Exfiltración de datos: qué es y cómo prevenirla

La exfiltración de datos es una de las mayores -y potencialmente más costosas- amenazas a la ciberseguridad a las que se enfrenta cualquier organización. Esta transmisión no autorizada de datos fuera de una organización puede producirse de muchas maneras, pero la mayoría de las veces es llevada a cabo por ciberdelincuentes.

¿Qué es la filtración de datos?

La exfiltración de datos es la transferencia no autorizada de datos fuera de una organización a través del acceso no autorizado a uno de sus puntos finales u otro punto de acceso, normalmente por parte de un ciberdelincuente que ha utilizado ransomware o algún otro malware para acceder ilegalmente a los datos. La exfiltración de datos es uno de los mayores y más costosos riesgos de ciberseguridad a los que se enfrentan las organizaciones y puede ser el resultado de un ataque de personas ajenas o de las acciones de personas internas malintencionadas o descuidadas.

La exfiltración de datos es diferente a un ataque tradicional de ransomware en el que los datos sólo pueden ser encriptados. Ambas pueden tener repercusiones amplias y significativas en una organización, sus proveedores y sus clientes. La pérdida de datos puede provocar problemas operativos, pérdidas financieras y daños a la reputación.

Los ciberdelincuentes que llevan a cabo la exfiltración de datos tienen como objetivo datos de gran valor. Los tipos de datos robados con más frecuencia en los exploits de exfiltración de datos incluyen:

• Información corporativa y financiera
• Propiedad intelectual y secretos comerciales
• Bases de datos de clientes
• Nombres de usuario, contraseñas y credenciales
• Información personal identificable, como números de la Seguridad Social
• Información financiera personal
• Claves criptográficas
• Software o algoritmos patentados
• Código fuente y archivos de configuración

Con las políticas y herramientas adecuadas, como los servicios de prevención de pérdida de datos (DLP) de Mimecast, las organizaciones pueden aumentar su protección contra la filtración de datos sin obstaculizar las operaciones ni la productividad.

Exfiltración de datos vs fuga de datos vs violación de datos

Estos tres términos se utilizan a menudo indistintamente, pero describen diferentes tipos de sucesos de seguridad.

La fuga de datos se refiere a la exposición accidental de información sensible. Esto suele ocurrir por errores de los usuarios, configuraciones erróneas o procedimientos deficientes; por ejemplo, un empleado que comparte un documento públicamente por error o sincroniza archivos con una aplicación personal en la nube sin darse cuenta.

Una violación de datos se produce cuando alguien obtiene acceso no autorizado a información confidencial. Esto podría implicar el compromiso de credenciales, la explotación de una vulnerabilidad o la infiltración en un sistema. Una violación no siempre significa que los datos hayan sido copiados o eliminados, sólo que alguien accedió a ellos sin autorización.

La exfiltración de datos es el robo o la eliminación intencionada de datos. Requiere una brecha o una filtración como punto de entrada, pero no todas las brechas conducen a la exfiltración. Los atacantes pueden robar archivos directamente, desviar datos silenciosamente a lo largo del tiempo o extraerlos durante un incidente de ransomware. La exfiltración es lo que convierte un fallo interno o una intrusión en un robo de datos a gran escala.

Por qué aumenta la filtración de datos

Los últimos informes sobre respuesta a incidentes y ransomware apuntan a un cambio constante hacia ataques centrados en la exfiltración y la extorsión múltiple. Los actores de las amenazas pueden ahora exfiltrar datos en cuestión de días, a menudo más rápido de lo que las organizaciones pueden detectar y contener una brecha.

Varios factores impulsan esta tendencia:

• Trabajo remoto e híbrido: Más usuarios, dispositivos y ubicaciones que acceden a sistemas sensibles.
• Dispersión en la nube y SaaS: Datos sensibles dispersos por el correo electrónico, las herramientas de colaboración, el almacenamiento en la nube y las aplicaciones de línea de negocio.
• Evolución de las tácticas del ransomware: Los grupos se basan cada vez más únicamente en el robo de datos y la extorsión, sin cifrar siempre los sistemas.
• Adversarios sofisticados: Los atacantes utilizan canales sigilosos como DNS, túneles HTTPS y herramientas legítimas en la nube para sacar datos de las redes.

Para los defensores, esto significa que el movimiento de datos, y no sólo el malware, se ha convertido en la principal señal de riesgo.

¿Cómo funciona la filtración de datos?

La exfiltración de datos puede producirse como resultado de un ataque de personas ajenas a la empresa o de los esfuerzos de personas malintencionadas con información privilegiada. Los malos actores pueden exfiltrar datos de varias formas: transferencia digital, robo de dispositivos físicos o documentos, o un proceso automatizado como parte de un ciberataque persistente. Y, como revela el informe del ITRC, estos ciberataques son cada vez más complejos, sofisticados y exitosos.

Los ciberdelincuentes pueden beneficiarse de la exfiltración de datos de varias formas. Los malos actores pueden robar datos directamente para acceder a cuentas personales o financieras y a información comercial privilegiada, o pueden vender esos datos en el mercado negro. Alternativamente, pueden utilizar la exfiltración de datos para potenciar sus esfuerzos de ransomware. Normalmente, en un ataque de ransomware, los ciberdelincuentes encriptan los datos o los hacen inaccesibles de otro modo hasta que la organización víctima les paga para restablecer el acceso a los datos. Además, las bandas de ransomware pueden combinar la encriptación con el robo de datos. Están fortificando sus esfuerzos con la llamada doble extorsión, amenazando con filtrar o vender los datos de una organización si no se efectúa un pago.

Técnicas habituales de exfiltración de datos

Desde el error humano y el comportamiento no seguro de las aplicaciones en la nube hasta estrategias engañosas como el phishing y la ingeniería social, las vías para la exfiltración de datos son numerosas y variadas. Incluso actividades aparentemente benignas, como el envío de un simple correo electrónico, pueden servir de conductos involuntarios para la filtración de datos. Nuestro objetivo es dotarle de los conocimientos necesarios para identificar y mitigar eficazmente estas amenazas.

Ingeniería social y ataques de phishing

La ingeniería social es un método de exfiltración de datos que explota a los individuos para conseguir que revelen información sensible. Los actores maliciosos se hacen pasar por profesionales de la seguridad dignos de confianza y emplean técnicas basadas en la psicología humana para violar las defensas de seguridad de los datos. Estos actores pueden hacerse pasar por un compañero de trabajo de confianza o por un ejecutivo que utilizará una sensación de urgencia o miedo para presionar a los empleados para que faciliten información sensible. Establecer unas expectativas de comunicación claras y formar a los equipos para identificar las estafas de ingeniería social es esencial para mantener los datos a salvo.

El phishing es una forma de ingeniería social en la que los atacantes malintencionados engañan a las personas para que divulguen información confidencial a través del correo electrónico o de un mensaje de texto. Los correos electrónicos de phishing a menudo intentan emular la marca y los mensajes de la empresa con la esperanza de conectar con los empleados a través de la familiaridad. La mejor forma de combatir el phishing es adelantarse a los acontecimientos educando a los empleados sobre la seguridad y la autenticidad del correo electrónico. La realización periódica de pruebas de phishing puede familiarizar a los equipos con las tácticas que podrían utilizar los malos actores.

Correos electrónicos salientes

Cuando se envían 319.000 millones de correos electrónicos al día, no es de extrañar que algunos de ellos puedan estar implicados en la exfiltración de datos. Muchos empleados acaban utilizando su correo electrónico personal o servicios personales de alojamiento de archivos para enviar o almacenar documentos confidenciales del trabajo. Este movimiento puede deberse a la comodidad o a motivaciones más nefastas, pero incluso enviar por correo electrónico un documento de trabajo a y desde un Gmail personal, por ejemplo, puede tener consecuencias destructivas, lo sepan los empleados o no. Forrester descubrió que el 64% de los profesionales de la seguridad tienen dificultades para identificar el movimiento de datos entre dominios personales y corporativos como Gmail con sus soluciones DLP o CASB actuales. Una vez que un dominio está en la lista blanca, es casi imposible poner en la lista negra todas las iteraciones posibles de ese dominio.

El error humano y el comportamiento no seguro de las aplicaciones en la nube

Aunque la tecnología y las herramientas de la nube han permitido nuevas formas de trabajar, también han intensificado la escala y el impacto de la filtración de datos. En este sentido, el 71% de los profesionales de la ciberseguridad encuestados en el informe de 2022 mencionado anteriormente están preocupados por los datos confidenciales guardados en máquinas locales/discos duros personales y/o almacenamiento y servicios personales en la nube.

Algunos de los comportamientos más comunes que se centran en las aplicaciones en la nube en particular incluyen: 

• Uso de dispositivos personales no fiables para iniciar sesión en aplicaciones corporativas en la nube
• Hacer públicos los enlaces a nubes privadas
• Descarga de datos corporativos a través de una aplicación en la nube a un dispositivo doméstico
• Utilizar nubes no autorizadas (normalmente nubes personales) para compartir datos con terceros y colegas.

Cada vez que un usuario autorizado realiza una de estas acciones, pone en peligro sus datos.

Una cantidad significativa de la exfiltración de datos también se debe a errores humanos. Los empleados exponen datos sin darse cuenta cuando hacen cosas como conectar accidentalmente un iPhone a un dispositivo corporativo o compartir un enlace privado a un canal público de Slack. Aunque puede que los empleados no hagan estas cosas a propósito, la exposición de datos resultante puede ser impactante. Afortunadamente, la formación en seguridad situacional y oportuna puede ayudar a prevenir estos sucesos.

Carga en dispositivos externos y navegadores

Otro ejemplo sería cuando los empleados suben datos de la empresa a sitios web o nubes que no están aprobados por TI. Esto se denomina TI en la sombra y puede ser peligroso. Al no haber forma de desactivar el acceso de los empleados cuando se marchan, y al no poder supervisar lo que ocurre cuando los datos llegan a ese destino del navegador y más allá, ver las cargas del navegador no fiable a medida que se producen es fundamental. Este tipo de amenaza puede ser de naturaleza maliciosa, por ejemplo: el robo de datos. Un usuario podría cargar código fuente o propiedad intelectual en su dispositivo externo para su beneficio personal posterior. 

Descargas a dispositivos no fiables

Puede haber muchas razones por las que un empleado quiera descargar datos de la empresa y ponerlos en su teléfono, tableta o portátil personal. Un empleado puede descargar una lista de clientes potenciales para reunirse con ellos en una conferencia, o puede descargar un informe de Salesforce porque va a llevar esa lista de ventas a un competidor. Pero no importa la intención, la descarga de datos en dispositivos no fiables los traslada a ubicaciones no fiables que están fuera de su dominio, provocando una brecha.

Lecciones de los ataques de exfiltración de datos

Los ataques exitosos de exfiltración de datos pueden tener consecuencias desastrosas, provocando la pérdida de valiosa propiedad intelectual y otra información sensible, costosos esfuerzos de respuesta a incidentes, uso indebido o abuso de la información, pérdida de confianza de los clientes, daños a la marca o a la reputación, problemas legales o normativos y grandes pagos de rescates.

Los siguientes ataques recientes de exfiltración de datos ilustran los peligros de no mitigar estos riesgos y su amplio impacto:

• Datos de tarjetas de crédito: Una cadena de tiendas de combustible y de conveniencia reveló en diciembre de 2019 que había sido víctima de una violación de datos de nueve meses durante la cual los atacantes instalaron malware de robo de tarjetas en los sistemas de procesamiento de pagos de las tiendas y en los surtidores de combustible. En enero, los datos robados de las tarjetas de más de 30 millones de sus clientes se vendían en^Internet1.
• Propiedad intelectual: Un infiltrado malintencionado en un conglomerado multinacional estadounidense descargó 8.000 archivos de propiedad -incluidos valiosos secretos comerciales- a lo largo de ocho años con el fin de lanzar una empresa que le hiciera la competencia. El antiguo empleado fue condenado a dos años de cárcel en 2021 y a pagar 1,4 millones de dólares en concepto de^{indemnización2}.
• Datos de cambio de divisas: Una casa de cambio pagó 2,3 millones de dólares a una banda de ransomware para recuperar el acceso a los datos perdidos en un ataque en la Nochevieja de 2020. Los ciberdelincuentes habían accedido a la red de la empresa y exfiltrado cinco gigabytes de^datos3.
• Información sanitaria: Una banda de ransomware robó en 2021 tres terabytes de datos confidenciales de un operador de centros de salud comunitarios con sede en Seattle, Washington. Los datos personales de 650.000 individuos se pusieron posteriormente a la venta al mejor postor en la web oscura. El resultado fue una demanda^colectiva4.
• Datos móviles: Ese mismo año, un ataque a un operador de redes móviles logró exfiltrar los datos personales de 50 millones de clientes de la empresa. El resultado fue una demanda^colectiva5.

La exfiltración de datos puede producirse a través del correo electrónico o de diversos canales de Internet, como sitios falsos de phishing, sitios de intercambio de archivos y subidas a las redes sociales. A este reto se suma el aumento de las amenazas combinadas, por las que los ciberataques llegan a las organizaciones a través de múltiples canales simultáneamente. 

Los grupos de ciberdelincuentes que están detrás de los ataques más exitosos de exfiltración de datos están continuamente retocando sus tácticas para acceder a datos de mayor valor. Se están volviendo más inteligentes.

Cómo detectar la filtración de datos

Detectar a tiempo la filtración de datos es crucial para minimizar los daños. Las organizaciones pueden aplicar diversas estrategias y herramientas para identificar actividades sospechosas que puedan indicar una exfiltración de datos:

• Transferencias de datos: El envío de grandes cantidades de datos a direcciones IP externas podría indicar una exfiltración.
• Detección de comportamientos anómalos de los usuarios: Las herramientas que utilizan el aprendizaje automático para analizar el comportamiento de los usuarios pueden identificar desviaciones de los patrones típicos, como el acceso o la descarga de grandes volúmenes de datos fuera de las horas normales de trabajo.
• Detección y respuesta de puntos finales (EDR): Las herramientas EDR proporcionan una supervisión en tiempo real de los puntos finales para detectar y responder a las amenazas que podrían conducir a la exfiltración de datos.
• Sistemas de prevención de pérdida de datos (DLP): Las soluciones DLP pueden supervisar y controlar los flujos de datos a través de la red, alertando o bloqueando los intentos de enviar información confidencial fuera de la organización.
• Supervisión del correo electrónico: Dado que el correo electrónico es un vector común para la exfiltración, la supervisión de la actividad inusual del correo electrónico, como el envío masivo de datos confidenciales, puede ayudar a detectar posibles intentos de exfiltración.
• Registros de auditoría: La revisión periódica de los registros de auditoría de varios sistemas puede revelar accesos no autorizados o transferencias de datos que podrían haber pasado desapercibidos.
• Sistemas de detección de intrusos (IDS): Los IDS pueden alertar a los equipos de seguridad de posibles brechas que podrían conducir a la exfiltración de datos, proporcionando señales de alerta temprana de actividades maliciosas.

Cómo evitar la filtración de datos

Muchas empresas utilizan software de prevención de pérdida de datos (DLP) para proteger sus datos contra la exfiltración, pero esta metodología puede quedarse corta. Para implantar una DLP, las empresas deben establecer reglas que ayuden al sistema a identificar los datos sensibles, bloquear la actividad de los archivos y enviar alertas. Pero eso significa que su solución DLP sólo es tan buena como las reglas que establezca. A veces, las reglas pueden ser demasiado sensibles y desencadenar falsas alertas que restan tiempo y atención a las amenazas reales y obligan a su equipo de seguridad a interrumpir innecesariamente el flujo de trabajo de otros equipos.

Otras veces las normas pueden ser demasiado específicas, pasando por alto amenazas potenciales por completo. Para combatir de forma integral la exfiltración de datos, es necesario: 

• Autenticación multifactor: La AMF requiere que los usuarios verifiquen su información de múltiples maneras. Además de un nombre de usuario y una contraseña, al usuario se le envía un código, o utiliza una aplicación, para verificar su identidad. Esta segunda capa de autenticación aumenta la seguridad.
• Ofrecer visibilidad y contexto: Las organizaciones necesitan una visibilidad completa de la exposición de sus datos y de las actividades que requieren una intervención de seguridad. Eso significa vigilar de cerca los ordenadores, las aplicaciones en la nube y los proveedores de correo electrónico para evaluar a fondo los riesgos potenciales.
• Priorice los mayores riesgos: Las empresas se ven constantemente bombardeadas por riesgos de exfiltración de datos, pero no todos esos riesgos son iguales. Las herramientas adecuadas pueden ayudar a los equipos de seguridad a identificar los eventos y los usuarios que suponen un mayor peligro y a priorizar sus respuestas en consecuencia.
• Genere una respuesta alineada: Sus analistas de seguridad deben utilizar su tiempo y recursos limitados sabiamente. En el mejor de los casos, tendrán acceso a un software que les permita orquestar una combinación de respuestas humanas y técnicas que se ajusten a la gravedad del suceso y al contexto de la situación.
• Optimice una experiencia de usuario positiva: El mejor software de protección de datos ofrece a las empresas una visión holística de la exposición de los datos en su organización, midiendo y mejorando la postura ante los riesgos, sin menoscabar la experiencia de los empleados.
• Imparta formación sobre concienciación en materia de seguridad: Una de sus mejores protecciones contra la exfiltración de datos son sus empleados. Así que enséñeles qué medidas pueden tomar para mantener a salvo los datos de su empresa y los de sus clientes. Las principales plataformas de protección de datos incorporan funciones para facilitar la formación de los empleados, fomentar el uso adecuado de sus herramientas y compartir la información de forma segura.
• Utilice las herramientas de DLP adecuadas: Al seleccionar una herramienta de DLP, es imprescindible que su tecnología de DLP pueda seguir el ritmo de sus estrategias de DLP. Las tecnologías de DLP se enfrentan a menudo a la complejidad y a implementaciones ineficaces que se quedan cortas a la hora de clasificar los datos y responder al movimiento de los mismos. Asegúrese de que su herramienta DLP está a la altura de las circunstancias comprobando si cumple los siete requisitos que debe tener en cuenta al evaluar tecnologías para la seguridad de hoy en día.

Lo esencial

La volatilidad de la mano de obra ha cambiado drásticamente la forma de trabajar de las empresas y los empleados, y el panorama de las amenazas ha cambiado con ella. Con las amenazas internas y la exfiltración de datos en aumento, la propiedad intelectual de su empresa está en peligro.

Ya sea el resultado de un error de un empleado o de un ataque deliberado, la filtración de datos puede tener consecuencias devastadoras para una organización, como pérdidas financieras, acciones legales, daños a la reputación e impacto en los clientes. Prevenir la extracción de datos y mitigar el impacto de los ataques de exfiltración de datos con un plan integral de ciberseguridad debería ser una prioridad estratégica. Vea cómo los servicios DLP de Mimecast pueden ayudarle a proteger los datos de su organización.

Preguntas frecuentes sobre la filtración de datos

¿Cuál es la diferencia entre una violación de datos y una filtración de datos?

Una violación de datos es un término más amplio que se refiere a cualquier incidente en el que se produce un acceso no autorizado a los datos, lo que puede conducir a que éstos sean vistos, robados o corrompidos. La exfiltración de datos es un tipo específico de violación de datos en el que éstos se transfieren ilícitamente fuera de la organización, normalmente con la intención de utilizarlos con fines maliciosos, como el fraude, el espionaje o el chantaje. En esencia, todos los incidentes de exfiltración de datos son violaciones de datos, pero no todas las violaciones de datos implican exfiltración de datos.

¿Cuáles son las causas de la filtración de datos?

La exfiltración de datos puede deberse a una amplia gama de factores, entre ellos:

• Infecciones de malware que buscan y transmiten datos sensibles
• Amenazas internas, ya sean malintencionadas o por descuido
• Ataques de phishing que capturan credenciales o convencen a los usuarios para que compartan información
• Cuentas comprometidas de las que se abusa para acceder y exportar datos
• Configuraciones erróneas en aplicaciones en la nube, almacenamiento o controles de acceso

En muchos incidentes se combinan múltiples factores: por ejemplo, los atacantes utilizan el phishing para robar credenciales y luego aprovechan las desconfiguraciones de la nube para exfiltrar datos a escala.

¿Qué es la exfiltración de datos frente a la infiltración?

La infiltración de datos se refiere al acceso no autorizado a un sistema o red - por ejemplo, un atacante que obtiene acceso a un endpoint, base de datos o aplicación SaaS. La exfiltración de datos se refiere al movimiento posterior de los datos fuera de ese sistema o red.

Muchos ataques modernos implican ambas etapas: los atacantes se infiltran en un entorno, se mueven lateralmente para encontrar datos valiosos y luego los exfiltran para extorsionarlos o revenderlos.

¿Qué puertos se utilizan para la exfiltración de datos?

La exfiltración de datos puede producirse a través de varios puertos de red, dependiendo del método empleado por el atacante. Los puertos comúnmente explotados incluyen:

• Puerto 80 (HTTP) y Puerto 443 (HTTPS): Estos puertos se utilizan habitualmente para el tráfico web, lo que los hace ideales para la exfiltración encubierta a través de aplicaciones web o sitios web comprometidos.
• Puerto 21 (FTP): FTP se utiliza para la transferencia de archivos y puede ser explotado por los atacantes para exfiltrar grandes volúmenes de datos.
• Puerto 25 (SMTP): Este puerto, utilizado para el envío de correos electrónicos, puede ser manipulado para enviar datos confidenciales como archivos adjuntos al correo electrónico.
• Puerto 53 (DNS): El tunelado DNS es una técnica en la que los atacantes codifican datos en las consultas y respuestas DNS, utilizando el puerto 53 para exfiltrar información.

¿Qué es la protección contra la filtración de datos?

La protección contra la filtración de datos implica una combinación de políticas, prácticas y herramientas diseñadas para evitar la transferencia no autorizada de datos fuera de una organización. Esto incluye:

• Cifrado de datos: Garantizar que los datos se encriptan en reposo, en tránsito y en uso para evitar el acceso no autorizado, incluso si se exfiltran.
• Controles de acceso: Limitar el acceso a los datos sensibles en función de las funciones y responsabilidades, y emplear la autenticación multifactor (MFA) para asegurar los puntos de acceso.
• Soluciones DLP: Implantación de sistemas de DLP que supervisen, detecten e impidan el movimiento no autorizado de datos dentro y fuera de la organización.
• Formación sobre concienciación en materia de seguridad: Educar a los empleados sobre los riesgos de la exfiltración de datos y enseñarles a reconocer los intentos de phishing y otras tácticas de ingeniería social.
• Segmentación de la red: Dividir la red en segmentos para limitar el movimiento de los atacantes si consiguen acceder a ella, dificultándoles la exfiltración de datos.

¿Cuáles son los efectos de la exfiltración de datos?

El impacto de un acto exitoso de exfiltración de datos puede ser grave y de gran alcance, incluyendo:

• Pérdidas financieras: Costes directos relacionados con la respuesta a incidentes, honorarios legales y multas reglamentarias, así como costes indirectos como la pérdida de ingresos y la disminución del valor de las acciones.
• Daños a la reputación: La pérdida de confianza entre los clientes, los socios y el público puede tener efectos duraderos en la marca y la posición en el mercado de una organización.
• Consecuencias legales y reglamentarias: El incumplimiento de la normativa sobre protección de datos puede acarrear cuantiosas multas y acciones legales por parte de los afectados.
• Perturbación operativa: El robo de datos sensibles puede interrumpir las operaciones empresariales, especialmente si se ve comprometida la propiedad intelectual crítica o el software propietario.
• Pérdida de propiedad intelectual: La exfiltración de secretos comerciales o de información sujeta a derechos de propiedad puede erosionar la ventaja competitiva de una empresa, provocando la pérdida de cuota de mercado y retrocesos en la innovación.

1 "La brecha de Wawa podría haber comprometido más de 30 millones de tarjetas de pago", Krebs on Security

2 "Former GE Engineer Sentenced to 24 Months for Conspiring to Steal Trade Secrets," U.S. Department of Justice

3"Travelex Paid the Ransom, Breach Investigation Still Underway", CIO Dive

4 "Lawsuit Filed in Health Center Data Exfiltration Breach," GovInfo Security

5 "Class-Action Complaints Stream in Over T-Mobile Data Breach," Law Street

**Este blog ha sido actualizado a partir de una versión anterior.