Proteger a las personalidades importantes frente a los ataques basados en la identidad

Sin invadir su privacidad

Los ejecutivos y los miembros del consejo de administración reúnen una serie de características que los convierten en objetivos prioritarios para los atacantes. Cuentan con acceso privilegiado a los sistemas financieros, autoridad para autorizar transferencias bancarias, acceso a información estratégica confidencial y la confianza de la organización necesaria para autorizar acciones que los empleados de niveles inferiores no pueden llevar a cabo. Sus cuentas personales se utilizan con frecuencia para comunicarse sobre asuntos empresariales, y los atacantes que comprometen una cuenta de correo electrónico personal pueden supervisar esas comunicaciones, interceptar la correspondencia relacionada con acuerdos y llevar a cabo operaciones de suplantación de identidad en el correo electrónico empresarial que resultan mucho más convincentes que el phishing genérico. Las cuentas personales también suelen tener una higiene de credenciales más débil que las cuentas corporativas: los ejecutivos son menos propensos a seguir las políticas corporativas de contraseñas en sus cuentas personales de correo electrónico, redes sociales y cuentas financieras. Una cuenta personal comprometida que comparta una variante de contraseña con una cuenta corporativa, o que se utilice para restablecer una cuenta corporativa, puede servir como punto de entrada directo al entorno corporativo. SpyCloud VIP Guardian aborda este problema supervisando las cuentas personales de los ejecutivos con los mismos datos de brechas de seguridad, malware y phishing recuperados que SpyCloud utiliza para la protección del personal corporativo, sacando a la luz las vulnerabilidades en las huellas de identidad tanto personales como profesionales antes de que los atacantes puedan aprovecharlas.

VIP Guardian funciona con una arquitectura de visibilidad dividida, diseñada específicamente para abordar la preocupación por la privacidad que dificulta la implementación de los programas de protección de altos ejecutivos. El ejecutivo se inscribe mediante una invitación basada en SSO y, a continuación, añade sus direcciones de correo electrónico personales a su propio portal privado. Esas direcciones de correo electrónico personales solo son visibles para el ejecutivo, no para la empresa ni para el equipo de seguridad. Cuando SpyCloud detecta que una de esas cuentas personales ha aparecido en un registro de filtraciones, en un registro de malware de robo de información o en un conjunto de datos de phishing, los detalles de la exposición se envían al ejecutivo a través de su portal privado y mediante una alerta por correo electrónico. El equipo de seguridad recibe una señal de riesgo que indica que el ejecutivo tiene una exposición activa que requiere atención, pero no ve qué dirección de correo electrónico personal se ha visto afectada ni qué datos específicos contiene la filtración. Esta arquitectura permite al equipo de seguridad hacer un seguimiento de si los ejecutivos han subsanado las exposiciones pendientes y medir la eficacia del programa de protección de personas clave sin adquirir capacidad de vigilancia sobre la vida digital personal de los ejecutivos. El ejecutivo conserva la titularidad de sus datos personales; el equipo de seguridad recibe la señal de protección sin la intromisión en la privacidad que, históricamente, ha convertido la implementación de los programas de supervisión de ejecutivos en un reto político y de recursos humanos.

VIP Guardian supervisa hasta diez direcciones de correo electrónico personales por ejecutivo, incluidas las cuentas personales actuales, las cuentas heredadas de anteriores empleadores, las direcciones de respaldo y las direcciones de correo electrónico asociadas a familiares. El alcance es importante porque los atacantes suelen investigar a los ejecutivos antes de lanzar campañas de BEC o de spearphishing, y esa investigación a menudo saca a la luz cuentas personales que los ejecutivos han utilizado durante años. Una dirección de Gmail que un ejecutivo utilizó en 2015 puede haber sufrido múltiples filtraciones y seguir compartiendo patrones de contraseña con las cuentas actuales. SpyCloud realiza un seguimiento basándose en su conjunto de datos completo recuperado, que incluye más de diez años de registros de filtraciones, registros de malware de robo de información y capturas de phishing. Las nuevas exposiciones salen a la luz a medida que aparecen en los mercados delictivos. Las exposiciones históricas que ya figuran en el corpus de SpyCloud son visibles desde el momento en que el ejecutivo se inscribe, lo que le proporciona una visibilidad inmediata del riesgo acumulado del que quizá no fuera consciente antes de la inscripción. La cobertura abarca las tres fuentes principales de exposición: filtraciones de terceros en las que el ejecutivo se registró con un correo electrónico personal; infecciones por malware de robo de información que extrajeron credenciales almacenadas en el navegador desde un dispositivo personal o familiar; y ataques de phishing exitosos que capturaron credenciales de cuentas personales.

La relación entre una cuenta personal comprometida y el impacto en la organización sigue varias vías de ataque documentadas. En el patrón más habitual, el atacante utiliza el correo electrónico personal para restablecer el acceso a los servicios corporativos que el directivo había vinculado a su dirección personal como opción de recuperación. En el patrón BEC, el atacante supervisa la bandeja de entrada personal para conocer las operaciones comerciales en curso y, a continuación, se hace pasar por el directivo o por una contraparte para redirigir pagos o interceptar contratos. Si la contraseña de la cuenta personal es similar o idéntica a la de una cuenta corporativa, se abre la posibilidad de que se produzca un ataque de «credential stuffing» contra el portal de inicio de sesión corporativo. En todos estos casos, el intervalo de tiempo que transcurre entre el momento en que se compromete la credencial personal y el momento en que el atacante la utiliza es la única oportunidad para intervenir. Cuando VIP Guardian detecta una exposición de una cuenta personal, el ejecutivo recibe en su portal instrucciones específicas sobre los pasos de corrección para ese tipo de exposición: cambiar la contraseña comprometida en todas las cuentas en las que se haya reutilizado, habilitar la autenticación de dos factores en la cuenta afectada y revisar las opciones de recuperación de la cuenta para cualquier servicio corporativo vinculado. El equipo de seguridad recibe la señal de que se está llevando a cabo una corrección de alta prioridad sin necesidad de gestionar los detalles de la cuenta personal del ejecutivo.

Los servicios de protección contra riesgos digitales para ejecutivos, como los que ofrecen 360 Privacy, Chainalysis u otros proveedores similares, proporcionan un ámbito de protección más amplio: eliminación de información personal de sitios web de intermediarios de datos, supervisión de redes sociales, ocultación de direcciones físicas y, en algunos casos, servicios gestionados con analistas humanos. SpyCloud VIP Guardian ocupa un nicho específico y complementario: la supervisión de la exposición de credenciales en la darknet para las cuentas personales de los ejecutivos, basada en el conjunto de datos de identidades recuperadas por SpyCloud. Está diseñado específicamente para detectar cuándo se han robado las credenciales de los ejecutivos y están circulando en los mercados delictivos, y para transmitir esa señal de forma que se preserve la privacidad y se integre con la implementación corporativa de SpyCloud. El caso práctico de 360 Privacy en la página web de SpyCloud ilustra esta combinación natural: 360 Privacy utiliza los datos de la darknet recuperados por SpyCloud como base de inteligencia para su servicio de protección de ejecutivos, ya que los datos de SpyCloud llegan antes desde fuentes delictivas de lo que puede detectar la monitorización a nivel superficial. Las organizaciones que deseen una monitorización de credenciales autogestionada e integrada en la empresa para su plantilla directiva deberían utilizar directamente VIP Guardian. Las organizaciones que deseen un programa de protección de ejecutivos totalmente gestionado —que incluya privacidad física, supervisión de redes sociales y apoyo de analistas, además de la supervisión de credenciales— deberían evaluar si un servicio gestionado que utilice los datos de SpyCloud como base de inteligencia se ajusta a los requisitos de su programa.