Soporte técnico
Documentación
Inicio de sesión
Póngase en contacto con nosotros
Cuando la casa pierde: Lecciones de los recientes ataques de ransomware a casinos de Las Vegas
Joao Correia
28 de septiembre de 2023 - Evangelista técnico
...o cómo robar 15 millones de dólares de un casino sin recurrir a travesuras del nivel de "Ocean's Eleven".
Cuando las violaciones de datos y los ataques de ransomware son cada vez más habituales, ni siquiera el deslumbrante y vigilado mundo de los casinos de Las Vegas es inmune. Hace dos semanas, la capital del juego sufrió una serie de ataques de ransomware que afectaron a grandes empresas como MGM Resorts y Caesars Entertainment. Estos ataques no sólo provocaron un importante tiempo de inactividad operativa, sino también una pérdida masiva de ingresos, empañando la reputación de estos emblemáticos establecimientos. En esta entrada del blog, diseccionaremos el incidente, examinaremos las ramificaciones del pago de rescates y exploraremos las vulnerabilidades que facilitaron estos ataques.
El viejo tópico que dice que "la casa siempre gana" se quedó corto durante este incidente.
El incidente
Varios casinos de Las Vegas se vieron obligados a interrumpir sus operaciones durante un largo periodo de tiempo. MGM, un establecimiento de Las Vegas, cerró sus máquinas tragaperras y otros sistemas de sus casinos y hoteles durante diez días debido a infecciones de ransomware y a las complicaciones resultantes. Esto provocó importantes pérdidas de ingresos, teniendo en cuenta que un solo día de inactividad puede costar millones de dólares a un gran casino.
Caesars Entertainment, una de las partes afectadas, se vio obligado a revelar que pagó parte del rescate - aproximadamente 15 millones de dólares- debido a la nueva normativa de la SEC que exige la divulgación obligatoria de este tipo de incidentes. Sin embargo, incluso después del pago, Caesars admitió que no había garantías de que los datos robados, que incluían información sensible de los clientes, no se hicieran públicos. Es fácil comprender la reticencia de Caesars a admitir que la situación está totalmente resuelta con sólo la palabra del extorsionador.
El coste del rescate
Al pagar el rescate, empresas como Caesars han pintado dianas en sus espaldas. En el mundo de los ciberdelincuentes, la voluntad de pagar una vez suele tomarse como una invitación a futuros ataques. La mentalidad es simple: "Pagaron una vez; volverán a pagar".
Vulnerabilidades subyacentes
Aunque las empresas suelen destinar grandes recursos a medidas de ciberseguridad, este incidente pone de manifiesto que tirar el dinero al problema no es una bala de plata. Los atacantes obtuvieron acceso inicial mediante ingeniería social, haciéndose pasar por un contratista y poniéndose en contacto con el servicio de asistencia para recuperar la contraseña. Una vez que engañaron al personal de soporte, obtuvieron acceso de administrador a Okta, que proporcionaba gestión de identidades en toda la infraestructura del casino.
En particular, no parecía haber segregación de funciones y privilegios en los distintos sistemas, lo que creaba un único punto de fallo. Esto nos lleva a preguntarnos: ¿estamos haciendo lo suficiente para abordar el factor humano en la ciberseguridad?
Lecciones aprendidas
No subestime el factor humano
El primer punto de entrada en este ataque no fue un sofisticado exploit de día cero, sino un agente de soporte humano al que se engañó para que proporcionara acceso. La formación de los empleados en materia de ciberseguridad es tan crucial como cualquier cortafuegos avanzado o sistema de detección de intrusiones.
Segregación de funciones y limitación de privilegios
La falta de segregación de funciones y el exceso de privilegios pueden dar lugar a un único punto de peligro que afecte a varios sistemas. Implantar el acceso con menos privilegios y segregar las funciones puede contribuir en gran medida a limitar el impacto potencial de una brecha.
El arma de doble filo del cumplimiento de la normativa
Aunque las normas de la SEC que obligan a revelar los pagos por ransomware aumentan la transparencia, también informan a los posibles atacantes de que determinadas empresas están dispuestas a pagar, lo que posiblemente las convierta en objetivos más atractivos para futuros ataques.
Replantearse el pago de rescates
Pagar un rescate no sólo anima a los ciberdelincuentes, sino que además no garantiza la seguridad de los datos robados. Las organizaciones deben sopesar cuidadosamente las consecuencias a largo plazo antes de ceder a las peticiones de rescate.
Continuidad de las actividades
Disponer de planes para garantizar que su organización pueda seguir funcionando en caso de colapso de la infraestructura informática -con pasos claramente definidos para reproducirse durante un incidente estresante- habría ahorrado millones de dólares en ingresos perdidos (estimada en al menos 8 millones de USD al día sólo para MGM). Otra buena práctica consiste en simular y validar periódicamente esos planes para garantizar que estén siempre actualizados.
Recuperación en caso de catástrofe
Además de seguir operando con una infraestructura (posiblemente totalmente) distinta, también debe considerarse fundamental contar con planes claramente definidos para recuperar los activos afectados.
Reflexiones finales
La ciberseguridad es un reto continuo y en evolución que requiere algo más que inversión financiera. Exige un enfoque polifacético que aborde por igual las deficiencias tecnológicas y las vulnerabilidades humanas. Como dice el refrán, "una cadena es tan fuerte como su eslabón más débil" y, en el ámbito de la ciberseguridad, ese eslabón suele ser humano.
