El enemigo en casa: Insiders Maliciosos

Este artículo forma parte del Proyecto de Investigación sobre Ciberseguridad Industrial llevado a cabo conjuntamente por Sec2Crime y Bidaidea.

Resumen

Con las amenazas internas como hilo conductor, este artículo se dividirá en cuatro bloques principales. En primer lugar, se explicarán los conceptos clave para entender en qué consiste esta amenaza interna que en seguridad de la información llamamos insider. A continuación, se desarrollará un segundo y tercer bloque centrado en la categoría de  insiders maliciosos. Y por último hablaremos sobre el impacto de los insiders con dos casos conocidos de organizaciones que sufrieron incidentes debido a esta vulnerabilidad.

Palabras clave: Insider, insider malicioso, vulnerabilidad, amenazas internas

Introducción

Si has pronunciado alguna vez la célebre frase del Padrino II “mantén a tus amigos cerca, pero más cerca a tus enemigos”, quizá deberías replantearte esta afirmación, especialmente si quieres garantizar la seguridad de tu compañía. Debemos asegurarnos de mantener a los enemigos fuera de casa. Según el Informe de 2022 sobre el Coste de las Amenazas Internas a Nivel Mundial de Ponemon Institute, los incidentes de origen interno han aumentado un 44% en los últimos dos años alcanzando un coste de 15,42 millones de Euros.

Amenazas internas

Alcanzar una protección absoluta en ciberseguridad es una idea utópica. Es precisamente por esto por lo que debemos tratar de crear entornos con el mayor nivel de seguridad posible y para ello es esencial conocer las amenazas que enfrentamos. A continuación  hablaremos del riesgo que suponen las amenazas internas y concretamente los “insiders”.

• Amenazas internas: ¿Qué son los insiders?

Las amenazas internas conocidas como “insiders” son aquellas relacionadas con alguien vinculado estrechamente a la compañía que utiliza sus conocimientos y privilegios afectando negativamente en cualquiera de los cuatro pilares de la seguridad de la información^[1]: Confidencialidad, Integridad, Autenticación y Disponibilidad.

En esta misma línea, según la CISA^[2], cualquier persona que tiene o ha tenido acceso autorizado de recursos de una organización, desde instalaciones o equipos hasta redes sistemas e información, es un potencial insider. Aunque esta amenaza puede actuar también en el plano físico, a lo largo de este artículo centraremos la atención en su  ciberactividad.

• Tipos de insiders

Un insider no necesariamente tiene que ser un empleado o ex empleado de la organización, también pueden ser proveedores, contratistas o socios. Existen distintas formas de clasificar los insiders pero en este caso partiremos de la división más sencilla que se conoce: insiders maliciosos e insiders negligentes.

• • Los insiders maliciosos: son aquellos que de forma intencionada comprometen la disponibilidad, integridad o confidencialidad de la organización causando daños de forma consciente, motivados por intereses personales o financieros. Dependiendo de la motivación de estos insiders podemos diferenciar entre (1) aquellos que buscan causar un problema a la organización, como podría ser un empleado desmotivado o alguien con privilegios a quién se ha despedido recientemente y (2) aquellos que buscan un rédito económico y por ello roban información con la intención de vender los datos o colaboran con terceros o que permiten el acceso de cibercriminales a las redes y sistemas de la compañía a cambio de una compensación económica (insider-trading-as-a-service^[3]).

• • Los insiders negligentes: esta categoría incluye aquellos insiders que no tienen una intención maliciosa y no son conscientes de que sus acciones descuidadas, negligentes o irresponsables (en cuanto protocolos de seguridad informática se refiere) comprometen la seguridad de la organización. Los insiders negligentes pueden ser empleados leales que desconocen las buenas prácticas en materia de ciberseguridad y caen en ataques de tipo phishing o de ingeniería social; que no siguen las directrices de seguridad, etc. Cabe destacar que este tipo de amenaza interna es la que más afecta actualmente a las organizaciones.

El enemigo en casa: Insiders maliciosos

A pesar de que el tipo de insider más común es el negligente, el insider malicioso es responsable de 1 de cada 4 incidentes, es decir, del 26% de los incidentes con un coste de  650.000 euros^[4]. Asimismo, se consideran una amenaza creciente debido, entre otros motivos, al aumento del teletrabajo que ha provocado, en muchas ocasiones, un incremento de los privilegios otorgados a los empleados para mejorar la productividad a la vez que ha complicado la tarea de detectar y diferenciar las intenciones maliciosas de estos. Por todo ello, a continuación, se centrará la atención en los insiders maliciosos.

Pero ¿qué formas de expresión de insiders maliciosos existen?:

• ¿Cómo son captados los insiders maliciosos?: Insider-trading-as-a-service

Del mismo modo que existen servicios en la Dark web en los que se ofrecen ransomware para que usuarios sin unos conocimientos técnicos avanzados puedan utilizarlos a cambio de una cantidad de dinero (ransomware-as-a-service), también existe la posibilidad de que una persona externa a una organización adquiera información proporcionada por una persona interna que ofrece el servicio conocido como  Insider-trading-as-a-service a través de foros de información privilegiada de la Dark web. Algunos ejemplos de estos foros fueron incluidos en la investigación Monetizing the Insider: The Growing Symbiosis of Insiders and the Dark Web^[6], como por ejemplo KickAss Market Place y The Stock Insiders.

Por otro lado, actores de amenaza o cibercriminales usan tanto estos foros como sus propios sitios web en la red Tor para encontrar o involucrar a personas internas en un ataque comprando sus credenciales o colaborando en introducir código malicioso en los sistemas de la organización.

• Detección, prevención y respuesta ante insiders maliciosos

Desarrollar un Plan Integral Contra Amenazas Internas^[7], construido desde un enfoque proactivo de mitigación, detección y respuesta permite a la organización identificar, evaluar y gestionar este tipo de amenazas.

Es fundamental que este plan integral incluya un programa de detección de amenazas que establezca ciertos indicadores que nos permitirán identificar comportamientos que señalen que una persona de confianza se puede convertirse en una amenaza, como por ejemplo:

• • Uso inusual de los recursos: acceso a datos confidenciales no relacionados con su perfil, intentos de acceso a recursos que no le corresponden, actividades en de la red y del host en horarios no habituales, etc.
  • Cambios en el comportamiento: cambios en el comportamiento habitual de la persona; con sus compañeros, supervisores y tecnología.
  • Ambiente laboral: la existencia de un mal ambiente laboral puede potenciar este tipo de amenazas.
  • Antecedentes personales y laborales: si el individuo tiene deudas o problemas familiares, y si existen antecedentes de malas prácticas.

Aprendiendo del pasado

Podríamos decir que hoy en día no existe una empresa que se libre de esta ciberamenaza interna (insider) puesto que la transformación digital es una realidad y la mayoría de las organizaciones se mueven en entornos digitalizados donde se manejan datos sensibles y almacenan información crítica para su actividad, que de ser comprometida podría suponer grandes pérdidas económicas y reputacionales. Esta realidad es la misma para empresas de cualquier sector y a continuación vamos a ver algunos casos de organizaciones que se enfrentaron a esta amenaza (insiders maliciosos) el pasado:

• Caso de Tesla: En 2020 un ciudadano ruso llamado Egor Igorevich Kriuchkov fue acusado y declarado culpable de intentar reclutar a un empleado de la fábrica de Tesla ubicada en Nevada para implantar un ransomware a cambio de un millón de dólares.
• Caso de General Electric: Una ex empleada de General Electric fue acusada y condenada por robo de secretos comerciales. Mientras trabajaba en la compañía robó archivos que contenían modelos matemáticos para calibrar las turbinas utilizadas en las centrales eléctricas y fundó su propia compañía con la que compitió en 2012 contra General Electric. En 2012 le ganó a su ex compañía una oferta para una planta de energía en Arabia Saudita ofreciendo un coste menor.  Hasta que el FBI sospechó y comenzó una investigación que culminaría con su condena en el año 2019.

Conclusión

En definitiva el riesgo de los insiders, como cualquier riesgo en ciberseguridad, no puede eliminarse por completo, pero es esencial que la organización conozca esta amenaza interna, evalúe su nivel de exposición y desarrolle una estrategia para garantizar su  resiliencia en materia de ciberseguridad. Para ello, toda organización debe conocer la naturaleza de la amenaza de insider y los distintos tipos que existen y así poder abordar cada caso de manera adecuada y asegurándose de desarrollar un programa de amenazas internas fuerte para evitar consecuencias devastadoras.

Bibliografía

• Aguiar, A.R. (2020). Así reclutan las mafias de ciberdelincuentes: el colectivo REvil deposita cerca de un millón de euros en un foro para demostrar su solvencia para contratar gente. Business Insider. https://www.businessinsider.es/buscan-mafias-ciberdelincuentes-expertos-ransomware-732951
• Aguiar, A.R. (2020). Quién es Lapsus$, los ciberdelincuentes que han filtrado código de Microsoft, temible por su ‘modus operandi’: también compran claves a empleados de sus víctimas. Business Insider. https://www.businessinsider.es/quienes-son-lapsus-cibercriminales-deberian-preocuparte-ya-1032925
• Asociación Española de Usuarios de Telecomunicaciones y de la Sociedad de la Información (AUTELSI). (2021). Análisis Insider. https://autelsi.es/pdfs/seminarios/insiders_2021/Analisis_Insiders_AUTELSI.pdf
• Cappelli, D. Moore, A & Trzeciak, R. (2008) Timothy J. Shimeall Common Sense Guide to Prevention and Detection of Insider Threats. Carnegie Mellon University CyLab. http://isalliance.org/publications/3D.c.%20Common%20Sense%20Guide%20to%20Prevention%20and%20Detection%20of%20Insider%20Threats%20-%203rd%20Edition%20-%20ISA%202008.pdf
• Cappelli, D., Moore, A., & Trzeciak, R. (2012). The CERT guide to insider threats. Addison-Wesley
• Code42. (n.d). 6 Types of Insider Threats. https://www.code42.com/glossary/types-of-insider-threats/
• Costa, D. (2017). CERT Definition of ‘Insider Threat’ – Updated. SEI Blog. https://insights.sei.cmu.edu/blog/cert-definition-of-insider-threat-updated/
• Cybersecurity and Infrastructure Security Agency (CISA). (n.d). Insider Threat Mitigation Guide. https://www.cisa.gov/sites/default/files/publications/Insider%20Threat%20Mitigation%20Guide_Final_508.pdf
• Cybersecurity and Infrastructure Security Agency (CISA). (n.d). Managing Insider Threats. https://www.cisa.gov/managing-insider-threats
• ENISA. (2020). ENISA Threat Landscape Report: From January 2019 to April 2020.  https://www.enisa.europa.eu/topics/threat-risk-management/threats-and-trends/etl-review-folder/etl-2020-insider-threat
• Fernández, L. (2020). El gran negocio de las amenazas «Insider» en la Dark Web. Redes Zone. https://www.redeszone.net/tutoriales/seguridad/amenazas-insider-negocio-dark-web/
• Fuentes, I. (2021). El enemigo en casa: los ataques de insiders crecen un 31% en tres años. Cuadernos de Seguridad. https://cuadernosdeseguridad.com/2021/11/el-enemigo-en-casa-los-ataques-de-insiders-crecen-un-31-en-tres-anos/
• Guillen, A. (2022).  Cibercrimen «as a service”. Atalayar https://atalayar.com/blog/cibercrimen-service%E2%80%9D
• Globes Newswire. (2022). Global Cybersecurity Study: Insider Threats Cost Organizations $15.4 Million Annually, up 34 Percent from 2020. https://www.globenewswire.com/news-release/2022/01/25/2372208/35374/en/Global-Cybersecurity-Study-Insider-Threats-Cost-Organizations-15-4-Million-Annually-up-34-Percent-from-2020.html
• ID Agent. (2021).   6 Ways Malicious Insiders Can Do Damage Fast & How to Uncover Them. https://www.idagent.com/blog/6-ways-malicious-insiders-can-do-damage-fast-how-to-uncover-them/
• INCIBE-CERT. (2017). Insider, las dos caras del empleado. https://www.incibe-cert.es/blog/insider-las-dos-caras-del-empleado
• Intelsynet Advisory Services. (n.d). Los cinco tipos de riesgo de insiders que puede sufrir tu empresa. https://intelsynet.com/es/los-cinco-tipos-de-riesgo-de-insiders-que-puede-sufrir-tu-empresa/
• Karsperky. (2017). Recognizing different types of insiders. https://encyclopedia.kaspersky.com/knowledge/recognizing-different-types-of-insiders/
• LISA institute. (2019). La amenaza de los Insiders: cómo detectar la amenaza interna https://www.lisainstitute.com/blogs/blog/insiders-amenaza-interna
• Minder, K. (2020). Cómo la web oscura alimenta las amenazas internas. Dark reading.  https://www.darkreading.com/endpoint/how-the-dark-web-fuels-insider-threats
• Mor, O. (2019). ¿Qué sucedió realmente con KickAss del foro de información privilegiada de Dark Web?. Rapid7. https://www.rapid7.com/blog/post/2019/01/29/what-really-happened-to-the-dark-web-insider-trading-forum-kickass/
• Paganini, P. (2017). Weaponizing of the insider in the Dark Web, a dangerous phenomenon. Security Affairs. https://securityaffairs.co/wordpress/55868/deep-web/weaponizing-insider-dark-web.html
• Panda Security. (2020). Las amenazas insider aumentan un 47%. https://www.pandasecurity.com/es/mediacenter/seguridad/cost-insider-threat-report/Perez, S. (n.d.). Las tres caras de la amenaza interna en una organización. Asociación Colombiana de Ingenieros de Sistemas https://acis.org.co/portal/content/las-tres-caras-de-la-amenaza-interna-en-una-organizaci%C3%B3n
• Ponemon Institute.  (2022). 2022 Cost of Insider Threat Report Infographic. Proofpoint. https://www.proofpoint.com/sites/default/files/infographics/pfpt-us-ig-insider-threat-infographic.pdf
• Proofpoint. (n.d). ¿Qué son las amenazas internas? Estadísticas y ejemplos. https://www.proofpoint.com/es/threat-reference/insider-threat
• Red Seguridad. (2022). Insider: qué peligros supone para la organización y cómo hacerles frente. https://www.redseguridad.com/actualidad/cibercrimen/insider-que-peligros-supone-para-la-organizacion-y-como-hacerles-frente_20220113.html
• Rosenthal, M. (2022). Insider Threats Examples: 17 Real Examples of Insider Threats. Tessian https://www.tessian.com/blog/insider-threats-types-and-real-world-examples/
• Wulkan, I., Condello, T. and Pogemiller, D.  (2017). Monetizing the Insider: The Growing Symbiosis of Insiders and the Dark. https://www.nationalinsiderthreatsig.org/itrmresources/RedOwl%20Report-Monetizing%20The%20Insider%20Through%20The%20Dark%20Web.pdf

Referencias

^[1] Disponibilidad, integridad, confidencialidad y autenticación: https://www.tecon.es/la-seguridad-de-la-informacion/#:~:text=La%20seguridad%20de%20la%20informaci%C3%B3n%2C%20como%20concepto%2C%20se%20basa%20en,la%20confidencialidad%20y%20la%20autenticaci%C3%B3n.

^[2] Siglas en inglés de la Agencia de Ciberseguridad e Infraestructura de seguridad de Estados Unidos (Cybersecurity and Infrastructure Security Agency). Es una Agencia del gobierno estadounidense cuya tarea es comprender, administrar y reducir el riesgo para la infraestructura física y cibernética del país.

^[3] Se explica en el punto 3.1.

^[4] Según el Informe de 2022 sobre el Coste de las Amenazas Internas a Nivel Mundial de Ponemon Institute

^[5] Siglas para Tecnología de la Información.

^[6] Wulkan, I., Condello, T. and Pogemiller, D.  (2017). Monetizing the Insider: The Growing Symbiosis of Insiders and the Dark. https://www.nationalinsiderthreatsig.org/itrmresources/RedOwl%20Report-Monetizing%20The%20Insider%20Through%20The%20Dark%20Web.pdf

^[7] Para más información  sobre cómo desarrollar un Plan Integral de Amenazas Internas consultar la guía “Insider Threat Mitigation” de CISA: https://www.cisa.gov/sites/default/files/publications/Insider%20Threat%20Mitigation%20Guide_Final_508.pdf

AUTOR: Elena Contreras
Linkedin:https://www.linkedin.com/in/elena-contreras/

Analista de inteligencia y coordinadora de operaciones en Bidaidea