Ciberseguridad, una amenaza real que no solo está en la portada de los periódicos

Aunque se lleva mucho tiempo hablando de Ciberseguridad, hasta hace muy poco no nos hemos dado cuenta de que el peligro no está reservado a unos pocos, como ocurre con las vidas de los ricos y famosos, sino que es una amenaza latente de la que por desgracia podemos ser víctimas cualquiera.

Fue el pasado mes de mayo cuando todos los informativos y periódicos de todo el mundo, se hacían eco de la noticia sobre un virus llamado “Wannacry”, que literalmente hizo llorar a muchos y que había secuestrado los ordenadores de muchas compañías, pidiendo el pago en “Bitcoins” de una importante cantidad de dinero a cambio de devolverles el control de sus ordenadores.

Poco más tarde, el 27 de junio, una versión nueva de un malware llamado “Petya” que ya había causado estragos en 2016, también secuestró los ordenadores de empresas de varios países, siendo especialmente devastador en Rusia y Ucrania.

Fue la primera vez que verdaderamente todos fuimos conscientes de que no son sólo las grandes corporaciones las que pueden ver su negocio afectado por un ciberataque, sino que cualquiera está expuestos a ello, y lo peor de todo es que nos sentimos verdaderamente indefensos porque además del trastorno que supone no poder acceder a nuestra información, la mayoría de las veces ni siquiera sabemos qué hacer o por dónde empezar.

PERO ¿QUÉ PODEMOS HACER PARA ESTAR PROTEGIDOS?

El “INCIBE” es el “Instituto Nacional de Ciberseguridad” y aconseja tener en cuenta para proteger tu negocio estos 10 pilares básicos:

• Rescata las políticas de seguridad del puesto de trabajo,
• Desarrolla una cultura de seguridad,
• Lanza una campaña de concienciación,
• Haz una buena copia de seguridad,
• Actualiza todo el software,
• Protege la wifi, los móviles y las conexiones desde el exterior,
• Chequea la seguridad de la web,
• Cuida de la reputación y de la identidad online,
• Contrata servicios TIC teniendo en cuenta la seguridad,
• Haz un análisis de riesgos.

Como ocurre siempre en estos casos, son problemas complejos que requieren conocimientos de muy diversa índole y de profesionales especializados. Algunas compañías cuentan ya con la figura del CISO (Chief Information Security Officer), y estamos viendo que es un perfil cada vez más demandado en el mercado laboral. Es la persona que se ocupa de mantener la seguridad de la información de una organización no sólo desde el punto de vista tecnológico, sino teniendo en cuenta la visión de negocio y estratégica de la compañía.

Pero estar protegido significa que hay que estar al día de las nuevas amenazas que van apareciendo constantemente y que por desgracia crecen a un ritmo tan rápido que requieren una dedicación y atención constantes además de un aprendizaje continuo.

Aparte de especialización profesional, estos malware casi siempre entran de la forma más tonta en cualquier compañía, por lo que una de las patas en la que más insisten los especialistas es la concienciación de los empleados.

Lo hemos visto con “Wannacry”, incluso grandes multinacionales con los sistemas más avanzados que llevan protegiéndose desde hace mucho tiempo y que tienen departamentos enteros dedicados a ello, se han visto afectadas. Y nos preguntamos ¿cómo es posible que les pase a ellos? Porque puedes poner todos los medios que quieras, todas las protecciones del mundo y los mejores sistemas, pero si no consigues que un empleado no abra un email que resulta sospechoso, todo ese trabajo que has hecho servirá para minimizar los daños, pero no para impedir que el “ransomware” acceda a la información de tu empresa.

Y tampoco en este caso ser pequeño nos hace estar más protegidos, porque a las portadas de los periódicos sólo llegan los casos que consiguen afectar a muchas empresas, o que ocasionan daños que involucran a millones de usuarios, pero son muchos los negocios que están siendo atacados a diario.

Existe un mapa que muestra los ciberataques en tiempo real en forma de rayos luminosos, diseñado por la empresa “Norse” que está especializada en el análisis de existencia de amenazas. Verdaderamente es impresionante verlo, está cambiando constantemente de colores y a veces la pantalla del mapamundi se ilumina casi por completo. Pero la realidad es mucho peor, porque este mapa sólo visualiza los ataques dirigidos a la infraestructura de “Norse”, que cuenta con más de 8 millones de sensores repartidos en 50 países… Y si sólo estamos visualizando eso, ¿te imaginas cuál puede ser la cantidad de ciberataques que se están recibiendo a diario y que no aparecen en el mapa?

Además, según se va popularizando el uso de las nuevas tecnologías la vulnerabilidad se incrementa. Al principio el peligro estaba en el acceso a internet y en las empresas con sistemas altamente conectados, después vino el acceso a través de los móviles a cualquier hora y en cualquier lugar, y ahora hablamos de los drones, del internet de las cosas, los “wearables”…

SON MUCHOS LOS CASOS, PERO MUCHÍSIMO PEORES LAS CONSECUENCIAS.

Los casos que más eco han tenido hablan de millones de afectados y en muchas ocasiones los daños provocados no sólo suponen cantidades ingentes de dinero, sino que dejan muy deteriorada la reputación de estas compañías por la pérdida de confianza de sus clientes.

Por ejemplo, en 2013 Adobe tuvo que reconocer que le habían robado cuentas bancarias. Ellos hablaron de 3 millones de usuarios al principio, aunque un mes más tarde salió a la luz que eran 152 los millones de afectados… Nunca reconocieron esa cifra y mantuvieron hasta el final que habían sido 38 millones.

También Sony vio como tras un ataque de 3 días, les robaron la información de 77 millones de sus usuarios, incluyendo los datos de las tarjetas de crédito. Aparte de tener que compensar a sus clientes, tuvo que pagar sanciones gubernamentales en países como Reino Unido y Estados Unidos. Tuvo que desembolsar en costes legales 171 millones de dólares y regalar el acceso durante 30 días. Además su CEO tuvo que personarse en el Senado de los Estados Unidos para dar explicaciones.

Pero los datos comprometidos no son sólo económicos. Uno de los casos más escandalosos que se han destapado y que tuvo una tremenda repercusión en todo el mundo por lo comprometido de la información que habían conseguido los hackers, fue el de la web de citas canadiense “Ashley Madison”. Además, la conducta delictiva no se hizo para conseguir dinero, los hackers ni siquiera lo pidieron, se limitaron a publicar los datos de los perfiles registrados en los que figuraba la altura y peso de los usuarios, direcciones postales, las transacciones que se habían pagado con la tarjeta… Aquello le supuso a la compañía una pérdida absoluta de la confianza por parte de sus clientes, la dimisión de su CEO y la policía local relacionó con este asunto 2 suicidios que se produjeron en Toronto.

Y sin irnos tan lejos ni a tan grandes corporaciones, es muy normal que en nuestro día a día estemos en contacto con compañías que ya han tenido que enfrentarse a un ciberataque y además de tener que denunciarlo para ponerlo en conocimiento de las autoridades, necesitan ayuda para solucionarlo y para estar prevenidos y evitar que haya una siguiente vez.

Lo mejor es trabajar en la prevención, que es muchísimo más fácil y económico que tener que solucionar un problema cuando ya está encima… Como hemos podido ver, si no actúas y minimizas el riesgo hay daños que pueden no tener arreglo porque, o suponen unas pérdidas importantísimas o pueden afectar a la reputación de tu negocio…