Kathleen Duffy nunca se habría imaginado que su negocio se paralizaría de golpe en un domingo tan agradable de marzo.
Mientras trabajaba desde casa, la directora general de Duffy Group, una empresa de selección de personal ejecutivo con 30 años de trayectoria y sede en Phoenix, sabía que sus sistemas informáticos habían sufrido problemas con el correo electrónico la semana anterior. Por lo tanto, cuando no pudo acceder al correo electrónico de la empresa ni a los servidores de datos durante el fin de semana, la señora Duffy lo atribuyó a una continuación de los mismos problemas.
Sin embargo, una breve llamada a su consultor externo de informática le reveló que se trataba de algo mucho más grave. Un pirata informático en Alemania había cifrado todos los archivos de su empresa y exigía un rescate de 25,000 dólares para desbloquearlos. Hasta que accediera a la petición del pirata informático, los archivos comerciales y los expedientes de los candidatos a puestos de trabajo de Duffy Group —el alma y el corazón de su empresa— quedarían completamente inaccesibles.
«Literalmente, nuestro negocio se paralizó», afirma la Sra. Duffy, quien calcula que el incidente le supuso a su empresa 50,000 dólares en pérdidas de ingresos y gastos de TI. «Me dio mucho miedo. Se siente tan vulnerada que no deja de preguntarse: «¿Por qué precisamente a mí?». Soy una buena persona, y no somos tan numerosos. Es decir, se oye hablar de que unos hackers han conseguido 5 millones de dólares de Colonial Pipeline. «¿Por qué querrían que les diéramos un par de mil?»
El Grupo Duffy cuenta con una plantilla de 35 personas y registra unos ingresos anuales de unos pocos millones. Al igual que los directores generales de la mayoría de las pequeñas y medianas empresas (pymes), Duffy creía que los ciberdelincuentes se centran principalmente en las grandes empresas porque son estas las que disponen de todo el dinero. Del mismo modo, es posible que Colonial, una empresa de tamaño medio con unos 850 empleados, no considerara que fuera lo suficientemente grande como para ser objeto de un ciberataque, a pesar del papel fundamental que desempeña en el suministro de petróleo a la costa este. En realidad, las pymes son el objetivo número uno de los piratas informáticos , ya que suelen estar mal protegidas, cuentan con una seguridad informática deficiente y no pueden permitirse estar inactivas durante mucho tiempo.
En resumen, son objetivos fáciles.
«La mayoría de las empresas medianas adoptan un enfoque puntual en materia de seguridad, en el que solo subsanan las deficiencias cuando se producen incidentes», afirma Sanjeev Aggarwal, fundador de SMB Group, una consultora especializada en tendencias tecnológicas en el mercado de las pequeñas y medianas empresas. «Dada la intensidad con la que los piratas informáticos están atacando a las organizaciones más pequeñas en la actualidad, eso es una auténtica receta para el desastre».
[Lea también: Cómo están haciendo frente las empresas al ransomware]
Antes de que la COVID-19 transformara el mundo empresarial tal y como lo conocíamos, la Administración de Pequeñas Empresas de EE. UU. (SBA) informó de que había 30.2 millones de pymes en el país, que daban empleo a casi la mitad de la población activa nacional. (Las pequeñas empresas son, por lo general, aquellas que cuentan con 100 empleados o menos, mientras que las medianas suelen tener entre 100 y 999.) De ellas, aproximadamente el 43 % fue objeto de ataques por parte de ciberdelincuentes en 2019, según un estudio sobre filtraciones de datos realizado por Verizon. Por eso los expertos afirman que las pequeñas y medianas empresas deben intensificar sus medidas de ciberseguridad ahora mismo, antes de que sea demasiado tarde.
Objetivos muy atractivos
Juan Lorenzana es director general de SymbiSystems, una empresa de asistencia informática que representa a decenas de pymes y que, finalmente, ayudó a la Sra. Duffy a negociar un pago reducido de rescate de 2,800 dólares a cambio de una clave de descifrado para recuperar sus datos. Lorenzana afirma que el repunte de los ataques a las pymes se debe a tres factores: un aumento en el número de ataques que aprovechan las vulnerabilidades de Microsoft Exchange Server instalado en las propias instalaciones, la proliferación de trabajadores que operan de forma remota con dispositivos finales que no cuentan con la seguridad adecuada, y el hecho de que haya demasiados piratas informáticos que, durante el confinamiento, se dedican a idear formas de hacerse con datos y activos corporativos.
«». Literalmente, nuestro negocio se paralizó. Se está preguntando: «¿Por qué yo?». «No somos tan grandes».»Kathleen Duffy, directora ejecutiva de Duffy Group
Lorenzana señala que, aunque las víctimas de los ataques puedan sentirse señaladas por los ciberdelincuentes, a menudo no es así. Según él, los piratas informáticos utilizan herramientas de detección de redes, como Angry IP Scanner o Nmap, para rastrear automáticamente bloques de direcciones de Internet en busca de dispositivos vulnerables. Cuando los localizan, lanzan ataques contra los objetivos más jugosos, más fáciles y menos arriesgados (para ellos), que a menudo resultan ser pymes.
«No es que se centren necesariamente en ninguna empresa pequeña o mediana, pero a menudo da esa impresión», afirma Lorenzana.
Andre Mintz, director de seguridad de la información de Newport Group, un proveedor de servicios para jubilados, ofrece otra perspectiva. Afirma que la búsqueda de objetivos empresariales puede ser un proceso muy especializado.
«Los delincuentes rara vez husmean por Internet, como si fueran un cohete en el espacio exterior buscando con qué estrella se van a topar», afirma. «Cuentan con competencias y aptitudes que se adaptan mejor a sectores o disciplinas específicos, como los servicios financieros, la sanidad o el sector inmobiliario».
A menudo, afirma, comienzan por un sector empresarial que les interesa y, a continuación, profundizan en un subconjunto del mismo. En su sector, por ejemplo, los ciberdelincuentes podrían especializarse en cuentas de jubilación 401(k).
«Puede haber piratas informáticos, estafadores o defraudadores que conozcan muy bien los procesos y las prácticas del sector de las pensiones o que tengan amplios conocimientos sobre el ámbito de los servicios financieros, lo cual les permite aprovechar esa información para comprometer o hacerse con el control de la cuenta de una persona», afirma Mintz. «Por ejemplo, cuando el titular de una cuenta participante nunca ha iniciado sesión en ella, algunos ciberdelincuentes son capaces de acceder a ella, realizar una configuración inicial de la cuenta y establecer sus propias respuestas a las preguntas de seguridad diseñadas precisamente para proteger al titular de la cuenta de este tipo de situaciones».
Según Mintz, también están ganando terreno otros tipos de ataques contra las pymes. «La “ingeniería social”, mediante la cual los delincuentes engañan a las personas para que revelen información confidencial, les concedan acceso a la red o les entreguen objetos de valor, se está convirtiendo en un problema cada vez más grave para las empresas más pequeñas», afirma.
La forma más habitual de ingeniería social es el «phishing de tipo “”», en el que los delincuentes engañan a los usuarios para que hagan clic en enlaces de correo electrónico o web que dan acceso a software malicioso o «malware». Pero también puede consistir en que alguien se haga pasar por un directivo de la empresa, ya sea por medios digitales o por teléfono, y convenza a un empleado desprevenido para que transfiera credenciales o fondos a un destino remoto que solo él controla.
«Las empresas medianas son especialmente vulnerables a la ingeniería social», afirma Mintz, «porque cuentan con muchas personas muy ocupadas que desempeñan varias funciones a la vez». Las personas son confiadas por naturaleza y no siempre se dan cuenta de que se les acerca alguien con malas intenciones hasta que ya es demasiado tarde. «Las organizaciones más grandes, en cambio, forman a sus empleados para que estén atentos a este tipo de comportamiento y, por lo general, no caen en la trampa con tanta frecuencia».
Higiene cibernética básica
A la luz de los hechos, los expertos afirman que, por muy bien que una empresa mediana se proteja contra los ataques, estos seguirán produciéndose y, tarde o temprano, acabarán teniendo éxito. Los ciberdelincuentes han alcanzado tal nivel de sofisticación y cambian sus técnicas con tanta frecuencia que incluso las empresas más seguras tienen dificultades para adelantarse a ellos.
«Por mucho dinero, recursos o tiempo que dedique a la ciberseguridad, siempre habrá alguien con más capacidad que usted», afirma Lorenzana. «Es imposible evitar que le hackeen para siempre».
«Las personas son confiadas por naturaleza y no siempre se dan cuenta de que se les acerca un malhechor hasta que es demasiado tarde.»Andre Mintz, responsable de seguridad de la información (CISO), Newport Group
Pero eso no quiere decir que las empresas medianas no puedan adoptar medidas proactivas para limitar su exposición y minimizar el impacto de las infracciones de seguridad cibernética.
En primer lugar, la mayoría de los expertos recomiendan centrarse en las medidas básicas de ciberseguridad para que la empresa resulte menos atractiva para los piratas informáticos: mantenga actualizadas las firmas del antivirus. Utilice cortafuegos de red. Descargue e instale sin demora los parches de seguridad críticos de . Implemente soluciones eficaces para gestionar y proteger los dispositivos finales de . Utilice el cifrado de dispositivos siempre que sea posible. Aplique políticas estrictas en materia de contraseñas y de autenticación de dos factores . Y siga la «estrategia de copia de seguridad “3-2-1 ”», según la cual una organización conserva tres copias de los datos en dos soportes diferentes, uno de los cuales se encuentra fuera de las instalaciones. Esto puede resultar de gran ayuda para restablecer rápidamente el funcionamiento de los sistemas en caso de un ataque de ransomware.
En segundo lugar, los expertos recomiendan encarecidamente adoptar un modelo de identidad y acceso basado en la «confianza cero» (zero trust), en el que se aplica el principio «». Es en este punto donde una organización revoca el derecho de todos a acceder a toda la infraestructura informática. En cambio, tal y como afirma Neil MacDonald, analista y vicepresidente de Gartner: «Los niveles de confianza se calculan y se adaptan de forma explícita y continua para permitir un acceso justo a tiempo y en la medida necesaria a los recursos de la empresa». El enfoque «zero trust» está ganando popularidad entre los equipos de seguridad informática, y el 96 % lo considera fundamental para sus organizaciones, según una encuesta reciente de Microsoft.
«El modelo "zero trust" es una forma de pensar, no una tecnología o arquitectura concreta», afirma MacDonald en un informe reciente de Gartner publicado en :. «En realidad, se trata de una confianza implícita nula, ya que eso es precisamente de lo que queremos deshacernos».
Mintz recomienda una tercera práctica recomendada para prevenir algunas formas de ingeniería social: limitar el número de personas de una organización que puedan autorizar transferencias de fondos.
«De ese modo, si alguien intenta convencer a algún empleado para que transfiera dinero, este dirá: “Bob es el único que puede hacerlo”, y el intento de ingeniería social fracasará».
Las pequeñas y medianas empresas son tan vulnerables a los ciberataques como las grandes organizaciones y, en muchos aspectos, son incluso más vulnerables a las filtraciones de datos, ya que sus defensas suelen ser más débiles y lo que está en juego es mucho mayor si se interrumpen sus operaciones, según afirman los expertos. Por ello, quienes han vivido esa experiencia advierten de que ninguna empresa puede tomarse esta amenaza a la ligera.
[Lea también: 5 formas en que su empresa puede evitar convertirse en noticia]
Duffy, por ejemplo, señala que, incluso después de haber abonado el rescate de y de haber recibido una clave de descifrado, se tardó semanas en restablecer por completo el funcionamiento de los sistemas. Y algunos de los datos de su empresa (en su mayoría, información de marketing) nunca se recuperaron.
«Creo que cuanto más difundamos el hecho de que a las personas de baja estatura nos están atacando, mejor preparados estarán todos para protegerse de este tipo de situaciones», afirma. «No hay garantías de que las buenas prácticas le protejan, pero sin duda dificultan mucho más que los ciberdelincuentes puedan acceder a sus datos o activos».
