un informe para firmas reguladas

Por qué los hackers y las aseguradoras escanean su sitio web.

Uno lee su sitio web para entrar. La otra lo lee para tarificar su póliza. Ambos miran lo mismo —su superficie de ataque pública—, de modo que las debilidades que un atacante explota son exactamente los hallazgos que un suscriptor busca en su escaneo. Reduzca esa superficie y bajará a la vez su riesgo real y su prima.

ELEPHANT · INFORME SOBRE ASEGURADORAS CIBERNÉTICAS Y HACKERS SITIO WEB HEREDADO → MIGRACIÓN ESTÁTICA

01El cambio en la suscripción.

El gran cambio es simple: la suscripción cibernética pasó de «confiar en el cuestionario» a «verificarlo nosotros mismos». Aproximadamente tres de cada cuatro aseguradoras ya realizan escaneos externos de la superficie de ataque durante la suscripción, y la autodeclaración ya no es el final de la conversación.

Su sitio web y su infraestructura de cara al público son la señal más barata y rápida con la que cuenta una aseguradora. Es lo primero que ve un atacante, por lo que funciona como indicador de su madurez general en seguridad: una calificación de afuera hacia adentro. Herramientas como SecurityScorecard, BitSight y similares muestran lo que un atacante externo —o un suscriptor que usa las mismas herramientas— puede ver de su infraestructura pública.

3 de cada 4 aseguradoras ya realizan su propio escaneo externo durante la suscripción. El cuestionario es un punto de partida, no el veredicto.

Por qué esta línea de seguros se apoya tanto en ello: la cibernética es la única línea comercial importante donde la exposición misma está determinada por la tecnología. La superficie de ataque y la postura defensiva cambian en meses, no en décadas, lo que rompe los supuestos de la tarificación tradicional. Los suscriptores de seguros de propiedad inspeccionan su edificio; los suscriptores cibernéticos no pueden, así que examinan sus datos, su superficie de ataque y su capacidad de sobrevivir a un incidente.

Cómo llega a la prima.

Los controles documentados pueden mover las primas entre veinte y cuarenta por ciento en cualquier dirección al renovar, y un solo punto de entrada sin proteger puede anular una reclamación. La base que verifican las aseguradoras es consistente: autenticación multifactor (MFA) obligatoria, EDR/MDR en cada equipo, respaldos inmutables con restauraciones probadas, un plan escrito de respuesta a incidentes con un simulacro reciente y un programa documentado de gestión de parches. Carecer de ellos no solo eleva su tarifa: puede hacer que lo rechacen de plano.

Y hay un aguijón al final. Las aseguradoras ya están negando reclamaciones cuando la revisión forense revela que los controles que el asegurado declaró no estaban realmente implementados al momento del incidente. El escaneo cumple una doble función: tarificar la póliza y blindar contra el fraude la declaración que la respalda.

Para las firmas financieras en particular, el sector es el segundo factor de tarificación más importante. Los servicios financieros, la salud y la tecnología pagan bastante más: manejan datos de alto valor y operan bajo entornos regulatorios más estrictos.

02Por qué los hackers atacan.

Principalmente por dinero. El manual dominante hoy consiste en atacantes que inician sesión en servicios de terceros, extraen los datos y los monetizan mediante extorsión: ransomware, robo de datos para reventa, compromiso de correo empresarial y fraude por transferencia.

Más allá del lucro, algunas organizaciones roban secretos comerciales a la competencia, y actores estatales vulneran sistemas en busca de inteligencia política o militar. Pero el centro de gravedad es financiero.

El sitio web es, literalmente, la puerta principal —pública, siempre encendida, expuesta a internet— y una que está siendo sondeada constantemente.

Los ataques a aplicaciones web contribuyen al 26% de las brechas, el segundo patrón de ataque más frecuente, y el 17% de todos los ciberataques apunta a vulnerabilidades en aplicaciones web. Gran parte de ese sondeo ni siquiera es humano: los bots maliciosos representan más del 60% de todo el tráfico de bots en internet, escaneando la web a gran escala en busca de sitios con debilidades conocidas.

60%+ del tráfico de bots es malicioso: escáneres automatizados que buscan, día y noche, sitios con una debilidad conocida por donde entrar.

03Cómo entran.

Las rutas de entrada más comunes, aproximadamente en orden de prevalencia:

Phishing y credenciales robadas.

El principal vector inicial. El phishing es el vector de ataque más común en las brechas de datos, con cerca del 16% de las brechas, y las credenciales robadas o comprometidas suman otro 10%; estas últimas pueden tardar hasta 186 días en detectarse.
Contraseñas débiles y reutilizadas.

Como los usuarios reutilizan contraseñas entre plataformas, los atacantes reproducen credenciales filtradas en brechas anteriores para acceder a las cuentas; exactamente por eso importan las contraseñas únicas y la autenticación de dos factores.
Inyección SQL y fallas en aplicaciones web y API.

La inyección SQL apunta a sitios web mal asegurados y puede comprometer millones de registros en una sola brecha; en casos graves, los atacantes pueden manipular o borrar bases de datos completas. Las API sin asegurar filtran datos a gran escala.
Software sin parches y plugins vulnerables.

El problema de WordPress. Las CVE conocidas en componentes extensibles — plugins, temas, núcleo — son una puerta abierta que no requiere ninguna habilidad para cruzarla.
Errores de configuración en la nube y compromiso de la cadena de suministro.

Los atacantes escanean en busca de almacenamiento en la nube mal configurado para llevarse grandes volúmenes de datos sin herramientas avanzadas, y la seguridad débil de los proveedores les da una vía de entrada indirecta.

Un detalle que empeora todo esto: es silencioso. Las brechas ocurren sin ruido y los administradores se enteran mucho después, cuando las pérdidas potenciales o reales para el negocio y sus datos ya pueden ser grandes.

04Lo que le cuesta a la firma.

El riesgo es un conjunto acumulado de consecuencias derivadas de un solo incidente:

Pérdida financiera directa y rescate.
Interrupción del negocio mientras los sistemas están caídos.
Exposición de datos personales o financieros de los clientes.
Sanciones regulatorias.
Para una firma de servicios financieros, eso es territorio directo del reglamento Reg S-P: obligaciones de notificación de brechas y posible escrutinio de la SEC.
Daño reputacional y erosión de la confianza de los clientes.
Responsabilidad legal.
Negación de la reclamación del seguro.
El final cruel: si la auditoría demuestra después que un control que usted declaró no estaba realmente implementado al momento del incidente.

Las mismas debilidades visibles desde el exterior que un atacante explota son las que el suscriptor busca en su escaneo. Reduzca esa superficie y bajará su riesgo real y su prima a la vez.

Ese es todo el argumento para dejar WordPress y pasar a un frente estático endurecido. No hay inicio de sesión de administrador que forzar, ni plugins que explotar, ni base de datos que exfiltrar, ni nada ejecutándose en un servidor. El informe más limpio que puede entregarle a un suscriptor es uno que no contiene casi nada.

Vea lo que ve su suscriptor.

Elephant realiza el mismo tipo de escaneo externo que hace una aseguradora y luego reconstruye su sitio como HTML y CSS puramente estáticos: una migración gestionada, en la que usted sigue editando con solo pedirlo.

Escanear mi sitio — gratis →

Siga leyendo: Haga que lo encuentren: del SEO al GEO al AEO →