La Comisión Europea sufre un ciberataque contra infraestructura cloud de Europa.eu

Qué ocurrió

La Comisión Europea informó de un ciberataque contra infraestructura cloud que alojaba la plataforma web Europa.eu. Las primeras conclusiones apuntaban a extracción de datos de los sitios afectados, sin compromiso de los sistemas internos de la Comisión, según Reuters.

El ataque se limitó a la infraestructura que da soporte a la web pública, lo que sugiere que la separación entre esos servicios y las redes internas de la institución cumplió su función de contener el alcance del incidente.

Qué significa para una empresa mediana

Muchas organizaciones mantienen su web corporativa, formularios o portales de clientes en el mismo entorno o con las mismas credenciales que su red interna. Este caso muestra el valor de mantener esa separación: un ataque a un servicio público no tiene por qué comprometer sistemas críticos si están debidamente aislados.

También ilustra un principio de diseño: cualquier servicio expuesto a internet debe tratarse como si pudiera ser comprometido en algún momento, y la arquitectura debe limitar lo que ese compromiso permite alcanzar.

Qué conviene revisar

Medidas que limitan el radio de impacto de un ataque a servicios públicos:

• Si la web corporativa y los portales públicos están segmentados de la red interna y de los sistemas de gestión.
• Si usan credenciales e identidades independientes de las cuentas administrativas internas.
• Si el alojamiento cloud de estos servicios tiene copias de seguridad y un plan de restauración probado.
• Si existe un plan de comunicación previsto para un incidente que afecte a un servicio público de cara al cliente.

Preguntas frecuentes

¿Se vieron afectados los sistemas internos de la Comisión?

Según las primeras conclusiones citadas por Reuters, no; el incidente se limitó a la infraestructura cloud que alojaba la plataforma web Europa.

¿Qué tipo de datos se vieron afectados?

Las primeras conclusiones apuntaban a extracción de datos de los sitios afectados, sin más detalle público disponible sobre su alcance.

¿Qué lección aplica a una empresa que no es una institución pública?

Que separar servicios públicos de las redes internas y usar identidades independientes limita el impacto si uno de esos servicios es comprometido.