El 22 de diciembre de 2022, la empresa de gestión de contraseñas LastPass anunció
que un actor malicioso desconocido había aprovechado la información obtenida durante un incidente de seguridad ocurrido en agosto de 2022 para acceder a un servicio de almacenamiento en la nube de terceros que LastPass utiliza para almacenar copias de seguridad archivadas. Aunque LastPass afirma que la amenaza es mínima gracias a sus métodos de cifrado de datos, los atacantes podrían haber tenido acceso a:
- Información de la cuenta del cliente y metadatos relacionados, incluidos nombres de empresas, nombres de usuarios finales, direcciones de facturación, direcciones de correo electrónico, números de teléfono y las direcciones IP desde las que los clientes accedían al servicio LastPass; y
- Datos sin cifrar, como direcciones URL de sitios web, así como campos confidenciales totalmente cifrados, como nombres de usuario y contraseñas de sitios web, notas seguras y datos rellenados en formularios.
Como consecuencia de la filtración, LastPass recomienda a sus clientes que extremen las precauciones y cambien sus contraseñas maestras para evitar posibles riesgos posteriores, como un ataque de relleno de credenciales.
Este incidente es otro ejemplo más de cómo las organizaciones pueden verse afectadas por una violación de seguridad de un proveedor externo y por los acontecimientos que se producen en su ecosistema de cuartos proveedores. En esta publicación se analizan tres prácticas para mejorar la detección y mitigación de los incidentes de seguridad de los proveedores, y se ofrecen algunas preguntas básicas para sondear a los proveedores sobre su exposición a la última violación de datos de LastPass.
Tres prácticas recomendadas para mitigar las violaciones de datos de proveedores externos
Aunque no es posible eliminar todos los riesgos de todas las relaciones con los proveedores, su programa de gestión de riesgos de terceros puede ofrecer la visibilidad y la automatización necesarias para detectar y mitigar eficazmente los riesgos antes de que se produzcan daños o interrupciones adicionales en su negocio. Comience con estos tres pasos:
1. Identificar a los proveedores que podrían estar utilizando la tecnología afectada.
Para saber qué proveedores utilizan una tecnología afectada, primero hay que saber quiénes son sus proveedores, lo que significa crear un inventario centralizado de proveedores. Esto no se puede lograr utilizando hojas de cálculo o delegando la gestión de proveedores a los equipos de línea de negocio. Debe hacerse de forma centralizada en un sistema al que puedan acceder todas las personas de la organización que participan en la gestión de proveedores. Debería poder importar proveedores desde esas hojas de cálculo o utilizar una conexión API a una solución de compras existente en un sistema central de registro.
Una vez que haya centralizado todos sus proveedores, utilice cuestionarios para proveedores respaldados por capacidades de escaneo pasivo que le ayudarán a identificar las relaciones tecnológicas con terceros. En este caso concreto de violación de datos, este ejercicio revelaría qué proveedores utilizan LastPass (y, por extensión, el proveedor externo de copias de seguridad en la nube que sufrió la violación). Recopilar información sobre las tecnologías de terceros implementadas en su ecosistema de proveedores ayuda a identificar con precisión las organizaciones que utilizan la tecnología afectada, lo que le permite priorizar los proveedores para evaluarlos más a fondo.
2. Emitir evaluaciones de riesgos específicas para cada evento.
Una vez que haya identificado a los proveedores que tienen la tecnología afectada implementada en sus entornos, involucre a esos proveedores afectados con evaluaciones sencillas y específicas que se ajusten a las normas de seguridad y las mejores prácticas conocidas, como NIST 800-161
e ISO 27036. Los resultados de estas evaluaciones le ayudarán a identificar las medidas correctivas necesarias para cerrar las posibles brechas de seguridad. Las buenas soluciones proporcionarán recomendaciones integradas para acelerar el proceso de corrección y cerrar esas brechas más rápidamente.
Comience su evaluación específica del evento con las siguientes ocho preguntas, ponderando las respuestas según la tolerancia al riesgo de su organización:
| Preguntas | Opciones de respuesta |
|---|---|
| 1) ¿Tu organización utiliza LastPass? | Seleccione una de las siguientes opciones:
a) Sí b) No |
| 2) Si la organización utiliza LastPass, ¿se han visto comprometidas las contraseñas maestras o las contraseñas almacenadas de los usuarios como parte de esta violación? | Seleccione una de las siguientes opciones:
a) Sí b) No hemos determinado si se ha producido una violación de las contraseñas maestras y almacenadas. c) No |
| 3) ¿Ha exigido la organización a los usuarios que cambien sus contraseñas maestras y las contraseñas almacenadas de las aplicaciones? | Seleccione una de las siguientes opciones:
a) Sí b) No |
| 4) ¿Cuál es la naturaleza del impacto que este ciberataque tiene en la organización?
Texto de ayuda: Se debe tener en cuenta dónde se ha producido el impacto, además del nivel de impacto. Impacto significativo: La vulnerabilidad ha provocado una pérdida de confidencialidad o integridad de los datos. Alto impacto: se ha perdido periódicamente la disponibilidad del sistema y se ha producido cierta pérdida de confidencialidad o integridad de los datos. Bajo impacto: sin pérdida de confidencialidad o integridad de los datos; interrupción mínima o nula de la disponibilidad del sistema. |
Seleccione una de las siguientes opciones:
a) Se ha producido un impacto significativo en nuestros sistemas o aplicaciones críticos. b) Existe un alto nivel de impacto en nuestros sistemas o aplicaciones críticos. c) El impacto en nuestros sistemas o aplicaciones críticos ha sido mínimo. d) El ciberataque no ha tenido ningún impacto en nuestros sistemas o aplicaciones críticos. |
| 5) ¿Se han implementado controles basados en las mejores prácticas para mitigar los daños causados por esta infracción?
Texto de ayuda: LastPass recomienda los siguientes pasos: 1. Cierre inmediatamente todas las sesiones activas de LastPass. |
Seleccione todas las opciones que correspondan:
a) Hemos aplicado cambios en las contraseñas maestras. b) Hemos actualizado las direcciones de correo electrónico de nuestras cuentas de LastPass. c) Hemos revisado el historial de nuestra cuenta en busca de actividades de inicio de sesión sospechosas. d) Hemos restringido nuestra cuenta solo a dispositivos de confianza. e) Hemos restringido nuestra cuenta solo a ubicaciones de confianza. |
| 6) ¿Afecta el compromiso a los servicios críticos prestados al cliente? | Seleccione una de las siguientes opciones:
a) Sí b) No |
| 7) ¿Cuenta la organización con un plan de investigación y respuesta ante incidentes? | Seleccione una de las siguientes opciones:
a) Sí, existe un plan documentado de investigación y respuesta ante incidentes. b) No, no existe un plan documentado de investigación y respuesta ante incidentes. |
| 8) ¿Quién es la persona de contacto designada para responder a preguntas adicionales? | Indique la persona de contacto clave para la gestión de la información y los incidentes de ciberseguridad.
Nombre: Título: Correo electrónico: Teléfono: |
Próximos pasos: active su programa de respuesta a incidentes de terceros.
Si se produjera un incidente de ciberseguridad en el ecosistema de sus proveedores, ¿sería su organización capaz de comprender rápidamente sus implicaciones para su negocio y activar su propio plan de respuesta a incidentes? El tiempo es fundamental en la respuesta a incidentes, por lo que ser más proactivo con un plan de respuesta a incidentes definido acortará el tiempo necesario para descubrir y mitigar los posibles problemas de los proveedores. Un plan de respuesta a incidentes de terceros más programático podría incluir:
- Una base de datos gestionada de forma centralizada que recoge los proveedores y las tecnologías en las que se basan.
- Evaluaciones preestablecidas de resiliencia, continuidad y seguridad empresarial para medir la probabilidad y el impacto de un incidente.
- Puntuación y ponderación para ayudar a centrarse en los riesgos más importantes.
- Recomendaciones integradas para remediar posibles vulnerabilidades.
- Informes específicos para las partes interesadas con el fin de responder a la inevitable solicitud de la junta directiva.
Para obtener más información sobre cómo Prevalent puede ayudar a su organización a acelerar la detección y mitigación de riesgos de terceros, póngase en contacto con nosotros o solicite una demostración hoy mismo.
Nota: Estas son preguntas básicas destinadas a revelar cierta información inicial y ofrecer opciones de respuesta que pueden ayudar a evaluar el riesgo para su organización. Su organización puede optar por formular preguntas diferentes o adicionales. Los clientes habituales también tienen acceso a esta evaluación en sus bibliotecas de cuestionarios.
3. Supervisar continuamente a los proveedores afectados.
Debe estar continuamente alerta no solo ante los riesgos derivados de este ataque concreto, sino también ante el próximo ataque. Por eso debe buscar credenciales en venta y señales de un incidente de seguridad inminente mediante la supervisión continua de Internet y la web oscura mediante la supervisión cibernética continua.
Es esencial supervisar los foros criminales, las páginas onion, los foros de acceso especial de la web oscura, las fuentes de amenazas, los sitios de pegado de credenciales filtradas, las comunidades de seguridad, los repositorios de código y las bases de datos de vulnerabilidades y hackeos/violaciones. Puede supervisar estas fuentes de forma individual o buscar soluciones que unifiquen toda la información en una única solución, de modo que todos los riesgos estén centralizados y sean visibles para la empresa. Este último enfoque le permite correlacionar los resultados de la supervisión continua con las respuestas de la evaluación de riesgos para validar si los proveedores cuentan con controles adecuados.
Nota del editor: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido ha sido actualizado desde entonces para incluir información alineada con nuestra oferta de productos, cambios regulatorios y cumplimiento.
