Esto es lo que vale tu información personal para los ciberdelincuentes, y lo que hacen con ella

por Ravi Sen

Las filtraciones de datos se han vuelto comunes y cada año se roban miles de millones de registros en todo el mundo. La mayor parte de la cobertura mediática de las violaciones de datos tiende a centrarse en cómo ocurrió la violación, cuántos registros se robaron y el impacto financiero y legal del incidente para las organizaciones y las personas afectadas por la violación. Pero, ¿qué pasa con los datos que se roban durante estos incidentes?

Como investigador de ciberseguridad, realizo un seguimiento de las violaciones de datos y el mercado negro de datos robados. El destino de los datos robados depende de quién está detrás de una violación de datos y por qué han robado cierto tipo de datos. Por ejemplo, cuando los ladrones de datos están motivados para avergonzar a una persona u organización, exponer las irregularidades percibidas o mejorar la seguridad cibernética, tienden a liberar datos relevantes al dominio público.

En 2014, los piratas informáticos respaldados por Corea del Norte robaron datos de los empleados de Sony Pictures Entertainment, como números de seguro social, registros financieros e información salarial, así como correos electrónicos entre altos ejecutivos. Luego, los piratas informáticos publicaron los correos electrónicos para avergonzar a la compañía, posiblemente en represalia por publicar una comedia sobre un complot para asesinar al líder de Corea del Norte, Kim Jong Un.

A veces, cuando los gobiernos nacionales roban datos, no se revelan ni se venden. En cambio, se utiliza para el espionaje. Por ejemplo, la empresa hotelera Marriott fue víctima de una violación de datos en 2018 en la que se robaron información personal de 500 millones de huéspedes. Los sospechosos clave en este incidente fueron piratas informáticos respaldados por el gobierno chino. Una teoría es que el gobierno chino robó estos datos como parte de un esfuerzo de recopilación de inteligencia para recopilar información sobre funcionarios gubernamentales y ejecutivos corporativos de EE. UU.

Pero la mayoría de los trucos parecen estar relacionados con la venta de datos para ganar dinero.

Se trata (principalmente) del dinero

Aunque las violaciones de datos pueden ser una amenaza para la seguridad nacional, el 86% se trata de dinero y el 55% son cometidas por grupos delictivos organizados, según el informe anual de violaciones de datos de Verizon. Los datos robados a menudo terminan vendiéndose en línea en la web oscura. Por ejemplo, en 2018 los piratas informáticos ofrecieron a la venta más de 200 millones de registros que contenían información personal de personas chinas. Esto incluyó información sobre 130 millones de clientes de la cadena hotelera china Huazhu Hotels Group.

Del mismo modo, los datos robados de Target, Sally Beauty, PF Chang, Harbor Freight y Home Depot aparecieron en un conocido sitio del mercado negro en línea llamado Rescator. Si bien es fácil encontrar mercados como Rescator a través de una simple búsqueda en Google, otros mercados en la web oscura solo se pueden encontrar mediante el uso de navegadores web especiales.

Los compradores pueden adquirir los datos que les interesan. La forma más común de pagar la transacción es con bitcoins o mediante Western Union. Los precios dependen del tipo de datos, su demanda y su oferta. Por ejemplo, un gran excedente de información de identificación personal robada hizo que su precio bajara de 4 dólares estadounidenses por información sobre una persona en 2014 a 1 dólar en 2015. Los volcados de correo electrónico que contienen entre cien mil y un par de millones de direcciones de correo electrónico cuestan 10 dólares y las bases de datos de votantes de varios estados se venden por $ 100.

A dónde van los datos robados

Los compradores utilizan los datos robados de varias formas. Los números de tarjetas de crédito y los códigos de seguridad se pueden utilizar para crear tarjetas de clonación para realizar transacciones fraudulentas. Los números de seguro social, las direcciones de los hogares, los nombres completos, las fechas de nacimiento y otra información de identificación personal se pueden utilizar en el robo de identidad. Por ejemplo, el comprador puede solicitar préstamos o tarjetas de crédito a nombre de la víctima y presentar declaraciones de impuestos fraudulentas.

A veces, la información personal robada es comprada por empresas de marketing o empresas que se especializan en campañas de spam. Los compradores también pueden utilizar correos electrónicos robados en phishing y otros ataques de ingeniería social y para distribuir malware.

Los piratas informáticos se han centrado en la información personal y los datos financieros durante mucho tiempo porque son fáciles de vender. Los datos de atención médica se han convertido en una gran atracción para los ladrones de datos en los últimos años. En algunos casos, la motivación es la extorsión.

Un buen ejemplo es el robo de datos de pacientes de la firma finlandesa de práctica de psicoterapia Vastaamo. Los piratas informáticos utilizaron la información que robaron para exigir un rescate no solo de Vastaamo, sino también de sus pacientes. Enviaron correos electrónicos a los pacientes con la amenaza de exponer sus registros de salud mental a menos que las víctimas pagaran un rescate de 200 euros en bitcoins. Al menos 300 de estos registros robados se han publicado en línea, según un informe de Associated Press.

Los datos robados, incluidos diplomas médicos, licencias médicas y documentos de seguros, también se pueden utilizar para falsificar antecedentes médicos.

Como saber y que hacer

¿Qué puede hacer para minimizar el riesgo de robo de datos? El primer paso es averiguar si su información se vende en la web oscura. Puede utilizar sitios web como haveibeenpwned e IntelligenceX para ver si su correo electrónico fue parte de datos robados. También es una buena idea suscribirse a los servicios de protección contra el robo de identidad.

Si ha sido víctima de una violación de datos, puede seguir estos pasos para minimizar el impacto: Informe a las agencias de informes crediticios y otras organizaciones que recopilan datos sobre usted, como su proveedor de atención médica, compañía de seguros, bancos y compañías de tarjetas de crédito. y cambie las contraseñas de sus cuentas. También puede informar el incidente a la Comisión Federal de Comercio para obtener un plan personalizado para recuperarse del incidente.

Fuente: The Conversation US