“Los cibercriminales raramente encajan con los estereotipos de Hollywood. Tipos en bodegas mal iluminadas, seleccionando a grandes conglomerados para atacar a través de gusanos y claves para entrar. La realidad es muy distinta”. Así desmitifica Verizon —en un estudio que la operadora de telefonía ha realizado en los últimos años sobre fugas de datos a empresas—a los ciberdelincuentes que causan pérdidas en las empresas grandes en promedio de 861 mil dólares y a las Pymes de 86 mil 500 dólares, según otro análisis de Kaspersky.
Lo que estos criminales utilizan en realidad son técnicas como phishing —suplantan la identidad de la víctima y le sustraen sus datos— y aprovechan la vulnerabilidad de la seguridad de las empresas para hacerlo.
Y lo hacen no sólo a objetivos grandes, sino también a pequeños, como Pymes. Así que si crees que a tu empresa por ser pequeña no le va a pasar, estás en un grave error: Las compañías de todos los tamaños hoy están expuestas a un ataque cibernético.
En México, los ciberincidentes han aumentado durante los últimos años. Según el Reporte Global de Fraude y Riesgo 2017-2018 de Kroll, las empresas que reportaron un ciberincidente aumentó de 82% a 92% en 2017.
La tecnología avanza y a la par también los riesgos a los que se enfrentan las empresas. “En un mundo de internet de las cosas, cada dispositivo que se conecta es algo más por lo que tenemos que preocuparnos. Nos obliga a tener más protección porque los ataques hoy son cada vez más sofisticados”, explica David Montoya, director de Paessler Latam. Ya sea a través de una terminal punto de venta, una computadora sin antivirus, o incluso el celular de un cliente que llegó y te pidió permiso de colgarse a tu red, las amenazas cibernéticas pueden venir cada vez de más lugares.
“Si no tienes control sobre eso, el ataque empieza de ahí y se propaga por toda la red, entonces cada vez con más dispositivos y más tecnologías que se conectan, necesitamos tener la información lo más segura y respaldada por si de pronto te cae un ataque de randsomeware (un programa que restringe el acceso a la información), tú no tengas que pagar el rescate”, asegura el especialista.
Según el estudio de Kaspersky, más de un tercio de negocios (38%) fue afectado por virus y malware causando pérdidas en productividad y alteraciones en los servicios y uno de cada cinco ha experimentado pérdida de datos o exposición debido a ataques dirigidos.
Precisamente, es a esto a lo que los empresarios mexicanos le tienen miedo: Ellos se sienten más vulnerables a ataques de virus (53%), seguido de la eliminación de datos (50%), según el reporte de Kroll.
Entre más se tarde en descubrir un ataque más le va a costar a la organización, tanto en pérdida de datos como de dinero, según lo que encontró Kaspersky. Si una empresa detecta y pone medidas casi de manera inmediata, puede reducir aproximadamente en cinco veces el costo económico de un ataque. “Esto es algo que no se puede remediar a través de aumentos en el presupuesto. Requiere talento, inteligencia y una actitud ágil para proteger el negocio propio”, explica Vladimir Zapolyansky, director de Mercadeo de SMB en Kaspersky Lab, en un comunicado. Lo más alarmante, según apunta este estudio, es que el costo de la recuperación aumenta significativamente según el momento en que se descubre el ataque: Las Pymes tienden a pagar 44% más por recuperarse de un ataque descubierto una semana o más después de que se originara, en comparación con los ataques detectados el mismo día.
Cuidar la protección que se tiene
No sólo se trata de tener protección sino de cuidar que esta esté actualizada. La tecnología avanza rápido y con ello las amenazas también. Esta responsabilidad recae en la empresa porque ni los empleados y usuarios suelen estar al tanto con las actualizaciones de software.
“La gente que se dedica a sacar dinero y provecho de los ataques informáticos es cada vez más creativa, así que de la misma forma tenemos que estar preparados en proteger la información, que es el activo más importante que tienen las empresas”, explica el especialista.
Las formas de ataque son variadas y pueden incluir secuestro exprés de información, la cual es la más común. “Aunque sacan poco dinero, si lo multiplicas por volumen, conviene. Si las empresas pequeñas no se sienten vulnerables y no se protegen, aunque el dinero que saquen sea menor que en una organización más grande, hay más Pymes de las que pueden sacar provecho”, explica el especialista.
Por ello, es muy importante que las Pymes consideren su información como igual de valiosa que la de las empresas grandes, para que de esta manera puedan protegerla a tiempo.
Las empresas necesitan un plan para adoptar nuevas tecnologías, tal como internet de las cosas, por ejemplo, porque de no hacerlo puede resultar incluso más perjudicial. “Esto es importante antes de empezar a meter sobrecargas en sus redes, porque va a necesitar más recursos para poder soportar estas tecnologías, y también para tener visibilidad y control de cómo están funcionando”, asegura el especialista.
La conclusión del estudio de Kaspersky resulta significativa: “Mientras que los ciberataques son inevitables, la manera en la que los negocios utilicen sus presupuestos disponibles y sus recursos va a ser vital para minimizar el impacto financiero y de reputación durante los siguientes años. Mientras que las pérdidas van a ocurrir, la clave es minimizarlas”, indica.
Fuego amigo
Un aspecto que las Pymes no deben dejar pasar es que los ataques pueden venir desde dentro. Ya sea de manera intencional o no, los empleados son una fuente importante de riesgo para las empresas de todos tamaños alrededor del mundo.
Según explica Citrix, el factor humano y las rutinas diarias de los usuarios suponen el mayor riesgo de seguridad cibernética para cualquier organización.
En este sentido, una parte de la responsabilidad de luchar contra este problema recae en los hombros de los trabajadores.
“Sus acciones, junto con redes no administradas y estados cuestionables de los dispositivos se combinan para crear grandes brechas de seguridad”, sostiene esta empresa. Navegar en internet es de lo más común pero también es de lo más riesgoso: por ejemplo, una suplantación de identidad del empleado y con ello la propagación de algún agente dañino dentro de la red, que a su vez lastime a la organización.
“Por lo tanto, si bien las estrategias de seguridad sólidas deben incluir políticas inteligentes, monitoreo riguroso e informes detallados, también deben reflejar las necesidades y hábitos de los usuarios de la compañía”, explica este mismo documento. Las empresas necesitan reforzar la seguridad pero tomando como referencia al colaborador. El primer paso, es informar y hacer conscientes a los empleados de la importancia de este tema. El segundo sería capacitar a las personas para trabajar de manera segura desde cualquier dispositivo y explicarles las políticas de seguridad de la empresa. Además, por supuesto, de la necesidad de que las empresas se defiendan de estas amenazas a través de un software para ello.
