La mayor parte de empresas españolas que sufren un ciberataque pagan el rescate para liberar la información

"Al estudio de arquitectura de un amigo mío de Bilbao le cifraron los ocho ordenadores que tenía y me lo comentó. Me dijo que no podía acceder a su información y que pagó. Yo le pregunté por qué y me respondió que no podían parar". Con este ejemplo resume Marco Antonio Lozano Merino, Responsable de Servicios de Ciberseguridad para Empresas y Profesionales del Instituto Nacional de Ciberseguridad (INCIBE), lo que supone para una pequeña empresa un ataque informático.

Los ciberataques han saltado a la palestra este año. El pasado marzo, el SEPE fue infectado con un ramsomware (un virus que impide el acceso a archivos informáticos cifrándolos) que imposibilitó prestar servicios durante dos semanas y en Estados Unidos en mayo se bloqueó un oleoducto que surtía de combustible a gran parte del país, provocando retrasos en vuelos y escasez de carburos en la zona. Por muy aparatosos y molestos que sean estos ataques informáticos, "las grandes empresas e instituciones tienen resiliencia y cuentan con tecnología y soluciones que le ayudan a recuperarse".

No ocurre lo mismo con las pequeñas y medianas empresas, para las cuales ser víctimas de un ciberataque "puede llevarlas a echar el cierre al no poder acceder a la  información necesaria para hacer su trabajo", explica Lozano, y añade que por ello "casi todas optan por pagar" unas cantidades que suelen rondar "entre los 300 y 500 euros".

Las pymes según datos del INCIBE, son el grupo de empresa que más ataque informáticos sufre ya que "no tienen soluciones de seguridad desplegadas". Esto es debido a que muchas pequeñas firmas no tienen presupuesto ni capacidades ni tienen personal para contar con departamentos específicos de ciberseguridad como las grandes empresas. Sin embargo, Lozano reconoce que no todo se debe a su tamaño y dineros, "las pymes muchas veces no se consideran objetivos de los ataques. Piensan que al ser tan pequeñas los delincuentes no se interesarán por ellas, pero nada más lejos de la realidad".

2020 año récord en ciberataques

Las "modestas" medidas de seguridad de las pequeñas empresas hacen que sea muy fácil vulnerar sus sistemas, esto se refleja en que el INCIBE gestionó en 2020 133.155 incidentes de ciberseguridad relacionados con empresas y particulares. El pago de rescates y lo vulnerable de las pymes ha hecho que 2020 sea el año récord en ciberataques, Lozano reconoce que "los criminales se han dado cuenta de que el cibercrimen es una actividad muy lucrativa y se incrementado y sofisticado mucho". 

Ya no sólo se pide rescate por poder acceder a los datos encriptados, también se amenaza con difundir los datos obtenidos en internet o con venderlos a la competencia. Un caso de esta tendencia fue el hackeo sufrido por ADIF, la empresa pública que gestiona las infraestructuras ferroviarias en España) en julio de 2020. El grupo hacker REvil exigió un pago para evitar la filtración de 800 gigabytes robados.

Como la empresa no daba su brazo a torcer, los delincuentes empezaron a publicar cada semana en un blog de la Deep Web (internet oculta a la que no se puede acceder mediante un buscador) parte de los datos extraídos. "Esto duró tres semanas, a la tercera desapareció la filtración, cada uno que saque sus conclusiones" sentencia un experto en ciberseguridad que no quiere revelar su nombre a El Confidencial Digital.

Adif no fue la única empresa que sufrió este tipo de actos criminales. INCIBE gestionó 1.200 amenazas a empresas estratégicas españolas, bancos, empresas energéticas o que gestionan infraestructuras. 

Delito económico

El objetivo de estos chantajes, al igual que en las pymes, es casi siempre económico, exceptuando los de ciertos grupos hacktivistas como Annonymus que actuó durante unos años sacando "trapos sucios" a empresas de España. Sí varía la metodología que se emplea para los ataques.

Lozano señala diferencias en la especificidad: Las pymes suelen ser víctimas de campañas de hackeo, los delincuentes envían mensajes masiva e indiscriminadamente que al abrirse infectan los equipos con virus informáticos. Los ataques a grandes empresas e instituciones son preparados para aprovechar las deficiencias específicas de cada entidad. En muchos casos se burla la seguridad y se espera para secuestrar la información al momento que más daño hará el secuestro de los equipos.

Las grandes empresas son conscientes del riesgo y se blindan cada vez más recurriendo a grandes presupuestos, equipos de seguridad y sistemas robustos. Sin embargo, los criminales están burlando las medidas ya que apuestan por atacar "a la cadena de suministro y a terceros de confianza". Así consiguen acceder a los sistemas de las firmas estratégicas, ya que estas "al confiar en sus socios se ven afectadas por la infección", plantea Lozano.

Los ataques provienen de mafias instaladas en países en los cuales el cibercrimen no está perseguido, en especial en oriente y África, resume Lozano. Aunque señala que debido a la encriptación de navegadores como Tor, es complicado rastrearlos, ya que con ellos cualquiera puede navegar "como si estuviera en Alemania" o en el país a su elección.

Soluciones al pago de chantajes

Mas por muy extendidos sean, hay medidas que pueden poner en jaque a los ciberataques. Lozano señala que las tres mayores amenazas para la empresa son "el malware (ramsomware), las vulnerabilidades de los sistemas operativos obsoletos y la falta de concienciación y formación de los empleados de las empresas". Este punto es especialmente relevante, ya que el analista señala que es a través de los propios trabajadores, de manera inintencionada, como entra el malware en los sistemas de la mayoría de empresas, "por un usuario que no es capaz de discernir un correo malicioso".

Desde INCIBE se pone a disposición de empresas una herramienta de ciberdiagnóstico que  señala las debilidades potenciales y dónde se debe mejorar, en base a cinco tecnologías. Lozano expone que gracias a las recomendaciones de la aplicación, las compañías pequeñas que acaban de empezar a operar tienen una cobertura adecuada frente a malware.

Para empresas asentadas, que llevan tiempo operando, el Instituto pone a su disposición herramientas para la formación y la concienciación de los empleados y si lo requieren, de apoyo en temas específicos. El INCIBE cuenta con más de 7.000 soluciones de seguridad informática de terceros registradas. Pero no todo es prevención, si el ciberataque logra infectar la red de una empresa se ofrecen programas de respuesta para minimizar daños y guiar la actuación.