Amenaces i mesures per minimitzar els atacs a correus electrònics

L’Agencia Española de Protección de Datos va publicant posts i notícies sobre les violacions de seguretat des de diferents àmbits i analitza els riscos de les plataformes de productivitat, cada cop més utilitzades a les empreses espanyoles, i cada cop més atacades pels ciberdelinqüents.

Està clar que,  actualment moltes entitats no només utilitzen el correu electrònic com a canal de comunicació interna, sino que s’estableixen plataformes de productivitat i ofimàtica al núvol com Office 365, Google Workspace, Trello, Asana, Slack, etc. Aquestes també són susceptibles de cibertatacs i cal prevenir-ho.

Quins riscos o amenaces per la privacitat existeixen?

Aquest tipus de plataformes, així com el correu electrònic ja no requereixen una instal·lació del programa a local (servidor corporatiu) sinó que podem accedir des de qualsevol dispositiu amb un navegador web i internet. Per això cal preveure amenaces com:

• Intents d’accés a plataformes corporatives per força bruta.
• Intents d’accés a través de la reutilització de les credencials a altres serveis d’internet que han estat objecte d’una bretxa de seguretat.
• Robatori de les credencials a través d’atacs d’enginyeria social com phishing, que acaben donant per resultat que l’usuari introdueixi les credencials corporatives en pàgines fraudulentes controlades pels ciber atacants.
• Exposició d’informació personal en no diferenciar les eines emprades a l’entorn laboral de l’entorn privat.

És per això, que el responsable de tractament de dades ha d’adoptar mesures de seguretat per minimitzar la probabilitat de que es puguin materialitzar aquestes amenaces.

Mesures per minimitzar les amenaces a correu i plataformes

• Escollir  solucions i prestadors de servei fiables i amb garanties parant atenció a la configuració de les opcions de seguretat i privacitat.
• Establir procediments i recomanacions d’accés a les eines corporatives en mobilitat i teletreball.
• Establir polítiques restrictives d’accés a les eines de productivitat corporatives des de dispositius no corporatius.
• Fes servir un segon factor d’autenticació: les suites d’ofimàtica online solen comptar amb la possibilitat de no només accedir amb usuari i contrasenya, sinó afegir robustesa a l’autenticació mitjançant un token, un missatge SMS o l’ús d’una app en un altre dispositiu. Això també és important activar-lo al correu electrònic.
• Emprar contrasenyes robustes mitjançant una política corporativa d’ús de les mateixes.
• Podem consultar en pàgines com aquesta si algun compte ha patit una bretxa de seguretat a altres webs per valorar si s’han exposat credencials.
• Comprovar accessos indeguts: realitzar una gestió correcta dels registres d’accés a aquests portals ens pot donar molta informació, com accessos produïts durant hores en què no s’hauria d’accedir, adreces IP geolocalitzades a llocs sense presència de l’organització, o constants errors de accés a algun dels comptes. Aquests rastres ens donarien pistes sobre un possible atac.
• Comprovar les redireccions a les bústies de correu: un cop s’han compromès les credencials d’accés, una de les primeres accions que fan els ciberdelinqüents és crear una regla de redirecció de correu per intervenir els nostres correus. A l’office 365, per exemple, a l’apartat regles ho podem comprovar.
• Formar els integrants de l’empresa a la cultura de la protecció de dades i seguretat. A banda de complir amb la normativa és de vital importància que tots els treballadors coneguin els riscos que implica la gestió de dades al seu dia a dia i les directrius a seguir en cas d’incidència.
• Establir sistemes d’auditoria periòdica (especialment a les empreses que tenen designat DPD) per revisar accions anòmales sobre el sistema i protocols.

Si tens o creus que la teva empresa ha estat afectada per algun tipus d’atac on s’han compromés dades personals de clients, proveïdors, usuaris, treballadors, etc. cal notificar la violació de seguretat a la AEDP (abans de 72h.).

Des d’HST et podem ajudar, som experts en seguretat informàtica així com assessors en protecció de dades.