A lo largo de su historia, el sector automotriz se ha consolidado como una industria de gran importancia y en constante crecimiento, que moviliza cantidades de dinero cada vez mayores. Este componente económico, sumado a la aplicación de la innovación tecnológica (vehículos conectados, vehículos autónomos, entre otros), coloca a las empresas y entidades del sector en el punto de mira de ciberdelincuentes y actores maliciosos.
S21sec realizó un análisis detallado de la actividad cibernética de la industria automotriz a lo largo de 2022, identificando un aumento considerable de incidentes de diversa índole. La mayoría de los ciberataques detectados se originaron a partir de la explotación de vulnerabilidades en la infraestructura de las organizaciones, pero también se identificaron ataques de ransomware, venta de accesos, venta de bases de datos y filtraciones de datos.
En relación con este tema, los expertos advierten que la actividad delictiva contra las empresas de este sector aumentará en los próximos meses. « La industria automotriz implementa constantemente las tecnologías más avanzadas, con el objetivo de automatizar y optimizar todos los procesos industriales e incorporar las últimas funcionalidades a sus productos. Sin embargo, la automatización también conlleva nuevos riesgos en el ámbito de la ciberseguridad, que estas empresas deben considerar tanto en TI como en TO », afirma Hugo Nunes, responsable del equipo de Inteligencia de S21sec en Portugal.
El ransomware, una amenaza inminente.
El ransomware, un tipo de ataque cuyo objetivo es obtener acceso a uno o más ordenadores para cifrar la información de la víctima, ya sea un usuario o una organización, y exigir un rescate a cambio de su liberación, se ha posicionado como una de las principales amenazas para la industria automotriz. Hasta septiembre de este año, se registraron 41 ataques de ransomware contra organizaciones de este sector, destacando marzo por el elevado número de incidentes.
Los grupos de ransomware que más atacaron este sector fueron Lockbit, con 10 ataques contra empresas automovilísticas, y Conti, con potp. Independientemente del sector, estos dos grupos estuvieron entre los más activos durante 2022, aunque es posible que la tendencia cambie en los próximos meses, ya que el grupo Conti cesó su actividad tras la publicación de su código fuente.
Este tipo de ataque ha evolucionado hacia técnicas de extorsión doble y triple. En un ataque de extorsión doble, los ciberdelincuentes, además de cifrar los datos, amenazan a la víctima con publicar o vender la información cifrada. En el caso de la extorsión triple, además de amenazar a la víctima con publicar los datos robados, el atacante la presiona con ataques DDoS contra su infraestructura tecnológica.
Venta de información confidencial en la Deep Web
S21sec también identificó un aumento en la venta de credenciales de acceso inicial en foros de la Deep Web por parte de los llamados IAB (Initial Access Brokers). Estos se encargan de obtener diferentes tipos de acceso a organizaciones (como credenciales de acceso a equipos, VPN o acceso RDP) mediante diversas tácticas y técnicas, que luego venden en varios foros clandestinos o a afiliados de grupos de ransomware. Durante el período analizado, se registraron 24 ventas de credenciales de acceso inicial a empresas del sector automotriz en diferentes foros como Exploit, RAMP o XSS.
Además, se verificó que varias bases de datos pertenecientes a empresas del sector automotriz fueron comprometidas. Esta información privada constituye uno de los pilares fundamentales sobre los que se sustenta el modelo de negocio de este tipo de organizaciones, ya que está relacionada con los productos y servicios que ofrecen y les permite diferenciarse de la competencia al almacenar información confidencial sobre planes futuros, clientes, empleados, proveedores, entre otros. Durante este año, S21sec ya ha identificado ocho ventas de bases de datos internas de diferentes empresas relacionadas con el mundo automotriz en foros y mercados de la Deep Web, como Exchange Market.
“ El robo de datos y la posterior adquisición de información confidencial por parte de terceros ajenos a la empresa pueden provocar una grave crisis e incluso llevarla a la quiebra. La mayoría de estas ventas se producen principalmente cuando los ciberdelincuentes acceden a la infraestructura de la empresa, ya sea mediante ataques de ingeniería social, la explotación de vulnerabilidades o a través de agentes infiltrados: personal de la empresa que proporciona información a los atacantes a cambio de una recompensa, generalmente económica, aunque también pueden ser víctimas de extorsión ”, afirma Hugo Nunes.
