Según el informe Webroot 2020, durante el año pasado hubo un incremento de los intentos de ‘phising’ en 640% y en cuanto a ‘malware’ dirigido a Windows, 7 de 125%. El análisis también detalla que las webs más suplantadas por los ciberdelincuentes son Facebook, Microsoft, Apple, Google, PayPal y Dropbox. Las empresas tampoco están a salvo de estos ataques y deben implementar tácticas que les ayuden a la mejora en su seguridad.
En Colombia el panorama no es alentador. La Policía Nacional confirmó que a junio se presentaron 2.103 casos de suplantación de sitios web que mediante correos o mensajes inducen al engaño, y registró que hubo un aumento en el número de casos del 59 % frente al mismo periodo del 2019. Hoy, la pandemia es la excusa perfecta para que los cibercriminales hagan de las suyas, dejando en evidencia la importancia de estar preparados.
Al respecto, Marcos Gutiérrez, arquitecto de soluciones de Sonda, informó que 'el cibercrimen tiene organizaciones muy estructuradas y tienen líderes, especialistas y personal que sofistica el delito, incluso tienen encargados para manejar presupuestos. El crimen cibernético tiene como objetivo obtener el mayor botín con el mínimo esfuerzo e inversión. (…) se evidencia que más del 75% provienen de grupos organizados con objetivos económicos'.
El experto agregó que, Colombia aún tiene mucho por trabajar en ciberseguridad. Si bien es cierto que, el sector financiero es uno de los más maduros debido a la regulación que exige la Superintendencia Financiera, aún se tiene mucho por hacer para llegar a niveles altos, si se comparan con otros países. Además, expuso que las pymes aún no han logrado comprender la importancia de avanzar es este asunto y también hay que desarrollarlo.
¡Cuidado a los ataques!
Uno de los tipos de ataque más usados en contra de las compañías es el denominado Business email compromise, con el cual los delincuentes logran acceder a correos electrónicos de los colaboradores y cometen robos financieros. Por ejemplo, ingresan al email del director, lo suplantan y solicitan envíos de viáticos al departamento encargado que, si no tiene un filtro elevado de comprobación, termina realizando el desembolso. Aunque parezca sencillo de detectar, el estudio sobre reporte del crimen del FBI del año 2019, indica que en Estados Unidos fue el sexto delito más cometido con más de 23 mil casos.
Una muy conocida táctica de los estafadores es el phishing, que se hace de diferentes maneras. En general, se realiza el envío masivo de correos fraudulentos y el criminal espera a que alguien caiga, en el caso del spear phishing, se hace de manera más dirigida o personalizada, por lo general, a un cargo en específico dentro la empresa.
El secreto de la ciberseguridad
'Hay un tema que inquieta y que está muy posicionado en el imaginario; se cree que la ciberseguridad es tener una persona que administre algunos sistemas u aparatos, también se piensa que el responsable es el administrador de tecnología y es totalmente erróneo. La ciberseguridad se ha vuelvo estratégica, cuando una organización logra convertirla en una prioridad con unas características especiales, se vuelve más atractiva en el mercado, genera más confianza y por ende atrae más clientes. Si demuestra sus capacidades en ciberseguridad, las personas saben que sus datos empresariales estarán menos expuestos en el mercado y, en esa medida, la compañía que implementó los procesos es más competitiva', explicó Gutiérrez.
Añadió que en ese enfoque se deben plantear indicadores, que estén basados en el estado real de riesgo de la organización. Así mismo, se complementa instaurando un modelo que tenga una orientación hacia la mezcla de tecnología, procesos y talento humano. 'No es decir vamos a comprar un aparato o sistema, eso por sí solo no significa ciberseguridad, es adoptar un marco de trabajo que sirva de metodología y ayude a establecer un programa de seguridad indicado (personalizado) para la empresa'.
Sin duda, existen tecnologías de punta pero que, si no cuentan con procesos adecuados y el personal idóneo que lo administre, podrían quedarse casi obsoletas a la hora de evitar los fraudes digitales. Ha ocurrido que las empresas realizan inversiones poco eficientes, haciendo implementaciones sin concertar los componentes de tecnología, procesos y personal. No son técnicas efectivas, más cuando en la actualidad el recurso humano con altas capacidades de ciberseguridad es escaso.
Preparación y madurez
Se recomienda a las empresas trabajar en etapas para ir evolucionando en la implementación de la ciberseguridad: Identificar, prevenir, detectar, responder y mejorar. Esto permite que se conozca el nivel de madurez de la empresa, de esa manera se mejoran los procesos, la tecnología, el personal y se entiende qué falta para llegar al máximo nivel, entendiendo que ningún proyecto pasa de cero a cien de manera rápida. Por más capital económico que se inyecte, se va a requerir de un proceso para llegar a un nivel exitoso. Si la gerencia tiene voluntad, los tiempos podrán ser menores, pero se requiere de las distintas etapas para una adecuada implementación.
Mejor prevenir que lamentar
En reiteradas ocasiones, cuando una compañía tiene un incidente de seguridad, las otras empresas de su sector (por temor) inician a solicitar servicios para fortalecer sus procesos de ciberseguridad. Por ello, resulta estratégico utilizar centros de operaciones de ciberseguridad tercerizados, ya que se pueden contratar por tiempos o eventos (ataques) y no se requiere pagar una nómina. Esto permite acceder a un equipo de expertos que analiza, monitorea y responde a las necesidades que se presentan.
'El crimen está aumentando, las campañas de ataques se están volviendo más económicas y sacan mayores dividendos. Los ciberdelincuentes se sienten más seguros a realizar este tipo de crímenes digitales que no requieren de su presencia física en un sitio. Las compañías tienen que cuidarse, sobre todo en procesos tan vulnerables -históricamente- como los correos electrónicos, han sido y seguirán siendo el principal medio de comunicación y por eso reciben demasiadas trampas de los ciberdelincuentes para acceder a información relevante de las empresas', concluyó Gutiérrez.
