En 2023 se han producido una buena cantidad de ataques cibern\u00e9ticos; sin embargo, hay un vector de ataque que demuestra ser m\u00e1s destacado que otros: el acceso no humano. Con 11 ataques de alto perfil en 13 meses <\/a>y una superficie de ataque ingobernable cada vez mayor, las identidades no humanas son el nuevo per\u00edmetro, y 2023 es s\u00f3lo el comienzo. <\/p>\n La gente siempre busca la forma m\u00e1s f\u00e1cil de conseguir lo que quiere, y esto tambi\u00e9n se aplica al ciberdelito. Los actores de amenazas buscan el camino de menor resistencia, y parece que en 2023 este camino fueron las credenciales de acceso que no son de usuarios (claves API, tokens, cuentas de servicio y secretos). <\/p>\n “<\/em>El 50 % de los tokens de acceso activos que conectan Salesforce y aplicaciones de terceros no se utilizan. En GitHub y GCP las cifras alcanzan el 33%.”<\/em><\/strong><\/p><\/blockquote>\n Estas credenciales de acceso de no usuarios se utilizan para conectar aplicaciones y recursos a otros servicios en la nube. Lo que los convierte en el sue\u00f1o de un verdadero hacker es que no tienen medidas de seguridad como las que tienen las credenciales de usuario (MFA, SSO u otras pol\u00edticas de IAM), en su mayor\u00eda son demasiado permisivos, no gobernados y nunca revocados. De hecho, el 50% de los tokens de acceso activos que conectan Salesforce y aplicaciones de terceros no se utilizan. En GitHub y GCP las cifras llegan al 33%.* <\/p>\n Entonces, \u00bfc\u00f3mo explotan los ciberdelincuentes estas credenciales de acceso no humanas? Para comprender las rutas de ataque, primero debemos comprender los tipos de identidades y accesos no humanos. Generalmente, existen dos tipos de acceso no humano: externo e interno. <\/p>\n El acceso externo no humano lo crean los empleados que conectan herramientas y servicios de terceros a entornos comerciales y de ingenier\u00eda centrales como Salesforce, Microsoft365, Slack, GitHub y AWS, para optimizar los procesos y aumentar la agilidad. Estas conexiones se realizan a trav\u00e9s de claves API, cuentas de servicio, tokens OAuth y webhooks, que son propiedad de la aplicaci\u00f3n o servicio de terceros (la identidad no humana). Con la creciente tendencia de adopci\u00f3n de software ascendente y servicios de nube freemium, muchas de estas conexiones las realizan regularmente diferentes empleados sin ning\u00fan control de seguridad y, peor a\u00fan, de fuentes no investigadas. La investigaci\u00f3n de Astrix muestra que el 90% de las aplicaciones conectadas a entornos de Google Workspace no son aplicaciones de mercado, lo que significa que no fueron examinadas por una tienda de aplicaciones oficial. En Slack, las cifras llegan al 77%, mientras que en Github llegan al 50%.* <\/p>\n “El 74% de los tokens de acceso personal en entornos GitHub no tienen vencimiento”.<\/em><\/strong><\/p><\/blockquote>\n El acceso interno no humano es similar, sin embargo, se crea con credenciales de acceso interno<\/a> – tambi\u00e9n conocidos como ‘secretos’. Los equipos de I+D generan peri\u00f3dicamente secretos que conectan diferentes recursos y servicios. Estos secretos a menudo est\u00e1n dispersos en m\u00faltiples administradores de secretos (b\u00f3vedas), sin que el equipo de seguridad tenga visibilidad de d\u00f3nde est\u00e1n, si est\u00e1n expuestos, a qu\u00e9 permiten el acceso y si est\u00e1n mal configurados. De hecho, el 74% de los tokens de acceso personal en entornos GitHub no tienen caducidad. De manera similar, el 59% de los webhooks en GitHub est\u00e1n mal configurados, lo que significa que no est\u00e1n cifrados ni asignados.* <\/p>\n Programe una demostraci\u00f3n en vivo de Astrix, l\u00edder en seguridad de identidades no humanas <\/a><\/p>\n Esta amenaza es todo menos te\u00f3rica. En 2023, algunas grandes marcas fueron v\u00edctimas de ataques de acceso no humanos, lo que afect\u00f3 a miles de clientes. En tales ataques, los atacantes aprovechan las credenciales de acceso expuestas o robadas para penetrar los sistemas centrales m\u00e1s sensibles de las organizaciones y, en el caso del acceso externo, llegar a los entornos de sus clientes (ataques a la cadena de suministro). Algunos de estos ataques de alto perfil incluyen: <\/p>\n “El 32% de las aplicaciones GenAI conectadas a entornos de Google Workspace tienen permisos de acceso muy amplios (lectura, escritura, eliminaci\u00f3n)”.<\/em><\/strong><\/p><\/blockquote>\n Como era de esperar, la amplia adopci\u00f3n de herramientas y servicios GenAI exacerba el problema del acceso no humano. GenAI ha ganado una enorme popularidad en 2023 y es probable que no haga m\u00e1s que crecer. Con ChatGPT se convierte en la aplicaci\u00f3n de m\u00e1s r\u00e1pido crecimiento de la historia<\/a>y aplicaciones impulsadas por IA que se descargan 1506% m\u00e1s que el a\u00f1o pasado<\/a>, los riesgos de seguridad que supone el uso y la conexi\u00f3n de aplicaciones GenAI, a menudo no examinadas, a los sistemas centrales de la empresa ya est\u00e1n provocando noches de insomnio a los l\u00edderes de seguridad. Las cifras de Astrix Research proporcionan otro testimonio de esta superficie de ataque: el 32% de las aplicaciones GenAI conectadas a entornos de Google Workspace tienen permisos de acceso muy amplios (lectura, escritura, eliminaci\u00f3n).* <\/p>\n Los riesgos del acceso a GenAI est\u00e1n afectando a toda la industria. En un informe reciente llamado “Tecnolog\u00eda emergente: los 4 principales riesgos de seguridad de GenAI<\/a>“, Gartner explica los riesgos que conlleva el uso predominante de herramientas y tecnolog\u00edas GenAI. Seg\u00fan el informe, “El uso de grandes modelos de lenguaje (LLM) de IA generativa (GenAI) e interfaces de chat, especialmente conectados a soluciones de terceros fuera el firewall de la organizaci\u00f3n, representan una ampliaci\u00f3n de las superficies de ataque y amenazas de seguridad para las empresas”.<\/p>\nPor qu\u00e9 el acceso no humano es el para\u00edso de los ciberdelincuentes <\/h2>\n
![\"Acceso](\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgmWbS5ycnyGutc4gpBaGYeT1xivbkY4Mo5nixiiyJ9wmW3hbi4YanY9rrLPUBohXwvCloK1-gA44IwI3sRnIGjR__gX9VBXZq6JhWVWn6PjG5eQVA8aqTTfQttNcV1tRqfKTqkB1FsVjXPSuEmjsEvM8YvnI68p7S_QzwBwHgT9pdLxj6r9XuqOglTmvE\/s1200\/aws.jpg\" "\\"Acceso")
<\/a><\/div>\nLos ataques de alto perfil de 2023 que explotan el acceso no humano<\/h2>\n
\n
El impacto del acceso a GenAI<\/h2>\n