Se multiplican los ataques mediante vulnerabilidades desconocidas

Cualquiera que de un ojo a los medios de comunicación, y especialmente a los que estamos especializados en tecnología, podría pensar que hablar sobre seguridad se ha puesto de moda, y que esa es la razón por la que, de una u otra manera, tratamos el tema a diario. Lo cierto, sin embargo, es que las amenazas a las que se enfrenta cualquier sistema no han dejado de crecer, tanto cuantitativa como cualitativamente, pues las posibilidades de obtener réditos económicos de dichos ataques se ha convertido en la principal motivación para muchos ciberdelincuentes.

La última prueba de ello es un informe publicado por Symantec del que se hace eco la Agencia Reuters, y que afirma que en 2015 el número de agujeros de seguridad no identificados empleados por estos delincuentes en 2015 se multiplicó por más de dos con respecto al año anterior. En 2015 se detectaron ataques que explotaban 54 vulnerabilidades desconocidas hasta el momento, con respecto a las 24 que se emplearon en 2014.

¿Qué significa esto?

Sin duda que el nivel tanto de las personas dedicadas al cibercrimen, como la sofisticación de las técnicas empleadas por los mismos crece de manera alarmante. Es sabido que aunque la mayoría de los desarrolladores de aplicaciones y servicios hacen un esfuerzo importante por lograr que sus productos sean seguros, en muchas ocasiones se producen fallos que, explotados con aviesas intenciones, permiten a los delincuentes llevar a cabo «su trabajo». Por eso, tradicionalmente ha existido la convención de que, cuando alguien detectaba un fallo de seguridad, informaba exclusivamente a la empresa responsable del producto afectado, para que ésta pudiera subsanar el problema lo antes posible mediante una actualización. Y, de hacerse público el problema, esto ocurría cuando ya era posible actualizar a una versión en la que éste ya estaba subsanado.

Sin embargo, los profesionales y las mafias dedicadas al cibercrimen han centrado buena parte de sus esfuerzos en detectar esos problemas de seguridad que, hasta el momento no han sido descubiertos por nadie más. Y, claro, una vez que los encuentran llega el momento de explotarlos de cara a los fines que persiguen, con la impunidad que les proporciona el saber que solo ellos (o algún otro delincuente que ha encontrado ese mismo agujero en todo caso), saben de la existencia de esa «puerta».

Y el principal problema es que, aunque lo de fallos de seguridad desconocidos pueda sonar particularmente exótico, en realidad es que estos se producen de una manera mucho más habitual de lo que piensa la mayoría, y con los conocimientos y los medios adecuados no son tan difíciles de encontrar, como ya hemos podido comprobar en algunas competiciones de seguridad como la reciente Pwn2Own, donde en sólo un día varios equipos fueron capaces de encontrar varios agujeros desconocidos hasta entonces.

Imagen: Fake Hack Screen, de Creative Film