¿Es el hackear efectivo o simplemente rasca una picazón evolutiva?

La retribución por pirateo puede hacer que se sienta mejor, pero los expertos instan a tener precaución y explican por qué es una mala idea.

Imagen: xijian / Getty Images

A lo largo de la historia, los actos de venganza, represalia, retribución y reciprocidad se han utilizado para disuadir de que un supuesto malhechor cometa nuevos actos. Michael McCullough, profesor de psicología en la Universidad de Miami, sugirió a Jennifer Breheny Wallace en su artículo del Washington Post Por qué desquitarse puede hacerte sentir peor a largo plazo, hay otra razón para la venganza: “Los actos de venganza también actúan como una póliza de seguro contra daños futuros por parte de terceros, una señal de advertencia de que eres alguien que no tolerará el maltrato “.

VER: Política de respuesta a incidentes de seguridad (TechRepublic Premium)

Ninguno de nosotros quiere ser visto como un objetivo fácil, pero ¿son las represalias una buena idea?

En el ámbito de la tecnología, algunas víctimas de ciberataques quieren vengarse pirateando a sus piratas informáticos, también conocido como pirateo.

¿Qué es hack back?

Jen Ellis, en su artículo de Rapid7 Hack Back Is Still Wack, ofrece una de las mejores definiciones de hack back: “Cuando decimos ‘hack back’, nos referimos a organizaciones no gubernamentales que toman acciones intrusivas contra ciberatacantes en activos técnicos o sistemas que no son propiedad ni están arrendados por la persona que realiza la acción o su cliente. Esto generalmente es ilegal en países que tienen leyes contra la piratería “.

El término hack back está apareciendo en la arena política y en los medios tecnológicos. Algunos políticos estadounidenses están tratando de aprobar una legislación que permita a las organizaciones del sector privado contraatacar. Los senadores estadounidenses Steve Daines (R-Montana) y Sheldon Whitehouse (D-Rhode Island) presentaron un proyecto de ley reciente. La introducción de la propuesta: “Requerir al Secretario de Seguridad Nacional que estudie las posibles consecuencias y beneficios de enmendar la Ley de Abuso y Fraude Informático para permitir que las empresas privadas tomen acciones proporcionales en respuesta a una violación ilegal de la red”.

La propuesta también dice que la legislación estaría sujeta a la supervisión y regulación de una agencia federal designada.

Por qué queremos venganza

Hay un atractivo para hackear. “A menudo, los ciberdelincuentes no temen sufrir represalias ni ser procesados ​​debido a la existencia de países de refugio seguro que no pueden o no quieren tomar medidas enérgicas contra sus actividades”, dijo Ellis. “La balanza se siente firmemente apilada a favor de los ciberdelincuentes, y es comprensible que las organizaciones quieran cambiar ese equilibrio y dar a los atacantes motivos para pensar de nuevo antes de atacarlos”.

Paul Zimski, vicepresidente de producto de Automox, en su artículo de Help Net Security, Por qué las empresas nunca deberían piratear y durante una conversación reciente por correo electrónico, dijo que está de acuerdo con Ellis en que piratear es una respuesta comprensible. “Es parte de la naturaleza humana querer justicia cuando te han hecho daño”, dijo Zimski. “El mero acto de pensar en la venganza desencadena una respuesta en los centros de recompensa de nuestro (cerebro)”.

Los peligros de piratear

Zimski advirtió que lanzar ciberataques contra los ciberdelincuentes conlleva un riesgo enorme. “Desde apuntar inadvertidamente a dispositivos de transeúntes inocentes hasta intensificar un conflicto cibernético, muchas cosas pueden salir mal”, dijo, “y la atribución es muy difícil de lograr, especialmente cuando se trata de adversarios avanzados o altamente sofisticados”.

Según Zimski, incluso las organizaciones con recursos importantes encontrarán difícil o incluso imposible atribuir las actividades del ciberdelito con éxito y precisión. Zimski agregó: “Intentar piratear a un adversario podría tener implicaciones geopolíticas que van más allá del alcance de la empresa individual y aumentan la posibilidad de operaciones de bandera falsa”.

Además, estos ataques serán puramente de represalia, es decir:

  • Las posibilidades de recuperar los datos son escasas, por lo que hay poco que ganar
  • Las represalias abiertas solo normalizarán y racionalizarán la actividad de los malos actores, lo que conducirá a una escalada

Ejemplos de piratería que terminan mal

Los intentos de pirateo no suelen recibir publicidad; existe un gran riesgo al hacerlo. Dicho esto, Zimski ofreció los siguientes dos ejemplos.

  • Blue Security: una empresa ahora desaparecida que fabricó tecnología para luchar contra los spammers, pero que finalmente cedió a ciberataques y presiones abrumadoras.
  • Shawn Carpenter: un caso famoso que involucró ciberespionaje contra actores extranjeros. Carpenter rastreó a un grupo de hackers chinos llamado Titan Rain que estaba robando datos militares y científicos confidenciales. Carpenter alertó al Ejército de los Estados Unidos y al FBI contra las órdenes de su empresa y luego fue despedido por hacerlo.

Qué deberían hacer las empresas en lugar de piratear

En lugar de pasar a la ofensiva, Zimski sugirió que las organizaciones mejoren sus capacidades defensivas. “Invertir en una defensa cibernética proactiva es un uso mucho mejor de los recursos críticos de operaciones de seguridad y TI de una organización”, dijo.

Además de invertir en una defensa cibernética proactiva, mejorar la higiene cibernética a través de parches y procesos de configuración es la forma más eficaz de reducir el riesgo y la exposición a los atacantes, y debe hacerse rápidamente. “Los ciberdelincuentes pueden explotar las vulnerabilidades en sólo siete días, por lo que las organizaciones deben buscar y remediar activamente estas vulnerabilidades”, dijo Zimski. “Adoptar un umbral de 24/72 puede ser una buena manera de mantener la urgencia, lo que significa solucionar las vulnerabilidades de día cero en 24 horas y las vulnerabilidades críticas en 72 horas”.

Siempre realista, Zimski dijo que cree que la conversación sobre los piratas informáticos debe centrarse en los resultados que brindan a las organizaciones de víctimas. Esa conversación debe analizar las trampas en torno a la atribución y el posible daño colateral que podría ocurrir por la piratería. Luego pregúntese, dijo Zimski: “¿Realiza empíricamente algo para una organización victimizada, o simplemente rasca una picazón evolutiva?”

Ver también

Leave a Comment