El impacto de los delitos cibernéticos, sin duda, crecerá en los próximos años. Estadísticas de Cybersecurity Ventures revelan que di chos delitos le costarán al mundo 6 billones de dólares anuales para el 2021, en comparación con los 3 billones de dólares del 2015. También pone en evidencia la necesidad de mayor innovación e inversión en este rubro, que permita contrarrestar las tácticas de los cibercriminales, sobre todo en miras al próximo año, en el que se espera nuevas y más sofisti cadas amenazas.
En el 2019, los ataques cibernéticos aumentaron significativamente en tamaño y sofisticación. Las nuevas tecnologías y los dispositivos móviles dentro de las organizaciones son el blanco perfecto de los cibercriminales. El incremento de amenazas y las innovadoras estrategias en los métodos de ataque empleadas por los hackers pueden poner en peligro no solo la información, sino la seguridad de las personas, por lo que es crucial la ciberseguridad para afrontar la nueva era digital.
La inteligencia y tecnología serán las principales armas ante las nuevas “guerras frías” entre potencias de Oriente y Occidente, como la guerra comercial entre Estados Unidos y China. Los ataques cibernéticos también se utilizarán en conflictos directos e indirectos entre países pequeños, financiados y habilitados por grandes naciones que buscan consolidar y extender sus esferas de influencia.
Estafas online
El año pasado, los ransomwares se volvieron altamente selectivos contra empresas específicas, así como contra los gobiernos locales y organizaciones de atención médica. Los atacantes dedican tiempo a recopilar información sobre sus víctimas para garantizar que puedan causar la máxima interrupción y los rescates se amplían en consecuencia. Esta táctica es tan dañina que el FBI ha suavizado su postura sobre el pago de rescates, ahora reconoce que, en algunos casos, las empresas pueden evaluar opciones para proteger a sus accionistas, empleados y clientes.
Si bien el correo electrónico sigue siendo el vector de ataque principal, los ciberdelincuentes también están utilizando otros canales, como mensajes de texto o el uso de mensajes en redes sociales y plataformas de juegos. La primera mitad del 2019, se vio un aumento del 50% en los ataques de malware de banca móvil en comparación con el 2018. Este software maligno puede robar datos de pago, credenciales y dinero de las cuentas bancarias de las víctimas. Pero, este año, los ataques de phishing se volverán más sofisticados y efectivos.
Adicionalmente, según expertos de Kaspersky, durante el próximo año se presenciará el resurgimiento de ataques, como el ransomware dirigido y aquellos centrados en cadenas de suministro, ya que han probado ser muy lucrativos y tener un mayor impacto para los atacantes. Además, la situación social que se vive en varios países del mundo impulsará el uso de redes sociales para la manipulación de la opinión pública y desinformación, algo que ya se ha visto en los últimos meses.
La empresa espera que existan infecciones vía ataques a cadenas de suministro. Es probable que compañías dedicadas a la producción de software masivo lleguen a convertirse en blanco de este tipo de ataques. El nivel de madurez en ciberseguridad de muchas empresas, por ejemplo, aquellas que producen software contable, es bastante bajo. Sin embargo, la penetración del sistema producido por esas compañías en el mercado suele ser importante, lo que para los atacantes representaría un hecho de alto impacto con mínima inversión.
También, se pueden dar ataques de tipo gusano aprovechando la vulnerabilidad del Windows 7, ya que el soporte de este sistema finalizó el 14 de enero de 2020 y que, según datos de Kaspersky, cerca del 30% de usuarios en la región aún lo utilizan de forma diaria. Los cibercriminales aprovecharan los agujeros de seguridad sin parches de este sistema operativo para atacar a usuarios, tal como pasó con Windows XP.
Método para extraer dinero
Se prevén estafas elaboradas para recaudar fondos a través de phishing, dirigido a usuarios de sitios de compra y venta, así como de intercambio de criptodivisas. Disconformes con solo atacar a los clientes de servicios financieros, los cibercriminales ahora buscan comprometer a los propios bancos o cualquier institución u organización que ofrezca este tipo de servicios, como corresponsalías o hubs de transacciones, tal como se ha observado recientemente en Brasil, México y Chile. Estos tipos de ataques continuarán, tanto por grupos de cibercriminales locales como por grupos internacionales, como Lazarus y Silence, que aumentarán su presencia en la región.
Este año, en vez de exigir dinero por el descifrado de la información, se verá un aumento en campañas extorsivas donde la víctima estará forzada a pagar un rescate para que su información no sea filtrada al dominio público. Esto será particularmente problemático para hospitales, estudios de abogados y contadores, y todo tipo de entidad que maneje información de terceros sujeta a regulaciones. También, algunos grupos cibercriminales escogerán objetivos de alto perfil donde el impacto del ataque pueda comprometer la operación y reputación de las organizaciones afectadas.
Habrá una expansión de ataques de chantaje dirigidos a empresas y grandes corporaciones, debido a la adopción de nuevas legislaciones para penalizar los incidentes de fuga de datos. Estas legislaciones, inspiradas en el Reglamento General de Protección de Datos (GDPR) europea, están siendo adoptadas en el mundo, con el propósito de aplicar duras penalidades a empresas que dejan datos personales expuestos. Como resultado, los criminales, al hacer la invasión de una infraestructura corporativa y cometer, consecuentemente, el robo de datos, lanzarán ataques para chantajear a las empresas víctimas, que tendrán que elegir entre pagar la penalidad impuesta por la ley o pagarle al criminal, causando pérdidas directas a las corporaciones en la región.
Problemas de compliance
Por otro lado, un informe reciente de Kaspersky revela que cerca de dos tercios (67 %) de las empresas industriales no denuncian los incidentes de ciberseguridad a los reguladores. Aunque el compliance es una necesidad para las organizaciones industriales modernas y un motor para la inversión, hay muchos factores que influyen en la forma en la que las empresas cumplen con las normas.
En un mundo en el que los ciberdelincuentes utilizan sofisticados ataques para penetrar en las empresas industriales, las políticas de ciberseguridad sólidas y el cumplimiento de las normativas nunca habían sido tan importantes como ahora, pues poco a poco los países empiezan a adoptar normativas y legislaciones como es el caso de Europa con el GDPR, por ejemplo.
Sin embargo, el informe de Kaspersky sobre el estado de la ciberseguridad industrial en el 2019 revela que muchas empresas están incumpliendo las directrices sobre la presentación de informes, posiblemente para evitar sanciones y la divulgación pública que podría perjudicar su reputación. De hecho, los encuestados afirmaron que más de la mitad (52 %) de los incidentes conllevaron una infracción de los requisitos reglamentarios, mientras que el 63 % de ellos considera que la pérdida de confianza de los clientes en caso de infracción es una de las principales preocupaciones.
Riesgo cibernético
La tecnología está transformando drásticamente el entorno empresarial global, generando una gama más amplia de riesgos interconectados y en constante cambio, como es el caso del riesgo cibernético. La Encuesta de Percepción del Riesgo Cibernético 2019, publicada por Marsh y Microsoft, recoge las respuestas de más de 1500 empresas a nivel global, sobre su visión del riesgo cibernético.
Según la encuesta, en Argentina el 64 % de las organizaciones clasifican el riesgo cibernético como una de sus cinco principales preocupaciones, en comparación con el 50 % registrado en el 2017. En tanto, una de cada diez organizaciones lo consideran su riesgo número uno. Asimismo, el nivel de confianza en su capacidad para enfrentar el riesgo cibernético aumentó a un 75 %, de los cuales, el 54 % de ellos se sienten confiados y el 21 % muy confiados.
Sin embargo, el 26 % de las empresas en el país desconfían totalmente de su capacidad para responder a un evento cibernético. En cuanto a las áreas responsables de gestionar el riesgo cibernético dentro de una organización, el 77% de los encuestados identificaron al área de Tecnología/Seguridad de la Información como la principal responsable, seguida de la Junta Directiva (57%) y la Gerencia de Riesgos (32%). Más del 40% de los altos ejecutivos y miembros de la junta directiva mencionaron que el año pasado dedicaron pocos días al tema, mientras que un 45% dedicó solo algunas horas o menos.
Al mismo tiempo, las organizaciones continúan adoptando nuevas tecnologías, pero no están seguras de los riesgos que conllevan. El 79 % de los encuestados dijeron que están adoptando o están considerando adoptar nuevas tecnologías como la nube informática, robótica o inteligencia ar tificial. El 69 % dicen que evalúan el riesgo cibernético tanto antes como después de la adopción y el 13 % no evalúa el riesgo en absoluto. Una de cada tres organizaciones encuestadas cuantifica el impacto económico del riesgo cibernético, una de cada cuatro compañías encuestadas lo evalúa después de un ataque. Esto puede deberse a la falta de experiencia en la organización con respecto a estas metodologías, a la falta de recursos (tiempo y dinero), o al hecho de que muchas compañías sigan considerando las amenazas cibernéticas como un problema tecnológico más que como un riesgo estratégico.
Edson Villar, líder regional para Latinoamérica en Consultoría de Riesgo Cibernético de Marsh, mencionó que “las empresas están siendo cada vez más conscientes de este problema, pero todavía no están priorizando sus recursos en crear verdadera resiliencia, es decir, en identificar, cuantificar, mitigar, transferir y planificar su respuesta en caso de un incidente”. De acuerdo con la encuesta, el 70 % de las organizaciones consultadas mencionan que uno de los principales detonantes para el incremento en la inversión de ciberseguridad son los ataques cibernéticos.
