¿Es la desinformación el malware más reciente?
La desinformación y los incidentes de ciberseguridad se han convertido en los mayores flagelos de la era digital moderna. Difícilmente pasa un día sin noticias significativas de una amenaza de desinformación maliciosa, un ataque de ransomware o algún otro incidente cibernético malicioso.
A medida que ambos tipos de amenazas aumentan y, a menudo, coexisten en las campañas de los actores de amenazas, las líneas entre los dos se vuelven borrosas. La conferencia RSA de este año contó con expertos en seguridad de la información Panel titulado «La desinformación es el nuevo malware» para trabajar las distinciones.
El moderador del panel, Ted Schlein, presidente y socio general de Ballistic Venture y socio general de Kleiner Perkins, inauguró la sesión diciendo a los panelistas: “Les dije que la información errónea es solo la última forma de malware. Yo diría que la desinformación es mucho más peligrosa para las empresas, la sociedad y las personas. Y con la desinformación, literalmente lo engañan para que descargue el objeto explotable directamente en su cerebro, y en realidad no se requiere intervención de la red.
Yoel Roth, exjefe de confianza y seguridad de Twitter y ahora miembro de política tecnológica en UC Berkeley, destacó la estrecha relación paralela entre el malware y la desinformación, y señaló que a menudo van de la mano. «La desinformación siempre ha sido una faceta de la comunicación humana», dijo. «Peor aún, parte de este contenido malicioso también se ve reforzado por un comportamiento malicioso, personas que usan tecnología para intentar entregar mensajes no auténticos que podrían causar daño».
La información errónea puede ser tan insidiosa como el malware
«Cuando consideramos los riesgos de que Twitter fuera atacado por el gobierno ruso, por ejemplo, siempre nos dimos cuenta de que habría intentos de entrar en los sistemas de Twitter y atacar a la empresa y filtrar los datos de los usuarios», dijo Roth. “Habría intentos de influir en las conversaciones en las plataformas y habría intentos de comprometer las cuentas de los usuarios de Twitter. Cada una de estas cosas tenía múltiples niveles. Y Twitter, como empresa, tenía un papel que desempeñar para abordar este comportamiento en cada uno de esos niveles”.
Roth señaló el «gran truco de Twitter de 2020», cuando personas de 20 años con motivación financiera comprometieron la cuenta de un empleado de Twitter para promover una estafa criptográfica en cuentas de alto perfil. Este incidente es un ejemplo de lo que llamó la «distinción ilusoria» entre el malware y la desinformación. «Esto tenía como objetivo que los empleados de Twitter obtuvieran acceso a los sistemas backend de Twitter para llevar a cabo actividades maliciosas que se propagarían a través de la red social. No se pueden ver estos problemas de forma aislada», dijo Roth.
«Cuando se trata de desinformación, es tan insidioso como el malware, pero diferente en el sentido de que todo sucede abiertamente», dijo Lisa Kaplan, directora ejecutiva de Alethea. “De esa manera puedes atraparlo temprano antes de que comience a tener [an] Impacto” antes de que, por ejemplo, el precio de las acciones de una empresa comience a caer. «Creo que hay muchas formas en que las organizaciones pueden mitigar de manera proactiva este tipo de escenarios».
Aparte de prepararse, no hay mucho que las organizaciones puedan hacer para detener la desinformación, razón por la cual algunas han pedido al gobierno que tome medidas. «El problema con este tipo de solución en los EE. UU. es la Primera Enmienda», dijo Cathy Gellis, abogada de Internet y defensora política. «¿No debería haber una ley para decir no a las cosas malas que pasan? Pero luego surge la Primera Enmienda porque muchas de las cosas a las que podría querer que la ley diga que no son cosas que la ley no puede decir que no porque la Primera Enmienda protege la libertad de expresión”, dijo Gellis.
Si bien es problemática, la información errónea no es malware
Algunos profesionales que estudian ampliamente la defensa contra amenazas cibernéticas creen que combatir el malware y combatir la desinformación, aunque son críticos, son dos esfuerzos claramente diferentes. Aún así, los profesionales de la ciberseguridad necesitan saber cómo funciona la desinformación.
Debora Plunkett, exdirectora de la Dirección de Garantía de la Información (IAD) de la Agencia de Seguridad Nacional (NSA), desempeñó un papel en el proyecto Defending Digital Democracy del Centro Belfer de Harvard. Ella le explica a CSO que la información errónea no es malware por definición. “Ahora, si queremos decir si es como el malware, el malware está diseñado para ser destructivo o destructivo, diseñado para ser disruptivo, con la intención de causar daño, en muchos casos para obtener acceso no autorizado o hacer que alguien piense que algo así no lo es, entonces podría llegar allí».
Describiéndose a sí misma como una purista, Plunkett dice: “No estoy de acuerdo con la premisa misma de que la información errónea es el nuevo malware. No estoy de acuerdo con eso, porque cada vez que hablamos así, fulano es el nuevo fulano, digamos que el primero ya no es un problema porque tenemos este nuevo problema aquí. Y eso está muy lejos de la verdad. Ambos son importantes».
«Existen algunas similitudes entre la información errónea y el malware», dijo a CSO Ashish Jaiman, director de gestión de productos de Microsoft en Bing Multimedia y director técnico del programa Defending Democracy de Microsoft. “Algunas de las campañas de ciberseguridad se realizan a través de la ingeniería social y el phishing es una de ellas, pero existen otras vías similares a la difusión de información errónea. Entonces, la diferencia entre ellos es que la ciberseguridad es esencialmente binaria. La gente entiende lo que es una acción de ciberseguridad desde una perspectiva técnica u organizativa».
La desinformación es más oscura. “Lo que es verdadero y falso en una campaña de información es diferente de lo que es verdadero y falso en una campaña de ciberseguridad”, dice Jaiman. «Es muy difícil de entender para un profesional de la tecnología o la ciberseguridad».
Aún así, las organizaciones pueden aportar habilidades y técnicas de ciberseguridad al espacio de defensa de la información. «Hemos dedicado mucho tiempo a desarrollar nuestras herramientas para usar tecnologías como la IA para detener un ataque antes de que se propague», dice Jaiman. «Luego, incluso si se lleva a cabo, hemos dedicado mucho tiempo a enseñar a las personas a identificar, o al menos estar conscientes, de este tipo de ataques».
Una herramienta que las organizaciones pueden tomar prestada de la ciberseguridad para combatir la desinformación es el intercambio de señales, lo que, según Jaiman, los profesionales de la ciberseguridad ya están haciendo en relación con los escenarios de explotación y abuso infantil. «A nivel macro, si está pensando en crear y eliminar ese tipo de señal es similar al phishing, donde intercambiamos señales de ciberseguridad, eliminamos contenido, etc.».
Se necesitan soluciones integradas y concienciación sobre la desinformación
Si bien la información errónea no es malware, las dos enfermedades a menudo coinciden, lo que requiere que los profesionales de ciberseguridad sean conscientes de las amenazas que plantea la información errónea y adopten un enfoque integrado en todas las organizaciones. «Si está planeando respuestas y defensas hostiles que están alineadas con la forma en que está configurada su organización y las diferencias entre su personal de comunicaciones y su personal de confianza y seguridad y su personal de seguridad, ya ha fallado», dijo Roth.
Plunkett cree que no se debe exigir al personal de ciberseguridad que aborde la bandera de la desinformación, ya que requiere un conocimiento profundo de todos los problemas que entran en juego. Pero: «Creo que las personas responsables del malware tradicional y la ciberseguridad deben ser conscientes de esto», dice. «Es información adicional que debe conocer y comprender que existe y podría usarse para resolver el problema de ciberseguridad en el que está trabajando».
Kaplan dijo que la información errónea es un «riesgo compartido» que requiere un enfoque organizacional más amplio. “Por lo general, vemos que las comunicaciones y la seguridad trabajan juntas por este motivo. Los asuntos legales y gubernamentales también se discuten a menudo. Esa suele ser la combinación adecuada. Hay una serie de partes diferentes del organigrama que interesan al adversario”. Pocas de las cuales representan la respuesta real a un incidente.
Derechos de autor © 2023 IDG Communications, Inc.
Nos llegó este contenido de ciberseguridad de: CSO Online
Llegarás a la noticia original en el enlace que sigue: https://www.csoonline.com/article/3695014/is-misinformation-the-newest-malware.html#tk.rss_news
