El nuevo dolor de cabeza para las pymes: proteger sus videoconferencias de los cibermalos

La pandemia ha hecho que el teletrabajo aumente su adopción y sea común tener reuniones de trabajo de todo tipo a través de videoconferencias. Sin embargo, esta nueva manera de encontrarse y compartir información sensible y decisiva para las organizaciones debe estar correctamente securizada.

Algunos investigadores están advirtiendo que las videollamadas ahora juegan un papel fundamental en la manera que las empresas interactúan con sus empleados, clientes y proveedores y las plataformas de telepresencia pueden conllevar importantes riesgos para la seguridad.

¿Y si los informes confidenciales que se comparten en una reunión a través de Zoom caen en malas manos? ¿Y si un actor de amenazas se hace con información sobre propiedad intelectual, estrategias corporativas, datos de salud, temas legales, asuntos militares o discusiones sobre fusiones o adquisiciones? Una filtración de datos en este ámbito podría ser devastadora para una compañía.

Un reciente informe publicado por Aite-Novarica Group y enfocado en la seguridad de las videollamadas mostró que el 93 % de los profesionales de TI encuestados reconocieron las vulnerabilidades de seguridad y los grandes riesgos en sus soluciones de videoconferencia.

Entre los riesgos más relevantes identificados se encuentra la falta de acceso controlado a las conversaciones que podría provocar la interrupción, el sabotaje, el compromiso o la exposición de información confidencial, mientras que el uso de aplicaciones de videoconferencia no seguras, desactualizadas o sin parches puede exponer fallas de seguridad.

En Dark Reading recogen varias amenazas dirigidas a las herramientas de videollamadas. Una de ellas, conocida como el ‘zoom-bombing’ salió a la luz cuando comenzaron los confinamientos y el trabajo en casa.

Además, también se menciona el malware y los ataques de DDoS o de denegación de servicio. En mayo se encontró una cadena de vulnerabilidades en la funcionalidad de chat de Zoom que podía explotarse para permitir la ejecución remota de código, según se hace eco Dark Reading.

No obstante, las mayores amenazas siguen siendo las que se orientan a los propios usuarios, al componente humano, mediante ingeniería social o ataques de compromiso del correo electrónico (Business Email Compromise). Si los hackers se hacen con sus credenciales podrían acceder a los servicios de videoconferencia con sus datos.

Algunas recomendaciones para protegerse

Desde Dark Reading ofrecen algunas sugerencias para que las pymes se protejan y protejan las videoconferencias.

La primera de ellas es asegurarse de que sus plataformas y aplicaciones ofrezcan autenticación de dos factores, tanto para al creador de la reunión como para los participantes. Además, aconsejan que los enlaces de inicio de sesión no se puedan compartir.

Se indica también que las empresas deberían habilitar funciones de seguridad como una ID y contraseña y encriptación de extremo a extremo para que las pymes puedan controlar el acceso a las conversaciones.

Además, se aconseja que los flujos de datos de cada cámara, micrófono y salida de audio estén bloqueados, para no poder ser espiados con malware. Igualmente, se sugiere que las organizaciones usen tecnología anti-keylogging y anti-screen scraping.

Otra recomendación es que las pequeñas y medianas empresas protejan las plataformas de videoconferencia con una arquitectura de seguridad de confianza cero que requiera que todos los usuarios estén autenticados, autorizados y validados continuamente antes de que pueda acceder a la aplicación.

Asimismo, los equipos de seguridad también deberían monitorizar de manera proactiva el comportamiento de la red en busca de actividad anómala y leer con detalle los términos y condiciones de la plataforma de videoconferencia que se piensa utilizar.

Obviamente, hacer todo esto para una pyme no resulta nada sencillo, teniendo en cuenta que sus recursos son mucho más limitados que los de una gran corporación. La clave está en la búsqueda de la eficiencia y, sobre todo en la educación a los empleados sobre ciberseguridad.