Ataque masivo a Palo Alto: más de 2,3 millones de intentos contra su VPN. ¿Está tu empresa en riesgo hoy?
Fuentes de inteligencia han emitido una alerta de severidad alta tras detectar una serie de ataques contra los portales VPN GlobalProtect de Palo Alto Networks. Desde el 14 de noviembre, los sistemas de monitoreo registraron más de 2,3 millones de sesiones maliciosas.
Ataques multiplicados por 40: la explosión de actividad hostil en 24 horas
Ahora, los accesos remotos corporativos están bajo fuego, luego de un conjunto de ataques masivos a las VPN Global Protect de Palo Grande. No se trata de un aumento gradual, sino que la actividad que se multiplicó por 40 en cuestión de un día.
Es el nivel de hostilidad más alto registrado en los últimos meses contra esta infraestructura. De hecho, dicho ataque a las conexiones remotas se suma a otras vulnerabilidades críticas, como cuando Google adviertió que el Wi-Fi público es más peligroso de lo que creías si usas Android.
Los hackers no buscan errores, buscan descuidos
Para realizar estas operaciones maliciosas, los ciberdelincuentes no están buscando una grieta técnica compleja ni un error de código rebuscado. En realidad, su estrategia se basa en la fuerza bruta.
Para ello, solo intentan adivinar contraseñas de forma masiva y automatizada, apuntando directamente a la ruta “/global-protect/login.esp”, para ingresar exitosamente.
Su objetivo es simple: saturar los sistemas de autenticación hasta dar con una credencial débil o expuesta que les permita entrar.
Una sola credencial basta: el efecto dominó del ataque
Cuando los atacantes validan una sola credencial el daño crece rápido, pues una vez dentro, el riesgo para la organización es total. Algunos peligros a los que se expone, son:
- Robo de información: los ciberdelincuentes pueden hacer exfiltración de datos confidenciales de la empresa o de sus clientes.
- Movimiento lateral: podrán saltar a otros servidores más sensibles, de forma similar a quien recorre habitaciones en una casa ajena.
- Sabotaje: tienen la opción de instalar malware o ransomware para secuestrar operaciones y paralizar servicios críticos.
- Acceso directo: los ciberdelincuentes poseen entrada libre a la red corporativa sin restricciones iniciales.
En este caso, las empresas en mayor peligro son aquellas que no disponen de políticas estrictas de bloqueo de cuentas o las que confían solo en contraseñas simples, sin implementar capas extra de seguridad.
No esperes al desastre, este es el protocolo de acción inmediato
Ante esta cantidad de ataques, la respuesta no puede esperar. Por ello, los expertos en ciberseguridad recomiendan estas acciones para proteger los accesos remotos:
- Frenar la fuerza bruta: se deben configurar reglas para bloquear cuentas de forma temporal tras realizar una serie de intentos fallidos. Así, los hackers no podrán ingresar.
- Auditar credenciales: es fundamental comprobar las claves de acceso remoto y forzar un cambio de contraseña, especialmente si sospechas que son débiles.
- Revisar la configuración: se debe verificar que los ajustes en Palo Alto PAN-OS cumplan con las mejores prácticas de seguridad, como deshabilitar Interfaces de Gestión en Internet.
- Vigilar los logs: es necesario monitorizar los registros del firewall y GlobalProtect. Así, se pueden buscar patrones de fallos continuos y reforzar la seguridad.
- Cerrar fronteras digitales: hay que bloquear el acceso al portal desde países o direcciones IP donde el negocio del individuo no opera (Geo-blocking).
- Activar el MFA (Autenticación Multifactor): es la mejor barrera, ya que permite validar la identificación del usuario con un SMS, llamada o app.
Hasta ahora, el acceso remoto sigue siendo el objetivo número uno de los atacantes. Por ello, es fundamental reforzar la protección y así, marcar la diferencia entre un intento fallido y una crisis de seguridad en las empresas.