París 2024: los Juegos Olímpicos se preparan para ciberataques con las mejores prácticas de seguridad

Al igual que cualquier otro evento de interés mundial, los Juegos Olímpicos se convierten en una oportunidad ideal para los cibercriminales. Estos atacantes pueden realizar una variedad de ciberataques, que van desde estafas dirigidas a los usuarios hasta ataques de denegación de servicio e impactos contra la infraestructura que sustenta la organización del evento.

Este extraordinario evento representa: 15,000 atletas de 206 naciones, 40 sedes de competición, 878 eventos en 54 deportes, 20,000 periodistas de todo el mundo, más de 10 millones de espectadores y 4 mil millones de espectadores.

Es el momento justo. Los cibercriminales están aprovechando eventos deportivos globales como los Juegos Olímpicos para generar nuevas amenazas dirigidas a empresas y ciudadanos, conscientes de que sus objetivos suelen estar distraídos y son más vulnerables a tácticas de ingeniería social.

Aunque las ediciones anteriores de los Juegos Olímpicos ya enfrentaron amenazas de ciberseguridad, la XXXIII edición, que se inaugurará en París, Francia, el próximo 26 de julio de 2024, podría enfrentar un número aún mayor de incidentes. Esto se debe a un panorama de amenazas más complejo, un ecosistema de ciberatacantes más amplio y una mayor facilidad para llevar a cabo los ataques.

Es un hecho: los Juegos Olímpicos de París 2024 serán los más conectados de la historia. Esto incluye, entre otros, los sistemas del comité organizador, los sistemas financieros, los servicios a los ciudadanos y turistas, la infraestructura crítica nacional, la infraestructura de la ciudad, la tecnología deportiva, las telecomunicaciones, los sistemas de transmisión, así como las plataformas de comercialización y venta de boletos para las actividades.

Aunque el riesgo es significativamente mayor para los lugares y activos directamente relacionados con los Juegos Olímpicos, también se extiende más allá. La infraestructura crítica nacional, muchas empresas francesas y europeas, y otros sectores aparentemente no relacionados con el evento pueden convertirse en objetivos de ataques. Esto podría llevar a un nivel sin precedentes de amenazas impulsadas por motivos financieros y políticos, dirigidas no solo contra el evento en sí, sino también contra organizaciones no vinculadas directamente, incluyendo redes fijas y móviles en la ciudad, logística, infraestructura y empresas de transporte, turismo, hoteles, restaurantes, entretenimiento, así como redes financieras y de servicios bancarios.

La buena noticia es que tanto el comité organizador como la ciudad han estado colaborando con diversas empresas de ciberseguridad para mitigar los riesgos. Se prevé que los cibercriminales desplegarán una amplia gama de tácticas, técnicas y procedimientos, como ransomware, exfiltración de datos, explotación de vulnerabilidades en aplicaciones, ingeniería social, ataques de phishing personalizados e intentos de denegación de servicio, con el objetivo de interrumpir los servicios en línea. Por esta razón, en julio de 2022 se confió a la ANSSI la gestión de la estrategia de prevención de ciberataques de los Juegos, bajo la autoridad del Primer Ministro francés y adscrito a la Secretaría General de Defensa y Seguridad Nacional (SGDSN).

Para ello, la ANSSI ha implementado un sistema en estrecha colaboración con diversas estructuras involucradas en la organización de los Juegos, incluyendo la Delegación Interministerial para los Juegos Olímpicos y Paralímpicos (DIJOP), el Ministerio del Interior y de Territorios de Ultramar (MIOM) y el Comité Organizador de los Juegos Olímpicos y Paralímpicos (París 2024). Este sistema se estructura en torno a cinco ejes principales:

• Mejorar el conocimiento de las ciberamenazas que afectan a los Juegos.
• Asegurar los sistemas de información críticos.
• Proteger los datos confidenciales.
• Concienciar al ecosistema de los Juegos sobre la ciberseguridad.
• Prepararse para intervenir en caso de que un ciberataque afecte a los Juegos.

En este sentido, ANSSI ha identificado un ecosistema de aproximadamente 500 entidades, clasificadas en 3 categorías, mediante un análisis de riesgos que considera el nivel de criticidad de cada entidad para implementar medidas preventivas de seguridad. Estas acciones están diseñadas para apoyar a las entidades involucradas de manera adaptada a sus necesidades específicas.

Las entidades de categoría 1 son aquellas críticas, cuyo fallo afectaría negativamente a todo el evento. ANSSI realiza para estas entidades auditorías y proporciona soporte técnico directo.

Las entidades de categoría 2 se consideran sensibles, ya que su fallo podría impactar en una o más pruebas. Para esta categoría, se ha desarrollado un programa de apoyo específico a la seguridad de los sistemas de información, que incluye alrededor de un centenar de entidades. Este programa cubre a sitios competidores, determinadas autoridades locales, operadores públicos o privados en áreas como energía, transporte, logística y gestión del agua, así como proveedores de servicios para París 2024. El programa consta de tres componentes principales:

• Un componente de diagnóstico que implica la realización de auditorías para identificar vulnerabilidades y desarrollar planes de seguridad.
• Un componente de seguridad que ofrece soporte técnico especializado.
• Un componente de detección y respuesta que implementa un sistema gestionado que combina EDR (detección y respuesta de puntos finales) y sondas industriales para detectar amenazas y sugerir medidas de remediación.

Las entidades de categoría 3 son aquellas cuyo fallo podría afectar la imagen de Francia sin desestabilizar el desarrollo del evento. Esta categoría incluye alrededor de 300 entidades, como comunidades anfitrionas, operadores de transporte y ciertos medios de comunicación.

Asimismo, se está llevando a cabo un plan de sensibilización para varios cientos de actores del ecosistema de los Juegos. Este plan proporciona información sobre amenazas cibernéticas relevantes para grandes eventos deportivos y difunde numerosas recomendaciones y mejores prácticas de ciberseguridad. Además, ANSSI organizó un seminario de sensibilización el 5 de julio de 2023, que reunió a las partes interesadas del ecosistema. En agosto de 2023, ANSSI publicó el informe “Grandes eventos deportivos – Evaluación de amenazas 2023″, que incluye una lista de recomendaciones enfocadas en la sensibilización y la protección de los puestos de trabajo y sistemas de información. ANSSI también realizó varios ejercicios de crisis en 2023 para preparar una respuesta colectiva ante posibles ciberataques durante los Juegos.

¿Qué lecciones valiosas podemos aprender de estas medidas de prevención? ¿Qué mejores prácticas podemos aplicar en nuestras propias organizaciones basándonos en los ejemplos de ANSSI? Reflexionemos sobre estas estrategias de ciberseguridad y adoptemos las más adecuadas para nuestra propia seguridad, tanto personal como organizacional.

* Fundador de SILIKN | Emprendedor Tecnológico | (ISC)² Certified in Cybersecurity℠ (CC) | Cyber Security Certified Trainer (CSCT™) | EC-Council Ethical Hacking Essentials (EHE) | EC-Council Certified Cybersecurity Technician (CCT) | Cisco Ethical Hacker | Líder del Capítulo Querétaro de OWASP.

Twitter: https://twitter.com/silikn

Instagram: https://www.instagram.com/silikn

YouTube: https://www.youtube.com/@silikn7599