Hace unas semanas, Hugo Hermosa, corresponsal de HackerCar, me escribía para pedir mi opinión al respecto del hackeo que recientemente había sufrido el grupo Volkswagen, y que se ha saldado con la exposición de 800.000 datos (EN) tanto de geoposicionamiento como de contacto de algunos de sus clientes.
¿El culpable?
Una mala configuración en los sistemas de Cariad, la subsidiaria de software de VW, que dejó datos confidenciales almacenados en Amazon Cloud accesibles públicamente durante meses.
El riesgo de exposición de datos de geoposicionamiento
Y no hablamos de cualquier cosa. Como explico habitualmente en mis charlas y talleres, el que se expongan datos tan sensibles como son los de geoposicionamiento asociados a identificadores de personas puede suponer un problema de seguridad física para la persona, o para su familia.
Imagínate recibir de manera totalmente gratuita este tipo de historias directamente en tu correo.
Te envío cada lunes a las 7am un email con toda la actualidad sobre tecnología, seguridad y negocios digitales.En mi caso ya expliqué muchas veces cómo hace años, una filtración masiva, esta vez de un stakeholder de LinkedIn que usábamos muchos desarrolladores, expuso también datos de geoposicionamiento míos (junto con los de miles de otros profesionales).
El tema es que yo entonces trabajaba en I+D de Telefónica, pero tenía un horario híbrido, de tal manera que en esa brecha se expuso tanto mis conexiones desde Distrito C, las oficinas centrales de Telefónica en Madrid, como, y aquí está lo importante, mis conexiones desde mi casa, al trabajar algunos días por semana desde allí.
Afortunadamente ya hace muchos años que no vivo en aquella casa (he cambiado varias veces desde entonces, de hecho), pero es un ejemplo de cómo, en aquella época, si alguien realmente quisiera haberme hecho daño de verdad, podría haber analizado ese filtrado y obtener aunque sea una triangulación donde potencialmente yo estaba viviendo, para darme «un susto» en persona.
Pues esto mismo podría estar ocurriendo ahora mismo con la brecha de VW. Más teniendo en cuenta que los principales afectados son clientes de vehículos de alta gama, es decir, potencialmente perfiles sensibles a ataques futuros (directivos, personalidades públicas, diplomáticos…).
Hugo me pidió que le pasara una serie de recomendaciones para evitar que esto nos llegue a pasar a cualquiera de nuestras empresas, y estas fueron las respuestas que le di, y que acabó usando para profundizar en el tema en un reportaje para el medio.
Qué podemos hacer para evitar ser víctimas (como empresa) de este tipo de ciberataques
Una brecha de seguridad como la que ha afectado recientemente a Volkswagen pone de manifiesto la importancia de adoptar una estrategia integral de ciberseguridad, especialmente cuando se trata de proteger datos sensibles de clientes. Para minimizar el riesgo de incidentes similares, habría recomendado las siguientes acciones clave:
- Auditorías regulares de configuración en la nube: La mala configuración de los sistemas en plataformas como Amazon Cloud Services es una de las causas más comunes de brechas de seguridad. Realizar auditorías de seguridad automatizadas y manuales de forma periódica podría haber detectado configuraciones incorrectas antes de que representaran un riesgo.
- Principio de mínimo privilegio (Least Privilege): Asegurarse de que solo las personas o sistemas estrictamente necesarios tengan acceso a los datos almacenados. Esto incluye limitar los permisos de acceso a configuraciones sensibles en la nube.
- Escaneo continuo y monitoreo proactivo: Implementar herramientas de seguridad que monitoricen continuamente los sistemas en busca de configuraciones públicas o accesos no autorizados. Servicios como Amazon Macie o AWS Config son útiles para identificar datos expuestos de manera inadvertida.
- Pruebas de penetración periódicas: Contratar expertos en ciberseguridad para simular ataques y probar la robustez de los sistemas. Esto ayuda a identificar vulnerabilidades en los sistemas antes de que los atacantes puedan explotarlas.
- Gestión centralizada de incidentes: Tener en marcha un plan de respuesta a incidentes bien definido y probado que permita detectar, contener y remediar problemas de seguridad de manera eficiente.
- Capacitación y concienciación: Formar a los empleados y proveedores sobre buenas prácticas de seguridad, especialmente en el uso de servicios en la nube, para minimizar errores humanos.
- Cifrado y anonimización de datos: Los datos almacenados en la nube deberían estar cifrados, tanto en tránsito como en reposo. Adicionalmente, se debería aplicar anonimización o pseudonimización a los datos sensibles, como los de geoposicionamiento, para reducir los riesgos en caso de exposición.
- Evaluación continua de terceros y subsidiarias: Cariad, como subsidiaria encargada del software, debería haber sido sometida a controles estrictos de seguridad para garantizar que sus prácticas cumplieran con los estándares de la empresa matriz.
En última instancia, este tipo de incidentes subraya la necesidad de un enfoque holístico en ciberseguridad, que integre tecnología avanzada, buenas prácticas organizativas y un compromiso firme de toda la organización con la protección de los datos de sus clientes.
Te dejo para terminar, por aquí, el artículo que acabó publicando el medio (ES).
