Violación de datos: qué es, riesgos y cómo proteger tu entorno IT

Si tienes 18 euros y 0 escrúpulos, la Dark Web tiene para ti los datos completos de una tarjeta de crédito española, o británica. Y por 100 euros, 10 millones de direcciones estadounidenses de email. Además, los precios se abaratan, porque las violaciones de datos son cada vez más comunes y no queda nadie que no tenga expuesto hasta el color de la ropa interior, porque lo puso en alguna web, red social o modelo de lenguaje, la última gran mina de oro en las brechas de datos.
Nuestra información privada está por todas partes y los riesgos van, desde incesantes llamadas de spam y fraude, hasta el décimo intento de phishing de hoy. O peor, identidades robadas que acaban en timos, multas a nuestro nombre o cuentas bancarias más limpias de lo que nunca tuvimos el baño.
Parece inevitable, pero no es cierto. Por eso, veremos todo sobre violaciones de datos: qué son, cómo se producen, las consecuencias para nuestra organización en caso de sufrir una y lo necesario para protegernos.

¿Qué es una violación de datos?

Una violación de datos (o data breach) es un incidente de seguridad donde entidades no autorizadas copian, usan transmiten o acceden a información confidencial, protegida o crítica.
O como define el artículo 4.12 del RGPD con la sencillez habitual del lenguaje legalista:
«Toda violación de seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos».
Vamos, que quien no debe accede a datos que no debe o, atentos a la ley, también los destruye o altera, aunque no los haya mirado.
Esto no solo se produce por la acción de malvados hackers de sudadera negra sin lavar, porque puede deberse a:

• Filtración: una divulgación (accidental o no) de datos por canales no seguros, como esos ejemplares dignos de estudio que ponen mil direcciones de email en el apartado CC del correo y no en el BCC. O quien sube datos personales a un bucket S3 y resulta que está configurado como público.
• Exfiltración: una brecha provocada por actores maliciosos (externos o internos), como un ransomware que copia una base de datos a un servidor remoto y luego la cifra en nuestros sistemas o, ahora sí, el hacker y su sudadera entra por alguna rendija y extrae 500 GB de datos, hasta que descubrimos sus movimientos laterales por el olor.
• Fuga: similar a la filtración y a veces incluida en ella. Es una pérdida de datos por un fallo técnico o humano, pero que no tenía intención maliciosa, como una actualización mal hecha que corrompe una base de datos, o un fallo en un script de limpieza que borra lo que no debe.

Las diferencias con otros incidentes de seguridad, como un DDoS o una intrusión sin exfiltración o destrucción, está en ese acceso o manipulación no autorizada de datos.

Principales causas de una violación de datos

Las brechas de datos no se dan por arte de magia, sino por estas causas:

• Errores humanos y accesos indebidos. Muchas veces, producidos por el enemigo natural del técnico y depredador de su salud mental: el usuario. Este ha vuelto a pinchar donde no debe o abrir lo que dijimos que no abriera. Sin embargo, tras apuntarle con el dedo, podemos girarlo hacia nosotros, porque también puede ser que subimos los datos donde no debíamos o fuimos poco escrupulosos configurando permisos.
• Fallos de configuración y vulnerabilidades. Una mala seguridad de nuestra base de datos, o una vulnerabilidad no parcheada, pueden dar lugar al incidente.
• Amenazas internas y/o en la cadena de suministro. Empleados descontentos o técnicos agraviados pueden provocar la violación de datos. O bien un proveedor tiene una seguridad mediocre y nuestro CRM SAAS sufre un hackeo, filtrando datos de clientes.

Vectores de ataque más frecuentes en entornos IT

Las películas enseñan que estas cosas se producen porque genios en la sombra pelean contra otros genios tecleando muy rápido incoherencias en una terminal, una especie de duelo de cibermagos. Pero esas películas también trataron de hacernos creer que Chris Hemsworth (alias Thor) o Hugh Jackman (alias Lobezno) eran hackers, o que en nuestro grupo de cibergenios marginados encontraríamos una Angelina Jolie. Así que tampoco se parecen a la realidad de cómo ocurren las brechas de datos.
Los vectores más frecuentes son:

• Phishing*. La cucaracha de las ciberamenazas que nunca morirá, con emails fraudulentos (o SMS, WhatsApps, etc.). A menos que seas una organización estratégica en la mira de actores maliciosos muy motivados, la mayoría de ataques recorrerán este vector.
• Ransomware* y otros tipo de *malware. Porque quizá no pinchaste en el enlace de *phishing*, pero bajaste ese programa pirata y ha metido un *keylogger* que registra lo que tecleas.
• Ataques a APIs. Vector en alza donde APIs mal aseguradas filtran datos que no deben ante peticiones ingeniosas o accesos no autorizados. Es el caso de Twitter en 2022, donde una API sin autenticación adecuada permitía verificar si un email o teléfono estaban asociados a una cuenta, permitiendo doxxing (revelación de identidad) y phishing.
• Credenciales ya filtradas. Es decir, que alguien usa una contraseña que encontró en la web oscura o donde sea y el usuario nunca la cambió.
• Amenazas internas. Vector clave, porque un empleado descontento hace más daño que el hacker más poderoso.
• Brecha en la cadena de suministro. Nosotros somos serios, pero ese modelo de lenguaje que nos escribe emails que nadie leerá tiene vulnerabilidades como túneles de tren. O tenemos archivos en iCloud y se repite el Celebgate de 2014.
• Vulnerabilidades no parcheadas. Porque usamos aplicaciones o sistemas operativos sin actualizar o estamos ante un zero-day, una vulnerabilidad desconocida y, por tanto, no solventada aún.

Impacto en la infraestructura IT y consecuencias para el negocio

Si los datos quedan comprometidos, afrontaremos consecuencias, tanto para nuestra infraestructura IT, como para la organización en general.

1. Pérdidas por alteración de las operaciones

Si la violación de datos es vía ransomware, por ejemplo, quizá no podamos trabajar, porque todo está cifrado a menos que paguemos el rescate que, seguramente, nos pedirán. O simplemente, las labores forenses y de mitigación alteran el día a día.
Cada segundo así son pérdidas, pero no solo sufriremos este impacto.

2. El daño reputacional

Hemos fallado cuidando los datos que custodiamos, con lo que algunos clientes, socios o accionistas no querrán seguir con nosotros. Por ejemplo, tras la violación de datos de Equifax en 2017, su valor en bolsa cayó en picado.
La reputación cuesta mucho de ganar y se pierde en un instante, además de ser lo más difícil de cuantificar. Por ejemplo, nunca sabremos el negocio potencial perdido porque, quienes se enteran de lo sucedido, nos descartan como opción con la que trabajar.

3. Las sanciones regulatorias

Dependiendo de la brecha y organización, podemos estar bajo la obligación de diversas normas, como:

• La NIS2 si somos una empresa estratégica de la UE.
• La PCI-DSS si ha tenido que ver con datos de pagos online y tarjetas de crédito.
• El ENS español (Esquema Nacional de Seguridad), según Real Decreto 311/2022, de 3 de mayo.
• El RGPD, la regulación europea por excelencia sobre datos que establece el marco legal dedicado a su protección, etcétera.

La cuestión es que las sanciones son cuantiosas y producirse:

• Por no haber hecho lo establecido en las leyes para cuidar bien los datos filtrados.
• Por no haber comunicado en tiempo y forma la brecha, incluso cuando llevamos todo el cuidado posible.

Por eso, para mitigar consecuencias, nuestra respuesta a la brecha debe ser impecable.

Cómo responder ante una violación de datos

Cuando el incidente ocurre, nuestra actuación debe ser doble. Por un lado, técnica, detectando y conteniendo la brecha lo antes posible. Por otro lado, legislativa, notificando a organismos competentes, como la Agencia de Protección de Datos Española, por ejemplo. Igualmente, la ley pedirá que notifiquemos a los usuarios, siguiendo también ciertos criterios.
Analicemos los pasos necesarios más a fondo.

• Detección de la brecha. Sea porque la descubrimos al tener un buen IDS o SIEM, por el infarto ante la pantalla de extorsión del ransomware o porque se han detectado esos datos en la web oscura, Pastebin o mercados sombríos de información… Y ni lo sabíamos.
• Contención inmediata. Lo primero es parar la sangría y minimizar el daño. Para ello, aislamos sistemas afectados, bloqueamos cuentas comprometidas, detenemos exfiltraciones mediante desconexión…
• Evaluación. Determinando cuáles son los datos vulnerados y el alcance de la brecha (cuántas cuentas o registros están comprometidos).
• Notificación legal. El RGPD exige 72 horas o menos, pero legislaciones como la NIS2 acortan a 24 horas para operadores esenciales, así que no hay que dormirse.
• Resolución técnica de la brecha. Tapando la grieta por donde se coló la rata, asegurándonos de eliminar amenazas persistentes (APT), recuperando datos desde backups, etc. Dependiendo de la naturaleza concreta de la violación de datos, los pasos técnicos diferirán.
• Comunicación estratégica. Ante usuarios y legisladores. La ley obliga a ser claros e informar de si suponen un riesgo. Muchas empresas pecan de minimizarlo porque, quizá, no afectó a datos bancarios o números de tarjeta y menos mal, pero se filtraron DNIs, direcciones y teléfonos que pueden usarse en robos de identidad, spam, phishing o fraudes. Personalmente, vivo horrorizado por lo que se puede hacer con esa información y algo de ingeniería social, pero el usuario medio desconoce esas cosas.
• Recuperación y hardening. La vida no puede seguir igual diga lo que diga la canción. Debemos tener claro qué ocurrió y volver más fuertes para que no se repita, con refuerzo de controles, políticas más estrictas de acceso, etc.

En definitiva, aprender de los errores, frase que adoramos decirle a los demás, pero odiamos aplicarnos.
En todo este proceso, un buen SIEM como Pandora SIEM nos levantará el peso pesado de esa respuesta, con acciones como:

• Informes de gestión de riesgos y auditorías como las exigidas por la NIS2.
• Detecciones de accesos no autorizados en cuanto se producen, así como registro de actividades para una comunicación rápida a organismos y la demostración de haber sido diligentes.
• Acciones inmediatas automatizadas, como bloqueo de equipos comprometidos, IP maliciosas y notificación inmediata al SOC.
• Pero sobre todo, la principal ayuda es una mayor protección previa y monitorización continua, disminuyendo el riesgo de que se produzca la violación de datos en primer lugar.

Estrategias efectivas para prevenir una violación de datos

La única brecha buena es la que no se produce, por eso, debemos aplicar estrategias efectivas para prevenirla. Las principales son:

• Monitorización continua. De toda la infraestructura, aglutinando y correlando logs de los diferentes elementos para detectar ataques complejos. Un buen SIEM es imprescindible para esto.
• Cifrado de datos. Tanto en tránsito (TLS 1.3) como en reposo (AES-256) para que, incluso con exfiltración, no puedan acceder a ellos.
• Gestión draconiana de identidades y accesos. Doble autenticación siempre y políticas de mínimo privilegio, donde nadie tiene más acceso que el necesario.
• Formación a usuarios y simulacros habituales. De nada sirven las mejores murallas si el usuario no para de abrir las puertas. Por eso, debemos formarlos en las amenazas principales y realizar simulacros habituales de phishing, ingeniería social o intrusión, tanto técnica como física, en las instalaciones.
• Auditorías periódicas. Tanto de código de aplicaciones clave ante nuevas versiones (si podemos), como de procesos o pruebas de pentesting anuales, para ver cómo aguantamos o respondemos ante una posible violación.

Checklist práctico: cómo proteger tu entorno IT frente a una violación de datos

Me gustaría detallar las estrategias anteriores en acciones concretas y, por eso, veamos una lista de chequeo para implementar lo esencial. Obviamente, no sé si tu infraestructura es un océano de mil sistemas de todo tipo más SAAS o 12 patatas y una Raspberry, pero no importa.
Estas acciones son aplicables a todos, e incluyen algunos consejos y matices del equipo de Pandora por experiencia.
Examinemos si tenemos cada punto.

• Doble autenticación para accesos. Sé que es fatigoso e inconveniente, pero eso también lo saben (y aprovechan) los actores maliciosos.
• Rotación periódica de credenciales. Cambiando obligatoriamente contraseñas cada 90 días, por ejemplo.
• Políticas de acceso a datos basadas en el principio de mínimo privilegio. Porque Rafa de contabilidad no precisa acceder a datos del CRM.
• Políticas de acceso auditadas cada mes, por ejemplo. Porque quizá Rafa ha cambiado a ventas, pero el acceso a la información financiera no se le revocó.
• Redes críticas segmentadas. La webcam no pinta nada conectada a redes de pago, en serio.
• Datos segmentados. Se aplica el mismo principio que a accesos y redes: no dejemos todo el oro en el mismo cofre. Así, si acceden a datos del CRM, no tienen por qué estar junto con los balances y lo bancario.
• Encriptación de datos, tanto en reposo como en tránsito.
• Un SIEM que permita monitorización continua y alertas programadas en caso de brecha.
• Acciones automatizadas de mitigación (en caso de poder implementarlas con nuestro SIEM y/o SOAR) para acciones clave sencillas como aislar equipos comprometidos, bloquear IP maliciosas o crear alertas y tickets.
• Acciones de DLP (Data Loss Prevention), como alertas del SIEM ante copias masivas de datos en USB, por ejemplo.
• Automatizar actualizaciones en todo lo que se pueda.
• Monitorizar nuevas CVE y vulnerabilidades que nos afecten. A pesar de lo anterior, el tiempo entre que surge la vulnerabilidad y se parchea es crítico. Debemos vigilar con cien ojos la app o equipo vulnerado hasta que llegue la solución, o tomar medidas preventivas durante ese tiempo, si no es clave para las operaciones.
• Formaciones periódicas a usuarios.
• Mecanismos de simulacro de phishing e ingeniería social para probar que esos usuarios estaban atendiendo en el punto anterior. Hazlos aleatorios o se condicionarán a estar más atentos durante las fechas habituales de realización.
• Política estricta de Backups siguiendo las mejores prácticas, como el principio 3-2-1, inmutabilidad o verificar mensualmente la recuperabilidad y buen estado de las copias.
• Conocer exactamente los requisitos legales que nos afectan y los pasos concretos que piden esas leyes para prevenir incidentes o cuando se producen. Sí, leerse Guerra y Paz es más fácil, pero no hay excusa.
• Plan de acción documentado ante violación de datos. Detallando claramente acciones específicas y QUIÉN debe realizarlas. Espero haber destacado suficiente la importancia del quién.
• Endpoints protegidos con EDRs o agentes que se comunican con el SIEM. Especial atención a equipos personales por la tendencia BYOD (Bring Your Own Devices).
• Comprobación de nuestra cadena de suministro. Es decir, proveedores de servicios o productos como alojamiento en nube, servicios externos comerciales o lo que sea, asegurándonos de que cumplen requisitos, tienen la ISO 27001, etc.

Igual que no puedes construir una casa sin herramientas adecuadas, tampoco implementarás este checklist sin aplicaciones profesionales. Y en el centro de todo está el SIEM, centro de mando y control que no descansa levantando cada alfombra, iluminando cada rincón y uniendo las piezas de información de nuestra infraestructura IT.

Pandora FMS y Pandora SIEM: tu aliado en la prevención de violaciones de datos

Pandora FMS y Pandora SIEM son resultado de las mejores prácticas. De haber forjado en los fuegos del Monte del Destino (y de la experiencia real), una herramienta de élite para protegerte, no solo de violaciones de datos, sino de cualquier ataque.

En brechas de datos, la principal ayuda es, sobre todo, evitarlas. ¿Cómo? Con agregación de logs y correlación de eventos para una detección en tiempo real de patrones de ataque complejos.

Igualmente, la monitorización continua, incluso de las redes más heterogéneas, y tener un cuadro de mando unificado en tu metaconsola (o los que necesitemos adaptados a nosotros, con dashboards y consolas personalizadas) nos otorga el control que siempre quisimos.

Durante el proceso de contención y respuesta en caso de violación de datos, Pandora permite tener toda la información del suceso a la vista, detectando enseguida qué ha ocurrido, así como responder automáticamente con acciones como aislamiento de equipos, IP, etc.

Durante la labor forense y de comunicación, facilita el cumplimiento normativo, la realización de informes según la ley y la demostración de nuestra diligencia con el almacenamiento de logs e información necesaria para auditorías.

Mirando las llamadas fraudulentas que mi móvil bloquea cada día, queda claro que las violaciones de datos son uno de los incidentes de seguridad en auge. Implementar lo visto nos ayudará a prevenir y mitigar, y Pandora FMS, junto a Pandora SIEM, nos permite acudir a la pelea montados en Mazinger Z (que no decaigan las referencias prehistóricas).

Pero claro, a riesgo de que marketing me arroje un torpedo fotónico con forma de grapadora, ¿qué vamos a decir nosotros de nuestra joya de la corona?

Creemos honestamente que Pandora es la mejor opción, pero (aquí viene volando la segunda grapadora entre gritos), no tienes por qué creernos y, de hecho (tercera grapadora mientras escribo refugiado bajo la mesa) harías bien, porque hablar es fácil.

Por eso, te invitamos sin compromiso a una demostración de Pandora. A que pruebes, nos exijas, nos preguntes hasta que no quede una duda y luego, compares otras opciones, en serio. Sabemos que no se puede convencer a nadie de nada, pero sí que te convencerás tú mismo si nos pruebas.