Desde el año 2019, el informe de Verizon DBIR ha destacado que lo único seguro sobre la seguridad de la información es que nada es seguro. Incluso con todos los datos disponibles, no se puede conocer con certeza absoluta.
En lugar de abandonar el análisis o inventar suposiciones en un entorno de poca información, el informe muestra cómo manejar la incertidumbre mediante algunas cifras y categorías del mismo. Estas categorías se basan en el framework Vocabulary for Event Recording and Incident Sharing (VERIS), un marco que permite una recopilación coherente e inequívoca de detalles sobre incidentes de seguridad.
En el marco VERIS, las categorías principales para describir un incidente se denominan 4A: Actor (quién), Acción (cómo), Activo (dónde) y Atributo (qué). Un incidente necesita que estos cuatro elementos estén «completos», incluso si algunos de ellos son desconocidos para las partes que investigan el incidente.
- Actor de amenazas: ¿Quién está detrás del evento? Puede ser un actor externo, como un grupo criminal organizado, o un empleado que deja documentos confidenciales en su asiento.
- Acción de amenaza: ¿Qué tácticas se usaron para afectar un activo? VERIS utiliza siete categorías principales: malware, hacking, social, uso indebido, físico, error y ambiental.
- Variedad: enumeraciones más específicas de las categorías de nivel superior, como clasificar al «chico malo» externo como un grupo criminal organizado o registrar una acción de hacking como inyección SQL o fuerza bruta.
Los incidentes analizados en el informe ocurrieron entre el 1 de noviembre de 2021 y el 31 de octubre de 2022. El número de casos de 2022 es el enfoque principal del informe, aunque se hace referencia a toda la gama de datos, especialmente en los gráficos de tendencias.
El conjunto de datos de Verizon actualmente contiene 953.894 incidentes, de los cuales 254.968 son brechas confirmadas.
- Incidente: un evento de seguridad que compromete la integridad, confidencialidad o disponibilidad de un activo de información.
- Brecha: un incidente que da como resultado la divulgación confirmada de datos a una parte no autorizada. Un ataque de denegación de servicio distribuido (DDoS), por ejemplo, suele ser un incidente más que una brecha, ya que no se extraen datos.
Resumen de hallazgos
- Los ataques de ingeniería social son muy efectivos y lucrativos para los ciberdelincuentes. Los ataques Business Email Compromise (BEC), que en esencia son ataques de pretexto, casi se han duplicado dentro del conjunto de datos de incidentes. Ahora representan más del 50% de los incidentes dentro del patrón de ingeniería social.
- El 74% de todas las brechas incluyen el elemento humano, con personas involucradas ya sea por error, uso indebido de privilegios, uso de credenciales robadas o ingeniería social.
- El 83% de las brechas involucraron a actores externos, y la principal motivación de los ataques sigue siendo abrumadoramente económica, en el 95% de las brechas.
- Las tres formas principales en que los atacantes acceden a una organización son: robo de credenciales, phishing y explotación de vulnerabilidades.
Más del 32% de toda la actividad de escaneo de la vulnerabilidad Log4j (CVE-2021-44228) en el transcurso de diciembre 2021 y enero 2022 ocurrió dentro de los 30 días posteriores a su descubrimiento, con el mayor pico de actividad dentro de los 17 días.
Fuente: Informe completo Verizon DBIR