Por qué el pensamiento a corto plazo está perdiendo la guerra cibernética

Cuando miremos atrás al año 2018, es totalmente posible que se recuerde principalmente por el escándalo de Facebook/Cambridge Analytica, el primer despertar masivo del público ante el problema de la privacidad de los datos.

En contraste, las grandes filtraciones de datos sufridas por Marriott International, Amazon y muchas otras grandes multinacionales parecieron un espectáculo secundario. Puede que generaran titulares en abundancia cuando la noticia salió a la luz, pero, a diferencia del revuelo de Facebook, nunca estuvieron destinadas a perdurar en la conciencia pública.

De hecho, muy pocas filtraciones permanecen en el ambiente colectivo el tiempo suficiente como para recibir el escrutinio público que sin duda merecen. Las empresas afectadas pueden perder a un puñado de clientes descontentos mientras cumplen con sus obligaciones mínimas de notificar e informar a quienes han visto comprometidos sus datos, pero el daño a largo plazo rara vez es significativo.

Esto es irónico dado que los ciberdelincuentes más astutos serán quienes se resistan a la tentación de explotar de inmediato los datos de clientes que han robado. Piénsalo: en el momento inmediatamente posterior a que una filtración se haga pública, las empresas, los clientes, las compañías de tarjetas de crédito y las agencias de ciberseguridad están todos en alerta máxima. Los datos están "calientes": es el equivalente virtual de vigilar los aeropuertos y estaciones de tren justo después de un atentado terrorista.

Sin embargo, una vez que las repercusiones del daño inmediato —financiero, legal, reputacional— han pasado, y cada una de las partes afectadas comienza a relajar su vigilancia, veremos actuar a los hackers más astutos, no provocando otro revuelo mediático, sino buscando el valor de los datos personales o financieros recopilados en la filtración original.

Como consecuencia, predecimos que 2019 será el año del Phishing Zombi: el año en que las amenazas antiguas empezarán a resurgir de entre los muertos. Los ciberdelincuentes explotarán las vulnerabilidades de aquellas personas que no han hecho caso de los llamados a cambiar sus contraseñas o a implementar la autenticación de dos factores, al menos en algunas de sus cuentas más importantes o vulnerables. El valor de los datos recopilados no desaparece una vez que se ha descubierto una filtración; se necesita que los clientes actualicen de forma proactiva su información y sus protecciones de seguridad para mitigar el riesgo de explotación en el futuro.

Por lo tanto, durante los próximos doce meses, veremos resurgir a estos fantasmas del phishing para atacar a clientes de innumerables empresas globales. ¿Qué hacker no disfrutaría volviendo a la escena del crimen y explotando los millones de perfiles de clientes existentes que robó el año anterior, sumándolos a su botín de filtraciones de datos actuales?

¿No nos crees? Bueno, puedes comprobarlo tú mismo: dirígete a HaveIBeenPwnEd y verifica si tus datos —direcciones de correo electrónico o contraseñas (porque, claro, tienes docenas de contraseñas únicas, una para cada sitio que visitas, ¿verdad?)— ya están expuestos. La triste realidad es que prácticamente todo el mundo ha visto comprometidos sus datos en algún momento durante la última década.

Esto no es un intento de generar alarma. De hecho, los phishers zombis no son nada que temer, siempre que realices la debida diligencia necesaria para asegurarte de que cualquier dato que actualmente esté en manos de los hackers quede relegado al pasado. Puede parecer abrumador, pero empieza con nuestros mejores consejos y estarás bien encaminado para proteger tus datos:

1. Comprueba si tu información personal aparece listada usando una herramienta como HaveIBeenPwnEd. Si tus contraseñas aparecen como filtradas, deja de usarlas y cambia las contraseñas en los servicios que actualmente las utilizan. No podrás saber si tanto tu contraseña como tu identidad se filtraron juntas, pero claramente no vale la pena arriesgarse.
2. Mantén las contraseñas separadas, seguras y actualízalas con regularidad.
3. Implementa la autenticación de dos factores siempre que sea posible, y verifica siempre la fuente de cualquier comunicación que no esperabas. Evita el segundo factor por SMS; utiliza una solución basada en una aplicación.
4. Utiliza las protecciones integradas que ya tienes a tu disposición; desde las capacidades antiphishing hasta el filtro de spam que ofrecen servicios como Gmail.

La responsabilidad de mantenerse un paso por delante de los hackers recae en ti, ya que, por desgracia, la evidencia sugiere que muchas de las organizaciones a las que confiamos nuestros datos son incapaces de hacer lo mismo.