Desde el phishing masivo personalizado hasta la intrusión en sistemas de firma de transacciones: los grupos criminales de hackers norcoreanos se han vuelto más peligrosos con el uso de la IA
Cada vez que conocemos un caso de hackeo, lo primero que comprobamos es cuánto dinero ha desaparecido. Pero lo que merece mayor atención es el cambio en los métodos de ataque. Si la inteligencia artificial (IA) está reduciendo el tiempo y el esfuerzo necesarios para preparar los ataques, los sistemas de defensa diseñados bajo la premisa de los recursos humanos y la velocidad del pasado podrían quedar inutilizados.
Según un análisis de Microsoft (MS), tres de las ocho organizaciones norcoreanas de hackers investigadas han llegado a la etapa de integrar la IA en sus tareas habituales de ataque. También se han confirmado casos de producción masiva de documentos señuelo en PDF personalizados para usuarios surcoreanos. Esto sugiere que el phishing del futuro podría presentarse como una propuesta natural adaptada al trabajo y los intereses del destinatario, en lugar de como un mensaje extraño enviado por igual a todo el mundo.
En el pasado, el phishing podía detectarse por las frases poco naturales y el formato deficiente de los correos. Ahora no debemos confiar en un mensaje únicamente porque esté bien redactado y encaje con el contexto laboral. Incluso en materiales que intercambiamos habitualmente, como propuestas de inversión, tareas de selección, solicitudes de entrevista o documentos de colaboración, es esencial adquirir el hábito de verificar por separado al remitente y la vía de entrega.
Los robos masivos de criptoactivos que se suceden casi a diario muestran el poder destructivo que puede alcanzar esta amenaza. La empresa de análisis blockchain TRM Labs concluyó recientemente que se sustrajeron aproximadamente 6.360 millones de dólares de billeteras relacionadas con Binance y que la mayoría de los movimientos de fondos se produjo durante unos 20 minutos. Señaló como responsables a la organización norcoreana de hackers «TraderTrader»
La preocupación relacionada con este hackeo es el aumento de los intentos de ataque. Si el atacante reduce el tiempo que dedica a redactar documentos y modificar código, puede contactar con más objetivos y cambiar rápidamente los intentos fallidos. Las empresas y los usuarios que se defienden deben identificar, en la misma medida, un número mucho mayor de accesos sospechosos. Independientemente de cuánto haya aumentado la tasa de éxito de los ataques, la carga de la defensa es mucho mayor que antes.
Los exchanges deben impedir que una sola intrusión se convierta en retiros masivos
Lo primero que deben revisar los exchanges y las empresas de criptoactivos es la ruta que conecta las cuentas y los dispositivos de trabajo con los permisos para mover activos. Deben diseñarse de modo que, aunque se comprometan el portátil o la cuenta de un empleado, el atacante no pueda acceder de inmediato a los sistemas críticos ni a los permisos de firma de transacciones.
Para ello, hay que separar los permisos de acceso de los entornos de desarrollo y trabajo de los del entorno de gestión de activos, y conceder a cada persona únicamente el alcance y el tiempo de acceso necesarios. Los retiros de gran cuantía y los cambios importantes de configuración deben contar con un procedimiento de aprobación independiente, y el aprobador debe poder verificar la dirección receptora real y el contenido de la transacción. Incluso una estructura en la que varias personas aprueben puede quedar expuesta a una vulnerabilidad común si depende del mismo dispositivo o de permisos de administración idénticos.
También deben gestionarse conjuntamente la cantidad de activos almacenados en las hot wallets y los límites de retiro. El objetivo de la seguridad no termina en impedir la intrusión. También incluye limitar el alcance y la cantidad de fondos que el atacante puede mover cuando se produce una intrusión.
La detección tampoco puede depender únicamente del título de un documento o de si coincide con un malware conocido. Hay que observar cambios en el comportamiento real, como accesos de administradores distintos de lo habitual, cambios repentinos de permisos, solicitudes de firma inusuales y movimientos de fondos. Cuando se active una alerta, debe estar definido de antemano quién detendrá los retiros y por qué vía se avisará a las autoridades pertinentes y a otros operadores.
La necesidad de hábitos de verificación individual y de sistemas de respuesta conjunta
Los usuarios particulares también deben elevar sus estándares de seguridad. En lugar de hacer clic en los enlaces incluidos en los mensajes procedentes de exchanges o servicios de billetera, es preferible acceder y verificar la información desde la aplicación oficial y una dirección guardada directamente. Aunque se trate de un archivo recibido por motivos laborales, si solicita un inicio de sesión o la instalación de un programa que no se esperaba, debe confirmarse la autenticidad de la solicitud mediante un canal de contacto independiente ya conocido.
Cuando se custodian directamente criptoactivos, es importante no introducir la frase de recuperación en línea ni entregársela a otra persona. Incluso al utilizar una billetera de hardware, sigue existiendo la responsabilidad de comprobar qué se está aprobando. La custodia en un exchange y la custodia directa conllevan riesgos diferentes, por lo que es necesario elegir teniendo en cuenta la propia capacidad de gestión.
La respuesta de las empresas y los gobiernos tampoco debe limitarse a las fronteras de cada organización. Hay que compartir rápidamente las direcciones y los dominios utilizados en los ataques, así como los indicios de intrusión, y mantener operativa de antemano una red de contacto de emergencia entre exchanges, empresas de seguridad y organismos de investigación. Al mismo tiempo, debe apoyarse también a los socios con escasez de personal y presupuesto de seguridad para que puedan elevar su nivel de defensa.
En una época en la que la IA acelera la preparación de los ataques, no se puede esperar que todos los usuarios tomen siempre decisiones perfectas. También son necesarios procedimientos de autenticación que ayuden a mantener la atención del usuario, estructuras de permisos que limiten el impacto de un solo error y sistemas de respuesta que permitan detenerse de inmediato al detectar señales anómalas.
Si la industria de los criptoactivos quiere preservar la confianza, no debe tratar la seguridad como una función adicional del servicio. El desafío que el sector debe afrontar a raíz de este hackeo de Binance consiste en construir una estructura capaz de proteger los activos de los usuarios incluso cuando se produzca una intrusión real, y no limitarse a advertir de lo sofisticados que se han vuelto los atacantes.