Fecha: 14 de febrero de hace unos años.
Un repartidor se planta en la entrada de una gran empresa española con un ramo de flores para una de sus trabajadoras. Le dicen que tiene que dejar las flores en recepción, pero él insiste: le han dicho que tiene que entregar las flores en persona. Es 14 de febrero, San Valentín, así que después de muchas súplicas, el repartidor consigue que le dejen entrar a las oficinas. Sube a la planta que andaba buscando, pero no entrega el ramo en mano a su destinataria, sino que lo deja en un lugar oculto para que pase desapercibido.
En realidad esto tiene truco: dentro del ramo hay un dispositivo que irá atacando todas las redes Wifi que encuentre para robar contraseñas, datos confidenciales e información privada de la empresa en cuestión. Y el repartidor no es un repartidor; es Román Ramírez, un experto en ciberseguridad que tiene una misión: atacar y robar a la empresa en cuya sede le han dejado entrar.
Lo que hizo Román Ramírez se enmarca dentro del Red Team, el equipo al que dedicamos el segundo capítulo de Trabaja en Ciberseguridad, la serie documental de la Escuela de Ciberseguridad de IMF Smart Education y Deloitte en la que analizamos el mercado laboral en ciberseguridad, las salidas profesionales y los distintos puestos de trabajo que puede ocupar una persona que se forme en este sector.
Red Team: la mejor defensa es un buen ataque
Empecemos por el principio: la seguridad ofensiva. Por lo general pensamos que proteger la ciberseguridad de una empresa es una labor puramente defensiva, pero nada más lejos de la realidad: para defenderte, primero debes saber cómo te pueden atacar; y para saber cómo te pueden atacar, ¿qué mejor que contratar a alguien para que lo haga? Ese ‘alguien’ es el red team, un equipo que contrasta con su antagonista, el blue team, que se encarga de la seguridad ofensiva.
El red team lo forman perfiles que, básicamente, saben cómo detectar los puntos flacos de la ciberseguridad de una empresa para atacarla. Normalmente trabajan en compañías de ciberseguridad y son contratadas por otras empresas que, de forma consensuada, les dan permiso para atacarles. Su misión es triple:
- Detectar las vulnerabilidades y brechas de seguridad de una organización.
- Encontrar la forma de atacar esos agujeros y robar toda la información posible.
- Tapar esas brechas para que, cuando aparezca un malo de los de verdad, no consiga su objetivo.
Un trabajo ‘oculto’, pero más frecuente de lo que crees
Quizá pienses que estas labores de red team se hacen solo en unas pocas empresas, las más especializadas, pero no es así. Según un informe de Exabeam, el 92% de las compañías hacen ejercicios de red team regularmente. La cifra es llamativa, pero más aún si la vemos con perspectiva: en 2019 el índice era del 72%.
Los resultados hablan por sí solos. Tras los ataques consensuados, el 74% de las empresas aumenten su presupuesto de ciberseguridad.
Las puertas de entrada del Red Team
Pero, ¿qué hacen los profesionales del equipo rojo para lograr atacar a sus clientes? La empresa de ciberseguridad Context reveló hace tiempo las vías de entrada más frecuentes entre sus red teamers. Como podemos ver en el gráfico de abajo, la mala gestión de las contraseñas es, de lejos, el principal agujero por el que se cuelan.
Las malas contraseñas merecen un aparte, ya que, como denuncia Context, no solo es un problema de que sean sencillas de romper, sino que además muchas empresas ni siquiera tienen una buena política de contraseñas, dejando incluso que sus empleados las apunten dentro de archivos sin proteger.
Batallitas: lo que pasa en el red team… se queda en el red team
Román Ramírez lo tiene claro: “En el red team vale todo. Es la suma de todas las habilidades: hackear personas, procesos, financiero, informática, la propia organización, paredes, saltar una valla… Hacen de todo”. Sabiendo cómo él mismo empezó un ciberataque entregando un ramo de flores, efectivamente, está claro que vale todo.
Pero no es la única anécdota. “Recuerdo una muy buena con una gran compañía”, nos introduce Roberto López, responsable de seguridad ofensiva en Cipher. “Era un ejercicio donde había que tomar el control de la compañía, de sus principales activos IT. Estuvimos investigando y vimos que estaba bien protegida, pero tenía una cafetería que era accesible desde la calle y que daba acceso a sus oficinas. Lo que hicimos fue, a través de ataques en redes inalámbricas, conseguir los datos y contraseñas de los empleados. Con ellas, finalmente pudimos entrar a la empresa”.
Y es que al final “los red teamers tienen mil habilidades para poder evadir mecanismos de defensa física, cámaras, sensores de movimiento, volumétricos, etc.”, nos cuenta Román Ramírez, “pero también habilidades informáticas, habilidades de ingeniería social para convencer a alguien, habilidades financieras…”.
En cualquier caso, si algún día trabajas en un red team, prepárate para trabajar y estudiar a fondo: “Las tecnologías van cambiando constantemente, así que tienes que adaptarte a las nuevas vulnerabilidades que hay, a los nuevos sistemas”, asegura Carolina Gómez Uriarte, penetration tester en VASS y directora de Sh3llCON. Eso sí, procura llevarte bien con la frustración: “No siempre vas a conseguir entrar en un sistema. Y si no lo consigues, no tiene por qué ser que hagas mal tu trabajo; puede que la empresa tenga bien securizado su sistema”.
Formación Relacionada
