De VAP™ a VIP sólo cambia el phish

Hojeando artículos esta tarde me ha llamado la atención un término que no había oído nunca: VAP™.
Corresponde a un acrónimo de la empresa Proofpoint (www.proofpoint.com) que significa Very Attacked Person. Persona Muy Atacada, pero no de los nervios -o al menos no antes de convertirse en objetivo- sino por los ciberdelincuentes a través de técnicas de phishing.

La entrada, que la tenéis aquí, rompe un poco con el mito de los objetivos más deseables en una empresa: hasta ahora lo eran los VIP, los “peces gordos”, blanco de unos tipos de phishing “dirigido” denominados spearphishing y whaling.

Ese cambio de objetivos ¿a qué se podría deber? Si fuéramos optimistas afirmaríamos que debido a la concienciación en la empresa, que se ha dejado aconsejar y ha asumido esa norma de seguridad, de ciberseguridad, que restringe el acceso indiscriminado a la información. ¿O no hemos oído en más de una ocasión eso de “como es el jefe, dale acceso a todo”?… Algo de cierto quiero creer que hay, pero de nuevo el artículo de Proofpoint nos devuelve a la realidad: no es que los directivos se hayan concienciado (que seguro que sí) sino que los ciberdelincuentes no dejan de buscar nuevos objetivos.
El informe afirma que estos nuevos objetivos son usuarios en determinados departamentos, que a priori no son los más rentables para los delincuentes económicamente hablando: marketing, relaciones públicas y recursos humanos. ¿Qué ha pasado con contabilidad, con gerencia? Han “pasado de moda”, con carácter temporal posiblemente. Los delincuentes saben que el camino más difícil para acceder a un sistema informático es vulnerar su seguridad; pero consiguiendo engañar a un usuario, por limitado que sea su acceso al sistema, encontrarán la forma de escalar privilegios. Pivoting, es el nombre que recibe esta técnica. El ejemplo más reciente es el de Citrix que ha sufrido en carne propia cómo los delincuentes han accedido a sus sistemas:

“The attackers gained access to Citrix through several compromised employee accounts”
"Los atacantes accedieron a (los sistemas de) Citrix a través de varias cuentas de empleados comprometidas"

Una vez más la Ingeniería Social maximizando el beneficio y minimizando el riesgo de los ataques.

Una vez más el mismo perro, pero con distinto collar… ¡y que nos vuelve a morder!

Algún día aprenderemos.

O no.