Las mayores violaciones de datos de 2019 y cómo PAM pudo haberlas detenido

Durante la última década no ha habido año en el que las empresas, tanto grandes como pequeñas, no hayan sufrido diversos intentos de hackeo y violaciones de datos, y 2019 no iba a ser diferente. En este artículo analizaremos tres de las mayores violaciones de datos perpetradas durante este año, e incluiremos algunas observaciones sobre cómo la Gestión del Acceso Privilegiado (PAM) podría haber ayudado a mitigar, o incluso evitar, estas violaciones.

Violación de datos de First American Financial

En mayo de 2019 el proveedor de seguros de EE. UU. anunció que había descubierto una importante violación de sus registros que se remontaba a la friolera de 16 años. La raíz del problema era una aplicación web no muy bien diseñada, que tenía lo que la organización denominó «un defecto de diseño». Esta aplicación había estado permitiendo el acceso público a casi 900 millones de documentos financieros confidenciales, incluidos documentos de transferencias bancarias, imágenes de permisos de conducir, registros fiscales y, básicamente, cualquier tipo de documento que pudiera estar en manos de una organización como First American Financial. A partir de la revelación del incidente, el proveedor de seguros se ha visto envuelto en un buen número de demandas, incluida una demanda colectiva, y actualmente la SEC está investigando el incidente.

Cómo PAM podría haber ayudado

Los documentos expuestos eran de naturaleza confidencial, por lo que deberían haber sido tratados como tales. Lo lógico hubiera sido que cada documento hubiera tenido requisitos de acceso privilegiado, de manera que cualquiera que hubiera intentado acceder a ellos hubiera tenido no sólo que autenticar quién era, sino también demostrar que disponía de los privilegios adecuados.

Dado que la vulnerabilidad de First American Financial permitía que cualquiera con un enlace a un documento válido pudiera rebotar en cualquier otro documento simplemente cambiando el ID del documento en la URL, una solución PAM básica habría detenido estos movimientos laterales e impedido el descubrimiento de todos los demás documentos que estaban desprotegidos al exigir permisos de acceso.

Violación de datos de Capital One

Este incidente no solo fue una de las mayores violaciones de datos de 2019, sino una de las mayores de todos los tiempos. Lo que sucedió fue que un hacker consiguió entrar en la red del banco a través de un firewall mal configurado y, a partir de ahí, rebotó hasta que encontró el cofre del tesoro: un sinfín de nombres de usuario y contraseñas sin cifrar. A continuación, el hacker utilizó dichas contraseñas para acceder a una gran variedad de información confidencial que afectaba a unos 100 millones de consumidores tan solo en Estados Unidos.

Cómo PAM podría haber ayudado

Dejando a un lado el tema del firewall mal configurado, una sólida solución de Gestión del Acceso Privilegiado habría ayudado en tres frentes:

1. El monitoreo de sesiones en tiempo real podría haber captado y detectado la actividad inusual de la sesión cuando el hacker estaba rebotando dentro de la red en busca de elementos que pudieran explotar. Asimismo, esta tecnología habría terminado automáticamente las sesiones sospechosas al mismo tiempo que habría avisado al equipo de seguridad de Capital One.
2. Dado que por naturaleza una solución PAM sirve para supervisar qué usuarios tienen acceso a qué recursos, lo más probable es que incluso una vez que el hacker hubiera obtenido acceso, este no hubiera podido saltar de un recurso a otro, ya que con PAM los recursos de la red son invisibles para quienes no tienen privilegios de acceso.
3. A pesar de que las credenciales de usuario robadas puedan tener acceso privilegiado, PAM no solo requiere que los usuarios demuestren quiénes son a través de la integración de la Autenticación Multifactor (MFA), sino que también comprueba las circunstancias que rodean los intentos de acceso privilegiado. Es por ello que tanto la hora como la ubicación de la dirección IP o la variedad de recursos buscados se habrían detectado como no autorizados y, por consiguiente, se habría denegado el acceso pese a que las credenciales fuesen válidas.

Violación de datos de Georgia Tech

En su segunda violación conocida en menos de un año, el instituto de tecnología Georgia Tech anunció en abril de 2019 que una entidad ajena a ellos había estado accediendo a una de sus bases de datos centrales durante un periodo de tres meses. Como resultado, la información de más de 1,3 millones de estudiantes, antiguos alumnos, profesores y personal quedó expuesta. Cabe destacar que, irónicamente, esta universidad es famosa por su programa de informática.

Cómo PAM podría haber ayudado

Aunque Georgia Tech ha guardado silencio sobre los detalles exactos de esta violación, el hecho de que fuera perpetrada por entidades externas nos confirma que una solución como PAM podría haber ayudado a mitigar el ataque. Al igual que en el caso de la filtración de Capital One, incluso si los hackers hubieran obtenido credenciales legítimas, un sistema de gestión de accesos privilegiados también habría comprobado las circunstancias en las que se produjeron los intentos de acceso a la base de datos. Es más, una solución PAM fuerte oculta la existencia misma de los recursos sensibles a los que un usuario no tiene acceso privilegiado, por lo que, aunque los hackers hubieran entrado en el sistema, no habrían podido ni siquiera ver estos recursos, y mucho menos consultarlos o manipularlos.

Cómo la gestión de accesos privilegiados detiene las infracciones

Dado que los hackeos son esfuerzos de bajo riesgo que van acompañados de altas recompensas, es evidente que los ciberdelincuentes seguirán buscando y encontrando nuevas formas de acceder a los recursos sensibles y de alto valor de las organizaciones. Pero no todo está perdido, ya que una solución PAM robusta vigila constantemente una gran variedad de factores relacionados con los intentos de acceso privilegiado a los recursos sensibles. La unión de un control granular, racionalizado y centralizado sobre la concesión y revocación de los privilegios de acceso a los usuarios administradores de TI, la rotación de contraseñas y las potentes capacidades de supervisión de sesiones hace que PAM logre detener las posibles violaciones de datos. Cuando la supervisión de la sesión y la validación de la autenticación multifactorial y el acceso privilegiado se combinan, su fusión proporciona una defensa en profundidad que puede contribuir en gran medida a mitigar o prevenir las violaciones de datos, incluso cuando todavía se desconocen los vectores de ataque exactos.