El CEO de Colonial Pipeline admite que la empresa no previ贸 ataques de ransomware

El importante operador de oleoductos y gasoductos no ten铆a una estrategia para prevenir el ransomware ni, menos a煤n, para enfrentar un ataque exitoso. Su VPN heredada tampoco ten铆a 2FA.

Varios medios de comunicaci贸n estadounidenses informan que el CEO de Colonial Pipeline, Joseph Blount, asisti贸 ayer a una audiencia en el Senado de los Estados Unidos, donde qued贸 de manifiesto que la empresa no se hab铆a preparado expl铆citamente para un ataque de ransomware. La empresa tampoco ten铆a una estrategia sobre c贸mo manejar un ataque exitoso de ransomware.

A pesar de las advertencias de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras del Departamento de Seguridad Nacional, realizadas ya en febrero de 2020, sobre el riesgo de este tipo de ataques contra el sector de los oleoductos, Colonial Pipeline se mantuvo pasiva al respecto.

En la audiencia, Blount dijo: “Tenemos un proceso de respuesta de emergencia: Ver la amenaza, contener la amenaza, remediar la amenaza y restaurar”. La senadora Maggie Hassan, replic贸 que era inaceptable no contar realmente con la preparaci贸n y el sistema para proteger infraestructuras cr铆ticas como los oleoductos. “Tenemos que empezar a imaginar lo que puede ocurrir, y responder en consecuencia, en lugar de estar siempre mirando cu谩l fue el 煤ltimo problema e invertir realmente en infraestructuras cr铆ticas. Creo que es absolutamente necesario que tengamos normas que realmente garanticen que las empresas invierten en el tipo de infraestructura que necesitan.”

Blount defendi贸 en gran medida los esfuerzos de la empresa por asegurar su oleoducto de combustible, que dej贸 de funcionar el mes pasado despu茅s de que ciberdelincuentes se apoderaran de sus sistemas inform谩ticos y exigieran el pago de un rescate para descifrarlos. La compa帽铆a termin贸 pagando a los atacantes 4,4 millones de d贸lares en criptomoneda a cambio de las claves para descifrar los archivos. El largo proceso de la empresa para restablecer el servicio hizo que cundiera el p谩nico en las gasolineras.

El lunes, el Departamento de Justicia anunci贸 que hab铆a recuperado 2,3 millones de d贸lares en pagos de criptodivisas que la empresa pag贸 a los atacantes.

Blount justific贸 la decisi贸n de la empresa de realizar el pago y mantenerlo inicialmente en secreto. “Mantuve la informaci贸n en secreto porque est谩bamos preocupados por la eficacia operativa y la seguridad, y quer铆amos mantenernos centrados en que el oleoducto volviera a funcionar”, dijo. “Creo de todo coraz贸n que fue la decisi贸n correcta”.

Un senador tambi茅n interrog贸 a la empresa sobre la falta de seguridad de un sistema de VPN heredado que los hackers utilizaron como puerta de entrada. El sistema no ten铆a activada la autenticaci贸n de dos factores.

Blount calific贸 de “desafortunado” el hecho de que las pruebas no detectasen el peligro, pero dijo que la empresa realiza regularmente auditor铆as externas. Dijo que desconoc铆a que la empresa no hubiera cumplido con una auditor铆a voluntaria de la Administraci贸n de Seguridad del Transporte hasta que 茅sta se hizo p煤blica. Dud贸 que la auditor铆a hubiera detectado la falta de seguridad del sistema. “Creo que en este caso, probablemente no se habr铆a encontrado esa VPN heredada”, dijo a los legisladores. “En realidad no acceden al sistema. Es una cosa de tipo cuestionario”.

Ilustraci贸n: Canva




Contacto | Diario TI es una publicaci贸n de MPA Publishing International Ltd.