Si manejas una Pyme, necesitas una página web: es el lugar donde los clientes pueden encontrar respuestas a sus dudas y descubrir todo lo que ofreces. Y si quieres otorgarles una buena experiencia, es importante que conozcas las amenazas informáticas que puedes encontrar en internet y qué tipo de mantenimiento deberías llevar a cabo.
El mantenimiento de una página web abarca todas las actividades que debes realizar para garantizar que se mantenga actualizada y en funcionamiento. Una de las acciones más importantes –a la que muchas personas no prestan suficiente atención– es la seguridad web.
Según datos de Kaspersky, en América Latina se registran 45 ataques por segundo y un tercio de los ataques de malware que reciben las Pymes utlizan “agujeros” o brechas en el protocolo de comunicación SMB “...que se utiliza, por ejemplo en la comunicación de una computadora- servidor, impresoras de red y otros”.
Los datos de Kaspersky y otros especialistas demuestran que tanto las personas como las empresas necesitan adoptar una cultura de ciberseguridad, tomando consciencia sobre la importancia de manejar y proteger la información confidencial.
Afortunadamente, no requieres un gran presupuesto para proteger adecuadamente tu web contra amenazas informáticas, pero sí debes adoptar un enfoque proactivo para comprobar la seguridad de tu sitio e implementar medidas preventivas, por ejemplo implementando un certificado de seguridad o haciendo copias de seguridad frecuentes.
Pero bueno, adentrémonos en el tema de amenazas y ataques web...
7 amenazas informáticas comunes
Aunque la ciberseguridad cubre un amplio repertorio de ataques y soluciones, estas son las siete amenazas informáticas más comunes:
- Malware.
- Inyección SQL.
- Cross-Site Scripting (XSS).
- Intercepción.
- Ataques de contraseñas.
- Ataque DDoS.
- Configuración de seguridad incorrecta.
1. Malware
El malware es un software creado con fines maliciosos, diseñado para infectar y dañar un sistema. Es un término amplio, así que abarca vulnerabilidades que van desde los virus informáticos hasta el adware que puede infectar tanto a las computadoras como a las páginas web. Desafortunadamente, una web atacada por malware expone datos confidenciales, incluyendo la información de tus clientes.
Los ataques de malware pueden ser muy perjudiciales para las empresas, especialmente para aquellas que no son capaces de reconocerlos.
Para poner en contexto la magnitud de esta situación, te compartimos un dato revelante: 60% de las páginas que sufrieron ataques cibernéticos se infectaron con malware (solo en el primer trimestre de 2018), de acuerdo con el reporte de ciberseguridad de GoDaddy.
Dos de los tipos más comunes son:
- Defacement: este tipo de malware cambia la apariencia de un sitio web. Usualmente, la página muestra un mensaje que contiene el nombre del hacker.
- Redirección maliciosa: en esta situación, cuando los usuarios acceden a tu web, se les redirige a otra página que contiene contenido malicioso. Esto puede hacer que ciertas páginas, o incluso toda la web, sean inaccesibles para los usuarios.
En este sentido, la solución de Seguridad de página web de GoDaddy tiene varias opciones para mantener tu web segura, incluyendo el análisis, la prevención y la eliminación de malware. Esta herramienta es ideal para propietarios de pequeñas empresas que no tienen el tiempo ni los recursos tecnológicos necesarios para proteger adecuadamente sus páginas contra amenazas en internet.
2. Inyección SQL
Las vulnerabilidades suelen ocurrir cuando una página contiene un fallo de seguridad en el código que permite que las personas con intenciones maliciosas ataquen o consigan el control. Esto es comúnmente causado por problemas en plugins de WordPress desactualizados u otras herramientas utilizadas en el sitio.
La inyección SQL es un tipo de ciberataque que involucra declaraciones SQL maliciosas o códigos de aplicación que se inyectan en los campos de entrada del usuario. Este proceso permite a los atacantes obtener acceso al backend de la web o al contenido corrupto de la base de datos.
Si el ataque se completa con éxito pueden robar, modificar o eliminar información de los clientes, o incluso conseguir un control absoluto de la página web.
Esta es una de las amenazas informáticas más extendidas en el mundo. De hecho, hace varios años entró en los diez riesgos de seguridad más críticos en aplicaciones web, enlistados por la fundación OWASP.
Pero un firewall de aplicaciones web (WAF) puede proteger tu web contra ataques de inyección SQL. Éste es un servicio de firewall basado en la nube que depura y protege el tráfico web en tiempo real contra amenazas como ataques de inyección SQL y spammers, a la vez que evita los ataques DDoS.
3. Cross-site scripting (XSS)
A diferencia de la Inyección SQL, este tipo de vulnerabilidad informática –también denominada XSS– ocurre cuando las líneas de código JavaScript malicioso se inyectan en una página para dirigirse a los usuarios de dicha web, manipulando scripts del lado del cliente.
Estos scripts secuestran las sesiones de los usuarios a través de la barra de búsqueda de una página web o los comentarios (a través del backend). Esto puede alterar la web y redirigir a los usuarios a otras páginas maliciosas que pueden manifestarse como páginas aparentemente de apariencia normal, pero que en realidad pueden robar su información.
4. Intercepción
Un ataque por intercepción ocurre cuando un hacker captura datos que los usuarios envían a una página web, y luego los utiliza para su propio beneficio. Puede ser información de contacto o datos sensibles como su dirección o su número de tarjeta de crédito. Los ciberdelincuentes luego venden estos datos o hacen sus propias compras con ellos.
Entre muchos ejemplos disponibles, existe uno de un grupo de ciberdelincuentes que hackeó en Bélgica a varias empresas europeas en 2015 para acceder a datos financieros confidenciales. ¡Robaron 6 millones de euros como resultado de estas actividades criminales!
Por estas razones, es importante instalar en tu web un certificado de seguridad para proteger los datos confidenciales.
Un certificado SSL encripta las conexiones entre el navegador del visitante y el servidor web, para establecer una sesión segura. Esto protege a los compradores de ataques cibernéticos como el de intercepción.
Entonces, ¿tu web necesita un certificado SSL aunque no vendas online? La respuesta es sí.
5. Ataques de contraseña
Algunos hackers adivinan contraseñas o usan herramientas/programas para probar diferentes combinaciones hasta que las encuentran.
En algunos casos, el registro de teclas también se usa para conseguir el acceso a cuentas de usuario. ¿Cómo? El registro de teclas reconoce cada golpe de teclado realizado por un usuario, entonces los resultados se les comunican a los hackers que inicialmente instalaron estos programas.
¡Ojo! Ten cuidado cuando uses computadoras y redes WiFi públicas.
Muchos portales web carecen de contraseñas seguras, lo cual facilita muchísimo los intentos de iniciar sesión para los hackers. Estas son algunas formas de proteger tu página web:
- Solicita una combinación segura y única de contraseñas.
- Pídeles a los usuarios que cambien regularmente sus contraseñas.
- Requiere autenticación de dos pasos para confirmar el acceso del usuario.
- Nunca dejes “admin” como tu nombre de usuario en WordPress.
6. Ataque DDoS
Un ataque de denegación de servicio distribuido (DDoS) ocurre cuando un servidor web recibe mucho tráfico o solicita que se sobrecargue o inunde el sistema.
Se trata de tráfico falso que proviene de equipos controlados por atacantes, a menudo llamados botnets. Básicamente, un botnet es una red de computadoras hackeadas, conectadas a internet, que ejecutan uno o más bots.
Cuando el servidor web se sobrecarga por el tráfico o las solicitudes que recibe, el sitio web tiene problemas para cargar o simplemente no carga. Con la fuerza suficiente detrás de estos ataques, el servidor de la web puede bloquearse, desactivando completamente a la página web.
Si crees que este tipo de ataque nunca podría afecta a tu sitio web, te compartimos que Kaspersky Lab informó en 2017 que 33% de las Pymes fueron atacadas por DDoS.
¿La moraleja? ¡Los ataques DDoS pueden afectar a cualquiera!
Afortunadamente, prevenir los ataques DDoS no tiene que ser complicado. Por ejemplo, si contratas un plan de protección de seguridad seguridad y un firewall de aplicaciones web, puedes olvidarte de este tipo de amenazas informáticas porque te ayudarán a prevenirlo.
7. Configuración de seguridad incorrecta
Este ataque ocurre cuando las configuraciones de seguridad tienen ‘agujeros’ de seguridad que pueden conducir a varias vulnerabilidades. Frecuentemente, esto ocurre debido a la falta de un mantenimiento adecuado o una configuración inadecuada de la aplicación web.
Una configuración de seguridad incorrecta permite a los piratas informáticos acceder a datos privados o funciones de la página web que pueden comprometer completamente el sistema. En estas situaciones, los datos también pueden ser robados o modificados.
Las amenazas informáticas surgen cuando las configuraciones son predeterminadamente inseguras. Dejar tu configuración como predeterminada facilita que los hackers puedan acceder al backend de tu web.
Otra moraleja: nunca guardes la configuración de seguridad predeterminada de tu página web; dedica tiempo a personalizarla y configurarla según tus necesidades.
¿Cómo prevenir las amenazas informáticas en tu empresa?
Ya saben qué es una amenaza informática y qué puede hacerles, pero quizás no tengan del todo claro aún que la mejor forma de hacerles frente es evitando que ocurran. La prevención se convierte así en la herramienta más eficaz contra los ciberataques, ¡por eso vamos a mostrarles algunos de los métodos más efectivos a la hora de proteger sus pymes de este tipo de peligros!
Educa a tu equipo sobre ciberseguridad
Sus empleados son la primera línea de defensa contra los ciberataques, por eso son los primeros que deben saber identificar cuáles son las amenazas informáticas que pueden atentar contra sus intereses. Es imprescindible que entiendan los riesgos a los que están expuestos, cómo afectan a la empresa para la que trabajan y, lo más importante de todo, ¡cómo pueden evitarlos!
La formación en ciberseguridad no solo proporciona las habilidades necesarias para identificar y prevenir ataques, también fomenta una cultura de seguridad en todos los estamentos de la compañía. Capacitar a los empleados, por tanto, reduce los riesgos de sufrir ataques informáticos, ya que ellos suelen ser el objetivo principal de los ciberdelincuentes, la puerta por la que acceder a infinidad de datos privados y sensibles.
Aquí tienen algunos ejemplos de amenazas de seguridad informática que pueden prevenirse con la formación adecuada:
- Phishing: Correos electrónicos fraudulentos que buscan obtener información confidencial engañando a sus receptores, que pueden pensar que provienen de fuentes autorizadas.
- Ingeniería social: Técnicas que manipulan a las personas para que revelen datos sensibles.
- Malware: Programas informáticos maliciosos que pueden infectar los sistemas a través de descargas que suelen pasar inadvertidas.
Concienciar a su equipo de trabajo sobre estas amenazas y enseñarle a reconocer señales de alerta les mantendrá alejados de estos tipos de amenaza informática. ¡Aunque les recomendamos explorar opciones de seguridad para páginas web de calidad que les cubran las espaldas en caso de necesidad!
Realiza auditorías regulares de seguridad
Instalar medidas de seguridad contra amenazas de seguridad solo es el primer paso, ¡luego es fundamental ponerlas a prueba cada cierto tiempo para asegurarse de su eficacia!
Las auditorías de seguridad informática permiten identificar posibles vulnerabilidades y garantizar que los sistemas de defensa estén actualizados frente a las amenazas en constante evolución. Detectar y subsanar posibles brechas de seguridad antes de que ocurran es indispensable para que no terminen haciéndolo hackers con malas intenciones antes.
Ahora bien, dado que los ciberdelincuentes desarrollan nuevas tácticas sin descanso, es importante que las auditorías sean realizadas por personal especializado que pueda identificar y corregir debilidades en los sistemas. Además, estos análisis recurrentes aseguran el cumplimiento de las normativas vigentes y fortalecen la confianza de clientes y socios comerciales ya que demuestran un compromiso proactivo con la protección de la información que gestiona la pyme.
Utiliza contraseñas seguras y autenticación multifactor
Proteger todas las vías de acceso a la información básica para la actividad de una empresa y el bienestar de sus clientes es esencial, y dos buenas medidas para hacerlo son el uso de contraseñas seguras y la implementación de la autenticación multifactor (MFA).
- Contraseñas seguras: Para ser realmente robusta, una contraseña debe tener al menos 12 caracteres e incluir una combinación de letras mayúsculas, minúsculas, números y símbolos, evitando utilizar información personal o combinaciones obvias, como ‘1234’ o ‘password’. Además, es aconsejable no utilizar las mismas contraseñas para diferentes cuentas porque, si una se ve comprometida, las demás también estarán en riesgo. ¿Y si necesitan gestionar un gran número de contraseñas de forma eficiente y segura? En ese caso les recomendamos recurrir a gestores de contraseñas que almacenen sus credenciales de forma cifrada y accesible mediante una contraseña maestra.
- Autenticación multifactor (MFA): La MFA añade un nivel extra de seguridad al solicitar más de un método de verificación para acceder a una cuenta. Es decir, no hay que introducir únicamente una contraseña, sino también cumplir con requisitos como los que describimos a continuación:
- Algo que saben, como una contraseña o PIN.
- Algo que tienen, como un dispositivo móvil que recibe un código de verificación o una llave de seguridad física.
- Algo que son, como datos biométricos, siendo muy habituales las huellas dactilares y el reconocimiento facial.
Lo mejor es que implementar tecnología MFA en su empresa es sencillo. Tienen que identificar las aplicaciones y sistemas que requieren protección, determinar qué métodos de autenticación son más adecuados para su pyme y educar a sus empleados para que comprendan la importancia de estas medidas y sepan cómo utilizarlas correctamente. ¡Así de fácil!
Reflexiones finales sobre las amenazas informáticas
Dedicar tiempo a conocer las vulnerabilidades más comunes en materia de seguridad web es un primer paso –muy importante– para defender la página web de tu empresa. El segundo paso es tomar medidas, realizar cambios e instalar un software para proteger tus datos y los de tus clientes.
Continúa explorando más sobre el tema en nuestro artículo “8 medidas de seguridad para tener un sitio web protegido”.
*Artículo publicado originalmente por Maddy Osman en GoDaddy España
