Singapur triplica sus ciberincidentes y advierte que la IA acelera los ataques

Singapur registra tres veces más ciberincidentes que a comienzos de año. El viernes 13 de noviembre, la Agencia de Ciberseguridad de Singapur (CSA) y la Comisión de Protección de Datos Personales (PDPC) emitieron declaraciones separadas para pedir a todas las organizaciones que refuercen sus defensas. Según la CSA, el promedio mensual de ciberincidentes reportados desde septiembre triplica el promedio de enero a agosto.

Entre el 24 de octubre y el 13 de noviembre se reportaron al menos 12 incidentes que involucran a organizaciones de Singapur o a sus proveedores, y seis de ellos afectaron a organizaciones de salud y cuidado comunitario, según The Straits Times.

Tres semanas de incidentes

El 24 de octubre, Alliance Medinet reportó la exposición de datos personales de unos 110.000 miembros. CNA agrega que cerca de 4.400 clientes de las aseguradoras HSBC Life, Income Insurance y Singlife fueron o pudieron ser afectados.

El 3 de noviembre se sumaron MoneySmart, con datos copiados de algunos clientes en Singapur y Hong Kong, y Singapore Airlines, con unos 46.000 registros de reservas comprometidos a través de su proveedor Amadeus; en unos 620 casos había datos de documentos de viaje. El 6 de noviembre fue el turno de la telefónica M1 y del servicio de telemedicina Doctor Anywhere.

El 10 de noviembre siguieron SPH Media, con el 9% de su base de datos afectada, y SATS, cuya app Tappee expuso datos de estudiantes de cuatro colegios. El 11, Fullerton Health, la app CARA de Dementia Singapore y Minmed Group. El 12, la Agency for Integrated Care informó que pudieron quedar expuestos datos de hasta 4.064 empleados de instituciones de salud pública y de cuidado comunitario. El 13, la marca Our Second Nature.

Ataques oportunistas, no una campaña

La CSA sostuvo que los casos no parecen formar parte de campañas coordinadas contra Singapur, sino de una tendencia global de ataques oportunistas. “Los actores maliciosos rastrean activamente internet en busca de sistemas vulnerables, y las organizaciones pueden convertirse en víctimas aunque no sean un blanco específico”, señaló la agencia, según CNA.

La CSA advirtió además que “el uso creciente de la inteligencia artificial por parte de los atacantes podría acelerar aún más el descubrimiento y la explotación de vulnerabilidades, y reducir el tiempo que tienen las organizaciones para asegurar sus sistemas”. Gwenda Fong, directora ejecutiva de la CSA, lo bajó a la gestión: “Si diriges una empresa, la ciberseguridad debería estar en tu agenda, aunque no tengas un equipo dedicado de TI o de seguridad”, según CNA.

El Ministerio de Salud también advirtió que los avances tecnológicos, en especial la IA, podrían hacer los ataques más frecuentes, rápidos y formidables. El 12 de noviembre dijo que los seis incidentes del sector no afectaron la atención de pacientes, pidió a Synapxe y a los hospitales públicos reforzar el monitoreo, y a los privados, revisar sus medidas. Denise Wong, comisionada de la PDPC, pidió a las organizaciones prestar “atención urgente para no convertirse en víctimas”, según The Straits Times.

Qué está haciendo el gobierno

La CSA informó a todos los sectores de infraestructura crítica (energía, agua, banca y finanzas, salud, transporte, infocomunicaciones, medios, seguridad y emergencias, y gobierno) y a los gremios empresariales. Ofrece su línea de ayuda y el programa CISO-as-a-Service, con hasta 70% de cofinanciamiento para las pymes elegibles.

Qué significa para las empresas de la región

El riesgo no depende de ser un blanco elegido, sino de tener algo vulnerable a la vista.

1. ¿Sabes qué sistemas tuyos se ven desde internet? Haz un inventario de lo expuesto y parcha eso primero.
2. ¿Cuánto tardas en aplicar un parche crítico? Mide tu tiempo real y ponle una meta en días, no en meses.
3. ¿Qué datos de tus clientes manejan tus proveedores? Varios casos de Singapur llegaron por terceros: pregunta cómo protegen tus datos y cómo te avisarán de un incidente.
4. ¿Quién responde por la seguridad si no tienes equipo de TI? Asigna un responsable, aunque sea externo, y define a quién se llama el día de un incidente.

Qué mirar

Si el ritmo de incidentes baja tras el llamado de la CSA y la PDPC, si la comisión de datos abre investigaciones o aplica sanciones a las organizaciones afectadas y si otros países de Asia-Pacífico reportan un alza parecida de ataques oportunistas apoyados en IA.

A partir de información de CNA (declaración de la CSA) y The Straits Times.