma WordPress, lo que significa que debería tener una tasa de éxito cercana a cero. Si una organización ha parcheado vulnerabilidades en sus plataformas WordPress manteniendo el software actualizado, el exploit fallará.
Sin embargo, la gestión de vulnerabilidades en general (y la gestión de vulnerabilidades de aplicaciones web en particular) es un desafío para la mayoría de las organizaciones.
Diariamente se descubren e informan nuevas vulnerabilidades, y una organización debe determinar qué vulnerabilidades afectan sus sistemas, realizar pruebas para garantizar que las actualizaciones no rompan el software existente e implementar los parches en entornos de producción. Todo esto requiere tiempo y recursos, lo que dificulta que muchas organizaciones puedan mantenerse al día.
4]Protección de datos confidenciales almacenados en aplicaciones web
Las regulaciones de protección de datos como el GDPR y la CCPA exigen la protección de los datos personales de las personas. Si bien estos datos pueden ser atacados y violados de diferentes maneras, la explotación de las vulnerabilidades de las aplicaciones web es un método común porque estas aplicaciones están expuestas públicamente y tienen acceso directo a datos confidenciales.
Un ataque contra usuarios de WordPress demostró la astucia de los ciberdelincuentes que intentan obtener acceso a información confidencial.
Los atacantes aprovecharon vulnerabilidades conocidas en un intento de obtener acceso a archivos que contenían credenciales de bases de datos. Estas credenciales podrían usarse para acceder a bases de datos que contengan PII del cliente.
Extensiones fraudulentas de Chrome descubiertas: aprenda a mantener seguras sus criptomonedasEl uso de ataques conocidos en este ataque demostró la importancia de la gestión de vulnerabilidades y la incapacidad de muchas organizaciones para mantenerse al día con los parches necesarios. Esto subraya la importancia de implementar un firewall de aplicaciones web (WAF) robusto capaz de aplicar parches virtuales.
Al bloquear los ataques antes de que lleguen a las aplicaciones vulnerables, un WAF sólido puede eliminar la amenaza a la aplicación sin la sobrecarga asociada con los procesos manuales de administración de parches.
