Las universidades enfrentan una doble amenaza de ransomware, datos …



La falta de políticas de seguridad sólidas pone a muchas escuelas en riesgo de compromiso, servicios interrumpidos y daños colaterales.

Las instituciones de educación exceptional continúan teniendo políticas de contraseñas problemáticas, carecen de autenticación multifactor (MFA) y tienen una gran cantidad de puertos abiertos, a pesar de sufrir docenas de ataques de ransomware y ataques de atacantes enfocados en robar información de estudiantes e investigación universitaria, según un nuevo estudio. publicado el martes.

Un análisis realizado por la empresa de servicios de ciberseguridad BlueVoyant de los incidentes de ciberseguridad notificados públicamente que involucran la educación top-quality encontró que durante los últimos dos años, aproximadamente el 9% de las contraseñas en una lista común utilizada por los atacantes coincidían con las utilizadas en combinación con una dirección de correo electrónico asignada por la universidad. . Mientras tanto, alrededor de dos tercios de las universidades no tenían protocolos de seguridad de correo electrónico basados ​​en DNS, y el 38% de todas las universidades tenían al menos un puerto de base de datos abierto.

Si bien las universidades tradicionalmente han visto los mismos tipos de ataques que otras organizaciones, y tal vez más ataques de espionaje de estados nacionales debido a su investigación, especialmente aquellas instituciones enfocadas en COVID-19, su apertura y vulnerabilidad las ponen en mayor riesgo, dice Austin Berglas. , Exjefe de cibernética en la oficina del FBI en Nueva York y jefe worldwide de servicios profesionales en BlueVoyant.

«Los riesgos que describimos no son imposibles de remediar», dice. «Sin embargo, especialmente en tiempos de COVID, cuando tiene un equipo de TI que ya no cuenta con suficiente personalized y fondos, cuyo objetivo principal es asegurarse de que todos tengan una computadora portátil y una cámara que funcionen para el aprendizaje remoto … es abrumador».

Debido a que las instituciones educativas se centran en el acceso al aprendizaje y la libertad para intercambiar conocimientos, la seguridad es a menudo una perspectiva difícil. En los EE. UU., Casi todos los estudiantes (97%) usaron su propia computadora portátil durante al menos un curso y el 89% usó sus propios teléfonos inteligentes, según una encuesta de octubre de 2019 realizado por el Centro de Análisis e Investigación EDUCAUSE. A Estudio del Reino Unido encontraron un uso very similar, con el 93% de los estudiantes usando sus propias computadoras portátiles y el 83% usando sus propios teléfonos inteligentes.

La combinación de estudiantes que utilizan sistemas personales con la dificultad de hacer cumplir las políticas de seguridad socava muchas de las posibles protecciones. Cuando el servicio de libros de texto en línea Chegg sufrió un compromiso en abril de 2018, aproximadamente una octava parte de los 40 millones de suscriptores afectados por la violación utilizaron sus direcciones de correo electrónico de la universidad como contraseñas. el informe BlueVoyant afirma.

Esas credenciales, combinadas con la reutilización de contraseñas y las políticas de seguridad débiles, hacen que estas brechas sean una amenaza significativa, dice Berglas.

Al observar un subconjunto de 30 universidades públicas, el análisis de BlueVoyant encontró una «falta generalizada de seguridad básica del correo electrónico y una falta de autenticación multifactor», dice. «Esto hace que el phishing, por ejemplo, sea una gran vulnerabilidad».

Las contraseñas siguen siendo un gran problema, especialmente porque MFA no ha logrado avances significativos en las escuelas.

BlueVoyant recopiló miles de millones de credenciales de listas de nombres de usuario y contraseñas disponibles públicamente, las llamadas «combinaciones», y comparó esas credenciales con una lista de 14,3 millones de contraseñas populares: el archivo RockYou.txt. De las credenciales que usaban una dirección de correo electrónico de un dominio .edu como nombre de usuario, aproximadamente el 9% tenía contraseñas en la lista RockYou.txt, encontró la compañía.

El problema se extiende más allá del straightforward acceso a los mensajes de correo electrónico de los estudiantes, dice Berglas.

«Hay una gran cantidad de reutilización de contraseñas», dice. «Los estudiantes y el private usan sus cuentas .edu no solo para cosas escolares, las usan para todo. Y a menudo las conservan mucho después de graduarse. Por lo tanto, vemos que la reutilización de esas contraseñas es realmente crítica con los ataques de relleno de credenciales y ataques de fuerza bruta y con permitir que los malos utilicen esas credenciales para muchas otras cuentas «.

Estas debilidades facilitan los ataques para el principal atacante de la educación outstanding: las bandas de ransomware. Dado que la mayoría de las escuelas ofrecen aprendizaje virtual durante el semestre de primavera, son particularmente vulnerables a la interrupción operativa utilizada por los atacantes de ransomware para garantizar el pago, dice Berglas.

«Cuando tenían aprendizaje en el sitio antes de la pandemia, si una escuela se veía afectada por ransomware, tal vez pudieran tomar la decisión comercial de no pagar el rescate porque podrían recurrir al aprendizaje de la vieja escuela», dice Berglas. «Pero cuando el 100% de tus estudiantes están aprendiendo a distancia, y luego te atacan con ransomware y la crimson se cae, está obligando a estas universidades a pagar el rescate».

La empresa recomendó a las universidades que adoptaran contraseñas largas e implementaran MFA en todas las cuentas confidenciales, incluido el acceso al correo electrónico. Para hacer cumplir estos requisitos, las organizaciones deben monitorear los intentos de autenticación para detectar actividad anómala y bloquear las cuentas que tienen un comportamiento atípico. Además, la seguridad de las contraseñas debe comprobarse mediante listas negras, pruebas de seguridad o algoritmos de aprendizaje automático diseñados para detectar contraseñas débiles.

Periodista tecnológico veterano de más de 20 años. Ex ingeniero de investigación. Escrito para más de dos docenas de publicaciones, incluidas CNET Information.com, Darkish Looking at, MIT&#39s Technological innovation Assessment, Common Science y Wired News. Cinco premios de periodismo, incluido el de Mejor fecha límite … Ver biografía completa

Lectura recomendada:

Más información





Enlace a la noticia unique