Como es costumbre, cuando un año se acaba, tendemos a hacer balance sobre cómo ha ido todo, los fallos que hemos cometido y los logros que hemos alcanzado. En el sector de la tecnología toca hacer un repaso de las principales amenazas informáticas a las que nos hemos enfrentado, cómo ha intervenido el factor humano y cómo se podían haber evitado.
Durante este año hemos podido observar que los ciberataques afectan a instituciones y empresas cercanas al usuario y que ya no es algo aislado en compañías tecnológicas. El Centro Criptológico Nacional (CCN) ha detectado 36 ciberataques críticos a sistemas informáticos de nuestro país durante 2019. Así lo confirmó su Equipo de Respuesta a Incidentes (CCN-CERT) durante sus XIII Jornadas STIC CCN-CERT, celebradas los pasados 11 y 12 de diciembre en Madrid. Teniendo en cuenta que un ciberataque tiene un coste medio de 35.000 euros para una pyme, es importante establecer una estrategia efectiva de ciberseguridad y de educación de usuarios y empleados.
“El factor humano influye de forma clave en un 80% de los ciberataques” afirma Enrique Domínguez, director de Estrategia de Entelgy Innotec Security, división de ciberseguridad de Entelgy. “Es por esto que recomendamos a las empresas que vayan más allá de la detección y hagan especial hincapié en concienciar a sus empleados para que se conviertan en cortafuegos ante estos ataques, formándoles en hábitos seguros en el uso de herramientas digitales. Esto es lo que tratamos de conseguir con The Firewall Mindset, el modelo de concienciación en ciberseguridad de Entelgy”.
Desde la compañía han analizado los incidentes y brechas de seguridad más relevantes del año y cómo se podrían abordar de cara a prevenirlos en el futuro:
- Filtración de datos. En el mes de mayo, los datos de 4,5 millones de usuarios de la venta online de entradas a la Alhambra fueron hackeados. Correos electrónicos, números de teléfono, nombres y apellidos quedaron al descubierto y cayeron en manos de ciberdelincuentes. Los ciberdelincuentes no solo realizan estos ataques para entorpecer la actividad de la empresa, sino que existe un mercado negro detrás para la compra de los datos robados. Algunas compañías especializadas en seguridad estiman que, por ejemplo, los datos de nuestra tarjeta bancaria valdrían entre 8 y 20 euros aproximadamente.
Por este motivo es importante contar con contraseñas seguras, cambiarlas periódicamente y no introducir nuestros datos personales en sitios no seguros. En caso de ser afectados por una filtración como esta, se debe cambiar todas las claves de acceso y notificar inmediatamente a la Agencia Española de Protección de Datos (AEPD).
- El caso FaceApp. Esta aplicación fue todo un fenómeno viral a mitad de año, convirtiéndose en la aplicación de moda del verano. No obstante, también sirvió de enseñanza para muchos, puesto que se reveló que su política de privacidad era un tanto opaca y anticuada. En ella la empresa rusa establece que los usuarios otorgan todos los derechos sobre los resultados obtenidos a la compañía y a las filiales que pertenezcan al mismo grupo. Los datos personales son propiedad del usuario y está en nuestra mano no comprometer nuestra privacidad, revisando estas políticas y manteniendo un control sobre el contenido que compartimos.
- El ransomware Ryuk. Este tipo de ataque “secuestra” los datos del usuario cuando es infectado y pide un rescate económico para desbloquearlos. Esto se conoce como Ransomware-as-a-Service (RaaS). Este virus se propaga rápidamente a otros equipos conectados a la misma red. Si el año pasado el protagonista fue WannaCry, este año el denominado Ryuk ha atacado a grandes compañías españolas a comienzos de noviembre, provocando caídas de servicios y páginas web.
A modo de prevención para evitar este tipo de ataques, el usuario debe desconfiar de los correos y enlaces sospechosos, que suele ser la fuente de infección, así como contar con una copia de seguridad de todos los archivos importantes. Ante una infección, todos los expertos recomiendan no pagar el rescate en ningún caso, desconectar el equipo de la red y avisar a los responsables de IT.
- Phishing contra plataformas de streaming. Los usuarios de este tipo de servicios han sufrido a lo largo de este año numerosos ataques de phishing por parte de cibercriminales que, suplantando la identidad de dichas plataformas, trataban de hacerse con sus datos bancarios y personales. Uno de los métodos más empleados consistía en enviar a los usuarios un correo electrónico falso informándoles de un fallo en el pago de cuota. En este se incluía un enlace a una web ajena a la compañía en la que se les pedía sus datos. Una vez introducidos, estos ya estaban en manos de los ciberatacantes.
Por este motivo, es de vital importancia desconfiar de este tipo de correos y nunca acceder a enlaces si estos parecen sospechosos. Como usuarios siempre debemos evitar dar información personal o de pago aunque haya sido requerida por correo electrónico, por muy oficial que parezca.
Según datos de Google, tres de cada cuatro empresas españolas sufrió un ciberataque en el primer semestre del año. En 2020 las predicciones indican que los ciberdelincuentes utilizarán técnicas más sofisticadas para realizar ataques más selectivos. Además, el uso cada vez mayor del Internet de las Cosas (IoT) posiciona a los dispositivos conectados de este ecosistema como objetivo de ataques cibernéticos, por lo que se espera un aumento de ataques a otras infraestructuras más allá de ordenadores y servidores.
