El robo de información es uno de los principales riesgos para una empresa, ya sea por ciberataques deliberados o por medio de filtraciones digitales o analógicas desde dentro. En la cadena de vulnerabilidades de la empresa, las grandes desconocidas son las impresoras, auténticos “altavoces de información a los que no se está prestando la atención y protección necesarias”.
El sector empresarial emplea cada vez más esfuerzos en protegerse, la consultora IDC estima que el gasto en este tipo de software entre las utilities en Europa occidental superó en 2015 los 2.800 millones de euros; sin embargo un empresario puede tratar de blindar su empresa y luego arriesgar su información confidencial corporativa de la forma más “burda”.
Esa es la advertencia que realiza Melchor Sanz, experto en seguridad de dispositivos informáticos y Director Tecnológico y Preventa de HP, durante el Forum de Ciberseguridad 2016 organizado en Madrid por IDC e IDG.
Las impresoras centralizadas, ahora cada vez más habituales en las empresas desbancando a las individuales por una cuestión de ahorro de costes, se han convertido en una auténtica amenaza para la privacidad corporativa. Estos aparatos han pasado de estar en ámbitos privados, como los despachos de sus propietarios, a zonas públicas, de paso y accesibles a prácticamente cualquier empleado o visitante desconocido.
Desde que damos a imprimir hasta que llegamos a recogerlo, el documento se queda en la impresora durante unos minutos prácticamente anunciando con luces de neón: información confidencial, aquí disponible.
Puede acceder al documento, fotocopiarlo o fotografiarlo y dejarlo en la bandeja de la impresora de nuevo sin que nadie se de cuenta o incluso llevárselo, ya que “las bandejas de la impresora son altavoces de información a los que no se está prestando la atención y protección necesarias”, añade Sanz.
“Uno de nuestros clientes empezó a detectar que en sus últimos contratos había un competidor que ofertaba un contrato similar al suyo pero por un presupuesto ligeramente inferior. Empezaron a investigar y no sabían donde podía estar la brecha de seguridad hasta que encontraron casualmente un ordenador enganchado al cable de red de la impresora, de modo que todo lo que se mandaba a imprimir lo capturaba el ordenador y éste lo archivaba en un fichero. Así el ‘topo’ conseguía hacerse con la información”.
Y al igual que se puede conectar un ordenador portátil, puede conectarse un discreto USP o incluso, sin necesidad de hardware, instalar una aplicación en la propia impresora.
“Actualmente estamos detectando ataques inyectando firmware maliciosos en las impresoras. La app se instala en el sistema operativo, como si fuese un móvil, y se programa para que todo lo que se imprima en esa impresora mande una copia a un correo electrónico, por ejemplo”.
Más del 90 por ciento de las empresas del mundo son susceptibles de sufrir este tipo de ataques
Esto es posible si la información no va cifrada, ni con medidas de seguimiento o trazabilidad de la información. “La brecha de seguridad que hemos identificado es ese tramo entre un punto tan seguro y vigilado como el ordenador hasta la impresora; por tanto el objetivo es securizar ese tránsito”, explica el Director Tecnológico y Preventa de HP.
Las soluciones pasan por sistemas de identificación con el que los documentos a imprimir no salen hasta que el usuario está presente e introduce sus credenciales y contraseña o herramientas para evitar que esos documentos sean copiables, y que si se copian, quede evidencia de que esa copia ha sido un fraude.
En este sentido, la tecnología de impresión de última generación ofrece la posibilidad de que la información del usuario que ha mandado la impresión viaje inscrita en el papel, con fecha y hora inclusive, “de forma visible o lo que es mejor, de forma invisible”, apunta Sanz, quien además ejerce como perito judicial en este ámbito.
Con este tipo de técnicas, el usuario no se da cuenta de que “el mal que está haciendo lleva su identificación en cada página” y que podrá ser constatable por las marcas detectables con luz ultravioleta o infrarrojos que van adheridas en el documento, .
“De hecho en casos en estados Unidos ya se han aportado como evidencias en juicios de espionaje industrial”. Y no sólo en Estados Unidos, también en nuestro país, como reconoce Sanz, bien “en España la ley no obliga a las empresas a reconocer y publicar sus casos de fugas de información, por lo que es difícil identificar casos similares aquí”, concluye.
Noticias relacionadas
-
Por un “océano cibernético” limpio sin phising ni malware -
El fin de las contraseñas y los tokens criptográficos -
GDPR al rescate tras la crisis de Cambridge Analytica y Facebook
