Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
03/10/2013
Atacs de pesca electrònica intel·ligent podrien inutilitzar la xarxa elèctrica, advertixen els experts
Si la indústria energètica tem l’aparició d’un altre Stuxnet que inutilitze els seus sistemes d’abastiment de petroli, gas i electricitat, un atac igualment devastador podria procedir d’una font molt més mundana: la pesca electrònica (phishing).
En compte de preocupar-se per exòtiques armes cibernètiques, com Stuxnet o el seu germà major, Flame, les empreses que disposen dels sistemes SCADA, de control i adquisició de dades per a monitoritzar i controlar els processos industrials, haurien d’assegurar-se que els seus programes de lluita contra la suplantació d’identitat estan en ordre, asseguren els experts en seguretat.
"La forma d’infecció d’estes xarxes internes procedix de l’enginyeria social i utilitza el correu electrònic", explica Rohyt Belani, CEO i cofundador de l’empresa de formació antipesca electrònica PhishMe.
"Si envies qualsevol història que siga creïble, que no siga un correu brossa de grans dimensions, la gent punxa en l’enllaç o obri l’arxiu adjunt”, explica l’expert. "I després, boom, els atacants aconseguixen el punt d’entrada que estan buscant".
Entre els casos que menciona Belani, recorda un atac molt concret, d’un sol empleat de nit, que controlava els sistemes SCADA de la seua companyia. Els pirates van investigar els antecedents del treballador per Internet i van utilitzar que tenia quatre fills per a preparar un correu electrònic fals, procedent del departament de recursos humans de l’empresa, amb una oferta d’assegurances de salut especial per a famílies nombroses. L’empleat va fer clic en un vincle del missatge infectat i la xarxa de la seua empresa es va veure infectada. "Els enginyers són molt vulnerables als atacs de pesca electrònica", assenyala Tyler Klinger, investigador de Critical Intelligence.
També menciona Belani un experiment realitzat entre diverses companyies, d’enginyers i altres perfils amb accés als sistemes SCADA, que va recollir que el 26 per cent dels atacs d'spare phishing va tindre èxit.
No obstant això, els atacs de pesca electrònica solen adreçar el correu electrònic a una destinació que normalment es troba en la xarxa informàtica de l’empresa, independent dels sistemes SCADA que normalment estan aïllats amb una “cambra d’aire”.
Este espai d’aire està dissenyat per a aïllar els sistemes SCADA de les infeccions perpetrades per mitjà d’atacs de pesca electrònica. Però, com sosté Kingler, "estes cambres d’aire són un desastre en estos dies, això és el que ens va ensenyar Stuxnet. Quan estàs en el correu electrònic d’un enginyer, en algun moment entrarà en Internet per actualitzar alguna cosa d'SCADA, i ací es produirà la contaminació encreuada”, conclou.
Els atacs de pesca electrònica contra sistemes SCADA són rars, afirma Raj Samani, vicepresident i director de tecnologia d’EMEA de McAfee. "Jo anticiparia que la majoria dels atacs de pesca electrònica contra empleats se centraran en la xarxa informàtica", reconeix.
No obstant això, també hi ha atacs contra SCADA, sobretot contra els sistemes de vigilància, més que contra el mateix sistema. “Se sol buscar com funciona i situar una porta posterior en el sistema per a utilitzar-la en el futur", reconeix. "La majoria dels sistemes SCADA no tenen cap seguretat real", sosté Jevans. "Diuen que no es connecten directament a Internet, però sempre hi ha algun tipus de connexió a Internet en alguna banda", remata.