Los ciberdelincuentes van a seguir teniendo a las grandes empresas y a las administraciones en sus puntos de mira a lo largo de 2013. Muchos métodos de ataque utilizados en años anteriores van a seguir vigentes, de acuerdo con firmas de seguridad como Verizon y McAfee. Los sitios web corporativos van a continuar en riesgo y la principal amenaza van a ser los exploits para la web, que sirven para conseguir acceder a datos sensibles de la empresa; basta con que el empleado visite ese sitio web infectado. De hecho, los exploits para la web son el tipo de ataque más frecuente, en tres cuartas partes de las ocasiones, según Verizon.
Por el contrario, el malware para dispositivos móviles todavía va a presentar un riesgo bajo para las empresas, incluso a pesar de que los responsables de tecnologías de información suelen estar muy preocupados porque los empleados introduzcan en sus redes dispositivos comprometidos. Los más vulnerables a las infecciones son los dispositivos BYOD (Bring Your Own Device), que no están proporcionados por la empresa. Cuando un dispositivo BYOD se conecta a la red corporativa de forma remota o través de una VPN (red privada virtual), el malware puede sortear más fácilmente los sistemas robustos de autenticación.
El mayor riesgo de seguridad para los ciberdelincuentes oportunistas son las contraseñas. Los ataques indiscriminados para localizar cuentas con contraseñas débiles o por defectos van a ser muy comunes. Durante el año 2012 cerca del 90 por ciento de las intrusiones analizadas por Verizon se iniciaron por culpa de una contraseña débil o por defecto o por unas credenciales robadas o reutilizadas. En este campo, los responsables de tecnologías de información de las corporaciones tienen mucho por hacer. Las políticas de seguridad deben fomentar que contraseñas fuertes y únicas, y además requerir cambios frecuentes de contraseñas para evitar que se reutilicen. Tampoco basta con las recomendaciones, sino que se deben establecer mecanismos para asegurar su cumplimiento.
A menudo las herramientas que emplean los ciberdelicuentes para reventar las contraseñas no son muy potentes, ni muy sofisticadas, pero sí son eficaces. A base de fuerza bruta, pueden conseguir romper más de 80.000 contraseñas en menos de cinco horas, como demuestra el caso del ciberataque a Strategic Forecasting de hace un año, donde se produjo el robo de cerca de 200 GB de datos de clientes registrados en una base de publicaciones.
El otro gran riesgo de seguridad durante 2013 son los ataques dirigidos a negocios específicos y grupos de víctimas concretas, según McAfee. Esos ciberataques cada vez van a ser más refinados, y van a servirse de técnicas de ingeniería social para tratar de engañar a los empleados de las organizaciones. Los cibercriminales tienen a su disposición herramientas muy sencillas de usar a la par que eficaces, como el troyano Citadel. Es una variante del troyano bancario Zeus que permite ejecutar ataques a medida sobre objetivos concretos mediante redes de ordenadores zombis (botnets). Los desarrolladores de Citadel incluso mantienen un servicio de asistencia técnica y de resolución de problemas.
