MGM Resorts experimentó una importante violación de ciberseguridad cuando los atacantes utilizaron una técnica de phishing a través de una llamada al servicio de asistencia técnica. El incidente pone de relieve la necesidad urgente de una mejor formación de los empleados en el manejo de correos electrónicos y llamadas telefónicas. Como resultado de la infracción, MGM enfrentó graves interrupciones y el malware se propagó rápidamente por todos sus sistemas, provocando un cierre completo. Las principales empresas de ciberseguridad, como el gigante de la industria CrowdStrike, enfatizan la capacitación regular para el personal no relacionado con la seguridad, a menudo mensualmente, para prevenir este tipo de incidentes, pero las organizaciones hoteleras pueden ofrecer o no protocolos de capacitación tan rigurosos. Los atacantes utilizaron ingeniería social y persuadieron a los empleados para que abrieran archivos adjuntos de correo electrónico maliciosos durante una llamada. Este método es una herramienta favorita de los piratas informáticos, además de crear virus. Una vez que se abre el archivo adjunto malicioso, que podría ser un archivo PDF, Excel u otros formatos, el malware se activa. Luego busca redes compartidas abiertas, inyectándose en varios procesos y propagándose a otras máquinas. La velocidad de esta propagación es alarmante y puede afectar hasta 100.000 computadoras en segundos.

"La capacitación anual en ingeniería social y phishing para los empleados es el escudo que mantiene segura la fortaleza digital de muchas organizaciones, y empoderar a los equipos de diferentes departamentos para reconocer y frustrar las tácticas en constante evolución de las amenazas cibernéticas sigue siendo importante todos los días", dice Ryan , investigador senior de seguridad de CrowdStrike. Cornateanu .

El reciente ciberataque a MGM Resorts subraya las profundas vulnerabilidades que enfrentan incluso las grandes corporaciones en la era digital actual. El hecho de que la infracción se haya originado en una plataforma tan común como LinkedIn sirve como claro recordatorio de los peligros de compartir demasiado detalles profesionales en línea. No se trata sólo de las implicaciones financieras inmediatas, aunque son significativas. Dado que sólo las propiedades de MGM en Las Vegas recaudan más de 13 millones de dólares diarios, las consecuencias económicas de un ataque de este tipo son asombrosas. Pero más allá de las pérdidas tangibles, hay que considerar el daño intangible. El empañamiento de la reputación de MGM, especialmente entre los clientes cuyas experiencias de ensueño en Las Vegas se vieron empañadas, es un golpe del que podría tomar años recuperarse. Este incidente debería ser una llamada de atención para los hoteleros de todo el mundo sobre la importancia primordial de adoptar medidas sólidas de ciberseguridad y las posibles consecuencias a largo plazo de cualquier fallo.

1. El poder de la ingeniería social : el origen del ataque en una plataforma como LinkedIn resalta los riesgos potenciales de compartir demasiado detalles profesionales en línea. ¿Cómo pueden los individuos y las empresas protegerse mejor de tales vulnerabilidades?

2. Impacto económico : Dado que las propiedades de MGM en Las Vegas generan más de 13 millones de dólares diarios, las repercusiones financieras de un ataque de este tipo son inmensas. ¿Cómo influirá este incidente en las inversiones en ciberseguridad de otras grandes corporaciones?

3. La reputación en juego : Más allá de las pérdidas financieras inmediatas, ¿cómo podría este ciberataque afectar la reputación a largo plazo de MGM, especialmente considerando a los clientes a quienes se les podría haber arruinado su experiencia única en la vida en Las Vegas?

En el contexto de la ciberseguridad, la ingeniería social se refiere a la manipulación de individuos para que realicen acciones específicas o divulguen información confidencial. En lugar de explotar las vulnerabilidades del software o hardware, los ataques de ingeniería social apuntan a las debilidades humanas. El objetivo es engañar a las personas para que revelen información confidencial, otorguen acceso a áreas restringidas o realicen acciones que comprometan la seguridad.

Existen varias formas de ataques de ingeniería social, que incluyen:

1. Phishing : esta es una de las formas más comunes de ingeniería social. Los atacantes envían correos electrónicos, mensajes o sitios web fraudulentos que parecen legítimos para incitar a las víctimas a proporcionar datos confidenciales, como credenciales de inicio de sesión o números de tarjetas de crédito.
2. Pretexto : Aquí, el atacante fabrica un escenario (o pretexto) para obtener información de una víctima. Por ejemplo, podrían hacerse pasar por representantes de un banco y solicitar detalles de la cuenta, alegando que los necesitan para fines de verificación.
3. Baiting : consiste en ofrecer algo atractivo a la víctima, como software gratuito, para incitarla a descargar software malicioso.
4. Tailgating o Piggybacking : en este método, un atacante busca ingresar a un área restringida sin la autenticación adecuada siguiendo de cerca a una persona autorizada. Por ejemplo, podrían entrar a un edificio seguro justo detrás de un empleado que tiene acceso.
5. Cuestionarios : los atacantes utilizan cuestionarios o encuestas en las redes sociales para engañar a los usuarios y conseguir que revelen información personal.
6. Vishing : similar al phishing, pero realizado por teléfono. El atacante podría hacerse pasar por un representante de un banco, un funcionario fiscal o un agente de soporte técnico para extraer información confidencial de la víctima.

El éxito de los ataques de ingeniería social depende en gran medida de la capacidad del atacante para manipular las emociones humanas, como el miedo, la curiosidad o el deseo de ayudar. Dado que estos ataques apuntan al comportamiento humano, la educación continua y la capacitación en concientización son cruciales para ayudar a las personas a reconocer y resistir tales tácticas manipuladoras.

Los hoteles, como objetivos principales de las ciberamenazas, deben priorizar la seguridad de su infraestructura digital y la educación de su personal. Una de las medidas más efectivas es ofrecer sesiones periódicas de capacitación para los empleados, asegurándose de que estén bien versados ​​en identificar y mitigar amenazas potenciales, como correos electrónicos de phishing o actividades sospechosas en línea. Al fomentar una cultura de concienciación sobre la ciberseguridad, los hoteles pueden reducir significativamente el riesgo de error humano, que suele ser el eslabón más débil de la cadena de seguridad. Además, asociarse con proveedores de software que han invertido mucho en ciberseguridad garantiza que los sistemas digitales del hotel estén reforzados con los últimos protocolos de seguridad. Estos proveedores aportan experiencia, tecnología de vanguardia y actualizaciones continuas, lo que proporciona una capa adicional de defensa contra el panorama en constante evolución de las amenazas cibernéticas.