Cuando la filtración es intencionada
No todas las filtraciones de datos se deben a un atacante externo. Algunas de las filtraciones más perjudiciales son deliberadas y las lleva a cabo una persona de confianza de la propia empresa que ya cuenta con acceso legítimo. La preocupación por los empleados malintencionados ha aumentado considerablemente en los últimos años, y el coste es real: el coste medio anual de los incidentes de seguridad provocados por empleados ha alcanzado los millones por organización, y su contención suele llevar meses.
Esta tendencia se aprecia en los incidentes recientes. En Allianz Life, los atacantes que accedieron a un CRM en la nube utilizaron sus propias funciones administrativas y de exportación legítimas para extraer números de la Seguridad Social, fechas de nacimiento y datos de pólizas de 2,8 millones de personas. En PowerSchool, las credenciales robadas de un contratista permitieron la exportación masiva de registros que abarcaban a más de 62 millones de alumnos y profesores. Ninguno de los dos casos requirió un exploit sofisticado. Ambos se llevaron a cabo mediante herramientas autorizadas y un acceso válido, y ahí radica precisamente el quid de la cuestión: una vez que una persona ajena a la organización dispone de credenciales válidas, se comporta exactamente igual que un empleado, y los controles que parten de la base de un perímetro hostil dejan de ser aplicables. Lo único que queda para detectarlos es el aspecto que tienen los propios datos al salir del sistema.
Lo que hace que las filtraciones intencionadas sean tan difíciles de detener es que las personas con acceso a la información conocen exactamente cómo funcionan la revisión de documentos y el filtrado de correos electrónicos, por lo que diseñan sus exfiltración para que pase desapercibida tanto para los revisores humanos como para los escáneres automáticos.
Qué significa realmente «texto invisible»
El texto invisible es cualquier contenido que resulta ilegible para el ser humano, pero que permanece intacto en el archivo subyacente. No se trata ni de cifrado ni de esteganografía, sino de texto normal al que se le ha aplicado un estilo para que desaparezca.
Algunas técnicas habituales:
- ZeroFont: los valores confidenciales o las URL maliciosas se configuran con un tamaño de fuente igual a cero, por lo que nunca se muestran al lector, pero siguen siendo totalmente legibles por las máquinas.
- Cómo hacer que el color del texto coincida con el del fondo: un número de tarjeta de crédito o un número de la Seguridad Social están a la vista de todos, pero resultan invisibles sobre una página blanca
- Reducir el texto a un tamaño de letra extremadamente pequeño: ocultar información de identificación personal (PII), credenciales o código fuente en un bloque que parece una línea en blanco
- Llevar los datos mucho más allá de los márgenes visibles de una hoja de cálculo: donde permanecen ocultos a menos que alguien aleje la vista al máximo
Cada uno de ellos parece un archivo normal y corriente. Los datos se conservan íntegramente en el interior del archivo. Simplemente están ocultos a la vista de quien lo revisa. Precisamente por eso es peligroso, y precisamente por eso es necesario inspeccionarlo a nivel de contenido y no a nivel visual.
Cómo lo gestiona Proactive DLP™
La tecnología Proactive DLP™ analiza el contenido real de un archivo, en lugar de limitarse a lo que el usuario ve en pantalla, por lo que los trucos de formato que engañan al ojo humano no engañan al motor.
Cuando se activa la detección de texto invisible en MetaDefender™ Core, la tecnología Proactive DLP™ analiza el formato del documento, revela el texto que se ha ocultado o reducido por debajo de un umbral de legibilidad y, a continuación, somete ese texto recuperado al mismo proceso de detección de datos sensibles que se aplica al contenido normal, lo que incluye detectores integrados para datos financieros, información de identificación personal (PII) y secretos, además de cualquier patrón personalizado que se defina.
Una vez que se detectan datos sensibles en texto oculto, tu política basada en el contenido determina qué ocurre a continuación: bloquear el archivo o permitir su paso tras aplicar medidas correctivas, como la censura, la sustitución o la eliminación de metadatos. La cuestión es que los datos ocultos se tratan como datos reales, porque lo son.
Míralo en acción: antes y después
El documento se presenta como un informe sencillo y corriente. El revisor no puede ver nada confidencial, y un filtro que solo lee el contenido visualizado lo deja pasar. En su interior se ocultan uno o varios datos sujetos a normativa que están a la espera de salir de la organización.
