Categoría: Casos de Éxito

El caso en 30 segundos

$90 millones de pesos

Presupuesto anual de nube

+ $3.800 millones 

Factura tras el incidente

+ 42 x


Sobre el presupuesto previsto

+1000 VM


Utilizadas para minar criptomonedas

+ 171%


Actividad criminal dirigida a la nube

Una empresa colombiana presupuestó 90 millones de pesos en nube para todo el año. Recibió una factura por más de 3.800 millones

La causa fue un caso de cryptojacking en la nube: terceros obtuvieron acceso al entorno de Microsoft Azure y utilizaron sus recursos para desplegar cientos de máquinas virtuales destinadas a minar criptomonedas.

No hubo secuestro de información ni una pantalla anunciando un ransomware. El ataque trabajó silenciosamente mientras el consumo de infraestructura aumentaba. Cuando se detectó, el problema ya había dejado de ser exclusivamente tecnológico: involucraba a la gerencia, al proveedor, a los abogados y una factura extraordinaria.

En CAVALTEC participamos como peritos informáticos para reconstruir lo sucedido y aportar evidencia técnica dentro del proceso arbitral.

El ataque

¿Que es el cryptojacking en la nube?

Es el uso no autorizado de la nube de una empresa para minar criptomonedas. El atacante consigue una credencial válida, crea servidores de alto rendimiento y la víctima paga el consumo.

Es silencioso y muy rentable para el delincuente. Sysdig calculó que por cada dólar minado la víctima paga 53 dólares en nube. Microsoft documenta que casi siempre empieza con una credencial robada por phishing o filtraciones.

¿Por qué un ataque de cryptojacking puede crecer tan rápido?

En la nube, el riesgo no está únicamente en perder información. También está en que un tercero pueda consumir recursos a nombre de la empresa.

Plataformas como Azure permiten desplegar infraestructura con gran rapidez. Esa elasticidad es una de las grandes ventajas del cloud, pero unas credenciales comprometidas y unos permisos excesivos pueden convertirla en un riesgo: un atacante puede crear recursos computacionales mientras la organización continúa asumiendo su consumo.

Por eso, la seguridad en la nube requiere combinar protección de identidades, mínimo privilegio, límites y alertas presupuestarias, monitoreo continuo y procedimientos claros de respuesta ante incidentes.

Nuestro papel como peritos informáticos

¿Qué hace un perito informático ante un incidente como este?

El trabajo de un perito informático va mucho más allá de determinar que existió un ataque. Es necesario reconstruir técnicamente los hechos y convertir esa evidencia en información que también pueda ser comprendida y evaluada desde una perspectiva jurídica y empresarial.

En este caso, nuestro trabajo se concentró en cuatro frentes:

1. Preservación y análisis de evidencia digital.
Revisión de registros de actividad, identidades, permisos y consumo de los recursos involucrados.

2. Reconstrucción de la línea de tiempo.
Determinar cómo evolucionó el incidente, cuándo comenzó el despliegue de recursos y en qué momentos existieron oportunidades de detección.

3. Análisis de responsabilidades.
Contrastar las evidencias técnicas con las obligaciones de las partes y con el modelo de responsabilidad compartida propio de los servicios cloud.

4. Elaboración y sustentación del dictamen.
Traducir los hallazgos técnicos a un documento verificable y comprensible para abogados, árbitros y demás participantes del proceso.

Este último punto es especialmente importante: un peritaje informático no solo tiene que explicar qué ocurrió. Sus conclusiones deben poder sustentarse técnicamente frente a las preguntas y argumentos de las diferentes partes

El cryptojacking no es solamente un problema de TI

Un incidente de este tipo puede empezar con una credencial comprometida, pero sus consecuencias rápidamente llegan a otras áreas de la organización.

Financiero

Un crecimiento inesperado del consumo cloud puede generar obligaciones económicas muy superiores al presupuesto de tecnología.

Operativo

La contención obliga a revisar identidades, permisos, máquinas virtuales, configuraciones y registros mientras la empresa continúa operando.

Jurídico

Ante un incidente aparece una pregunta fundamental: ¿qué obligaciones correspondían al cliente y cuáles al proveedor?

Reputacional

Clientes, aliados y otras partes interesadas pueden cuestionar la capacidad de la organización para controlar su infraestructura tecnológica

Continuidad de Negocio

Para determinadas organizaciones, un sobrecoste extraordinario puede convertirse en un problema de liquidez y de sostenibilidad empresarial

CAVALTEC llegó a este caso cuando el daño ya estaba hecho. El principal aprendizaje, sin embargo, apunta hacia atrás: muchos de los riesgos que terminaron discutiéndose después del incidente podían haberse identificado antes.

Proteger identidades, vigilar consumos, monitorizar comportamientos anómalos y contar con un plan de respuesta puede marcar la diferencia entre una alerta controlada y una crisis financiera, operativa y jurídica.