Cibercrimen, ¿debería importarme?
Tendemos a pensar que el cibercrimen es algo que suele afectar a las grandes empresas con importantes intereses y que estamos fuera del foco de interés de los ciberdelincuentes.
Lo cierto es que no es así sino justo al contrario. A mayor tamaño de empresa menos ataques registrados. ¿Por qué? Porque esas empresas ya han hecho una inversión previa en ciberseguridad a la que le dan mantenimiento.
La cuestión es que las empresas de menor tamaño son aquellas que no prevén reforzar su seguridad y que son objetivos más fáciles.
Y el hecho es que, año tras año, se van registrando más incidentes de ciberseguridad de las empresas. Más o menos un 8-9% más que el año inmediatamente anterior.
¿Mas datos?
- 1 de cada 3 incidentes corresponde a filtración de datos
- 2 de cada 5 están relacionados con vulnerabilidades de sistemas tecnológicos
- 1 de cada 2 empresas ha sufrido o sufrirá un ciberataque
- El coste económico promedio es de unos 11.400 euros, valor que supera los de años anteriores
- Con una inversión del 21% del presupuesto en TI, las empresas españolas son de las que menos invierten en su ciberseguridad
Entonces...
De momento nos quedan claras dos cosas:
- Los ciberdelincuentes se interesan más en las empresas medianas que en las grandes porque tienen menor protección
- 1 de cada 2 sufrirá algún tipo de ataque y, si es exitoso, su coste superará, de media, los diez mil euros
Además, hay algo que ha cambiado en los últimos años. El teletrabajo conlleva que el acceso a los sistemas se hace desde distintas ubicaciones con distintos dispositivos. Y dichos sistemas ya no solo están en las instalaciones de la empresa sino, también, en la nube.
Todo esto hace más compleja la estructura de equipos, redes y aplicaciones a mantener debidamente aseguradas.
El daño no es solo económico. Una empresa que sufre un ataque y cuya información es comprometida pierde reputación ante sus clientes, ante sus socios de negocio e, incluso, ante sus empleados. El coste económico puede ser solo la punta del iceberg.
Algunos casos sonados
En 2023 la aerolínea española Air Europa sufrió un ataque que comprometió los datos bancarios que tenían de clientes. Número de tarjeta, fecha de caducidad e incluso CVV de al menos 100.000 clientes fueron robados por los ciberdelincuentes. La aerolínea tuvo que comunicarse de urgencia con sus clientes para pedirles anular sus tarjetas.
Ese mismo año el Clinic, un hospital de Barcelona, sufrió un ataque que culminó con un secuestro de datos. Durante dicho ataque tuvieron que desconectar sus sistemas por unos días. Eso provocó que se cancelaran distintos servicios y dejaron de hacer más de 4.000 análisis, más de 300 intervenciones quirúrgicas y atender más de 11.000 consultas. Los ciberdelincuentes se hicieron con 4,5 TB de información personal y de salud de pacientes y datos de empleados.
El grupo de telecomunicaciones español MasMóvil sufrió varios ataques también. En primer lugar los ciberdelincuentes se hicieron con datos de clientes de Yoigo como nombres, direcciones y teléfonos, lo que obligó a la compañía a reforzar de manera reactiva su seguridad. Poco después atacaron a la empresa Euskaltel, también del grupo, y se hicieron con 29 gigas de información jurídica, financiera y de recursos humanos. Se sabe que esta información fue expuesta en la red por lo que entendemos que la empresa no pagó el rescate que se le pidió
En resumen...
Muchos ataques, cada año más. A empresas medianas y grandes con medidas de seguridad insuficientes. Daños económicos cuantiosos. ¿Y todo por qué? Por pensar que no nos va a tocar a nosotros. Por decidir no dedicar recursos económicos a la seguridad de nuestra infraestructura. O por haber desatendido su mantenimiento.
Y es que la ciberseguridad no es un extra en nuestro negocio. Por desgracia, se ha convertido en algo esencial a lo que tener que dedicar recursos. Y aquí más vale ser proactivos, de hecho es más económico por lo que hemos visto arriba.
¿Sabes cómo de segura es tu infraestructura TI? Con el tiempo se detectan vulnerabilidades en los sistemas informáticos y siempre hay alguien que puede tomar ventaja de eso.
Es necesario conocer esos puntos de vulnerabilidad, lo que se conoce como superficie de ataque. Y es necesario hacer una verificación cada cierto tiempo. Lo que hoy es seguro mañana podría no serlo.
Queda claro que la seguridad de nuestra empresa y nuestra tranquilidad empiezan por algo simple pero necesario, un análisis de riesgos. ¿Cuándo lo hiciste por última vez?