La próxima vez que camine lentamente por el pasillo de un avión, piense por un momento en el increíble trabajo que lo llevó hasta allí, desde la ingeniería aeronáutica hasta los operadores que mantienen más de 5,000 aviones en el aire al mismo tiempo; la industria de la aviación enfrenta desafíos alucinantes.

En las últimas dos décadas, han tenido que lidiar con otro problema: las amenazas a la ciberseguridad. El mes pasado, vimos algunos ejemplos de lo que ocurre cuando intrusos se infiltran en sus sistemas.

Tres ciberataques en un mes

A principios de junio, Westjet, una de las aerolíneas más populares de Canadá, se percató de que algo fallaba en sus sistemas. La compañía había sufrido un ciberataque que impidió a los usuarios acceder a su sitio web y aplicación móvil.

Westjet abordó rápidamente el problema, como detalló en su página de asesoramiento Durante los siguientes días. Sin embargo, este no fue un incidente aislado. La aerolínea fue una de las tres que sufrieron ataques. Qantas y Hawaiian Airlines también fueron atacadas.

Hawaiian Airlines detectó su propia violación el 23 de junio y la divulgó tres días después a través de un mensaje conciso En su sitio web, indicó que su horario de vuelos estaba operativo y que los viajes de los huéspedes no se vieron afectados.

Luego, le llegó el turno a Australia. Su aerolínea, Qantas, detectó actividad inusual en una plataforma externa utilizada por su centro de contacto. El atacante logró robar nombres, direcciones, números de teléfono, fechas de nacimiento y números de viajero frecuente de clientes.

El 2 de julio, Qantas dijo Que tenía registros de servicio de seis millones de clientes en la plataforma y preveía que la proporción de datos robados sería significativa. Sin embargo, los ladrones no se llevaron la información de pago, añadió.

Estos ataques parecen coordinados. Scattered Spider, el grupo de amenazas también presunto responsable de los ataques al Casino MGM Grand y, más recientemente, Marks y Spencer, había centrado su atención en el sector aéreo, advirtió al FBI.

Según la Oficina, el grupo criminal compromete las cuentas de los empleados visitando los servicios de asistencia y haciéndose pasar por empleados o contratistas, convenciendo a los operadores para que les den acceso a las cuentas. A menudo, luego convence a dichos operadores para que añadan acceso MFA a las cuentas, bloqueando así el acceso a los usuarios legítimos. Fuentes indicaron que los ataques a las aerolíneas parecían ser obra de este grupo.

Una década de turbulencia digital

Esta no es la primera vez que una aerolínea se enfrenta a un ciberataque. En 2015, la aerolínea polaca LOT... sufrir un ataque DDoS que le impidió emitir planes de vuelo, dejando a 1,400 pasajeros varados y 20 vuelos cancelados.

Tres años después, atacantes atacaron a British Airways al comprometer una cuenta de la red de BA asignada a un empleado de la empresa de manejo de carga Swissport. La falta de autenticación multifactor (MFA) les permitió comprometer la cuenta y explotar una vulnerabilidad en Citrix para acceder a la red de BA. Desde allí, accedieron a las credenciales de una cuenta de administrador de dominio de Windows almacenadas en texto plano. El atacante, Magecart, plantó JavaScript en el sitio web de la aerolínea y... stole Los datos de las tarjetas de pago de 380,000 clientes. BA se libró de una multa de 20 millones de libras, reducida de su anterior multa de 183 millones.

Incidentes como estos son tan frecuentes que han dejado en el olvido la industria de la aviación. La empresa de software de gestión de seguridad Security Scorecard... da El sector obtuvo una calificación de "B" en ciberseguridad. No es una calificación reprobatoria, según la organización, pero triplica la probabilidad de que las empresas de este sector sufran una vulneración de seguridad que las de sectores con calificación A.

Los reguladores toman nota

No es de extrañar, dada la extensa superficie de ataque de la mayoría de las aerolíneas. No solo los sistemas administrativos son un objetivo. Los sistemas operativos, desde los equipos del aeropuerto hasta los de a bordo, también están amenazados.

La mayoría de las infracciones de aviación son administrativas y se centran en la información de los pasajeros y los pagos, más que en las aeronaves en sí. Sin embargo, la situación se agravaría aún más si alguien atacara la tecnología operativa de los aviones en pleno vuelo. Hasta la fecha, estos ataques han sido principalmente pruebas de concepto. No obstante, los reguladores siguen tomando medidas preventivas. La FAA nuevas reglas propuestas El año pasado para proteger los sistemas de la aeronave.

La Administración de Seguridad del Transporte de los Estados Unidos (TSA) Impuesta Nuevas normas de ciberseguridad para operadores de aeropuertos y aeronaves en 2023, incluyendo requisitos de segmentación de la red. La UE publicado El Reglamento de Ejecución (UE) 2023/203 (Parte IS) entró en vigor en octubre de 2022 y establece las normas para la identificación y gestión de riesgos de seguridad en las organizaciones de aviación. Este reglamento entró en vigor este año.

Construyendo operaciones de aviación resilientes

¿Qué pueden hacer las compañías de aviación para protegerse del creciente riesgo cibernético? Si bien las normas regulatorias son específicas para cada sector, los reguladores, en algunos casos, se han esforzado por... superposición con la norma ISO 27001Si bien las organizaciones de la industria de la aviación pueden necesitar realizar trabajo adicional para cumplir con los requisitos específicos de seguridad de la aviación descritos en la Parte IS, no obstante, son "coherentes y están alineadas con ISO-IEC 27001, " según los estándares la Agencia Europea de Seguridad Aérea (AESA).

Las medidas de seguridad que las compañías de aviación deben implementar no son tan complejas. La TSA se centra en las políticas de segmentación de la red y los controles de acceso para evitar que los intrusos vulneren su red. También se advierte sobre la necesidad de actualizar el software. Recomendaciones como estas son incluso más comunes que las colas para ir al baño en un vuelo de larga distancia.

Al igual que no fumar en un vuelo, adoptar buenas prácticas de ciberseguridad en las redes de aviación es innegociable. Que roben los datos de las cuentas de los pasajeros ya es bastante grave, pero sin una protección eficaz, las consecuencias de un ataque más coordinado por parte de un operador motivado por algo más que el lucro podrían ser mucho peores.