En July 2020, cuando los empleados de Boyce Technologies —un proveedor de soluciones tecnológicas de redes con sede en Nueva York— iniciaron sesión en sus ordenadores e intentaron abrir archivos, recibieron un mensaje alarmante. Sus datos habían sido cifrados, lo que indicaba que unos ciberdelincuentes habían irrumpido en su red.
Los atacantes habían sustraído cientos de documentos, que amenazaban con publicar en la dark web, según The HIPAA Journal. Con el fin de restablecer el acceso a la red y devolver los archivos de Boyce, los ciberdelincuentes exigieron un rescate.
Los atacantes —que forman parte de la banda « » DoppelPaymer , de la que se cree que opera en Rusia— sabían que estaban atacando a esta empresa de 150 empleados en un momento crítico. Allá por la primavera, cuando la ciudad de Nueva York era un epicentro de la COVID-19, Boyce pasó de fabricar sistemas de comunicación para el transporte público a fabricar respiradores de bajo coste y aprobados por la FDA para pacientes con COVID.
«. Cuando hay desesperación, es más probable que los malos [los ciberdelincuentes] consigan su dinero.»Larry Ponemon, fundador del Ponemon Institute
Boyce no se ha pronunciado públicamente sobre si pagó el rescate y se ha negado a responder a las preguntas formuladas para este artículo. Sin embargo, en el momento del ataque, enviaba varios cientos de unidades al día a hospitales de todo el país. Una empresa que se encuentre en esa situación tiene que tomar una decisión difícil, afirma Larry Ponemon, fundador del Ponemon Institute, una organización dedicada a la investigación en materia de ciberseguridad y privacidad. O bien deben pagar, o bien tendrán que soportar retrasos en la producción que ponen en peligro la vida de las personas en plena pandemia.
«A veces, las consecuencias de no pagar son sencillamente demasiado graves», afirma Ponemon. «Se trataba del peor de los casos, en el que podrían haber fallecido personas». Y añade: «Cuando hay desesperación, es más probable que los delincuentes consigan su dinero».
Empresas más pequeñas, objetivos más importantes
Aunque los ciberataques contra las grandes empresas acaparan los titulares, las pequeñas y medianas empresas (pymes), como Boyce, son ahora los objetivos más habituales de estos ataques. Sin embargo, a diferencia de las grandes empresas, que cuentan con presupuestos de TI considerables y se mantienen en alerta máxima ante nuevas amenazas, muchas organizaciones más pequeñas ni siquiera son conscientes de la amenaza, una vulnerabilidad de la que se aprovechan los ciberdelincuentes.
«Muchas empresas piensan que son las grandes las que se ven afectadas», afirma Alex Holden, fundador de Hold Security, una consultora de seguridad con sede en Wisconsin. «Cuando sufren un ataque, siempre se quedan sorprendidos y se preguntan: “¿Por qué precisamente nosotros?”»
Los ciberdelincuentes también se centran en las pymes por otra razón: estas les facilitan el acceso a los clientes de alto perfil de las pymes —los denominados ataques a la cadena de suministro « » (). Varios meses antes de que el grupo de ciberdelincuentes atacara los sistemas de Boyce, al parecer se infiltró en Visser Precision, un fabricante y contratista de defensa con sede en Denver, y sustrajo datos confidenciales de sus clientes. Entre ellas se encontraban Boeing, Lockheed Martin, Tesla y SpaceX, según un informe de TechCrunch .
El teletrabajo ha agravado aún más el problema para las pymes. Los empleados que antes trabajaban en la oficina con un dispositivo propiedad de la empresa y siempre conectados a la red se encuentran ahora en casa y, en algunos casos, utilizan un dispositivo personal que no está conectado a una VPN o que también utilizan otros miembros del hogar, así como muchos otros dispositivos domésticos no protegidos. Los ciberdelincuentes lo saben, por lo que cada vez se centran más en los empleados que teletrabajan y en sus dispositivos finales no protegidos . Según un informe reciente titulado « » (), elaborado por Malwarebytes (), el 20 % de los responsables de ciberseguridad afirman haber sufrido una brecha de seguridad en 2020 que se debió a un trabajador a distancia.
Ponga fin a las campañas de phishing
A muchas pymes les gustaría reforzar sus medidas de ciberseguridad, pero afirman que la pandemia les ha planteado importantes obstáculos económicos. En una encuesta titulada « September 2020 » () , realizada por la empresa de seguridad de redes Untangle , un tercio de las pymes señaló la falta de un presupuesto de TI suficiente como su mayor reto a la hora de proteger sus redes, y el 38 % afirmó que destina tan solo 1,000 dólares o menos a la seguridad informática. Esa actitud de «ahorrar en lo pequeño y gastar en lo grande» sale cara. Los expertos en ciberseguridad advierten de que, si no se protege a una organización frente a los ataques informáticos, esto puede acabar costando mucho más más adelante. En 2019, por ejemplo, el coste medio de una filtración de datos para una pyme, incluido el tiempo perdido, fue de 150,000 dólares.
Aunque las pymes nunca podrán igualar los sistemas de ciberseguridad de las grandes empresas, pueden adoptar de forma rentable algunas de sus mejores prácticas, sobre todo en lo que se refiere a la formación de los empleados. Según Ponemon, el ámbito que más impacto tiene es el de los correos electrónicos de phishing de tipo « » — mensajes falsos cuyo objetivo es engañar a los usuarios para que confirmen su nombre de usuario y contraseña o hagan clic en un enlace malicioso. Según Verizon, el 32 % de todas las filtraciones de datos en 2019 se debieron al phishing, en el que los delincuentes no buscaban vulnerabilidades de software, sino humanas.
«Antes, el phishing resultaba muy evidente: por ejemplo, el logotipo de la empresa estaba borroso, había errores ortográficos y la gramática era incorrecta», afirma Ponemon. «Ha cambiado bastante». Algunas estafas están increíblemente personalizadas. «Le conocen, saben dónde vive».
Incluso Ponemon ha sido víctima de un reciente intento de phishing. Los atacantes piratearon su cuenta de correo electrónico y leyeron sus mensajes; a continuación, redactaron un mensaje que parecía proceder de alguien con quien se comunicaba habitualmente. Para ayudar a las personas a detectar los intentos de phishing, Ponemon recomienda que los responsables de TI de las pymes formen a sus empleados sobre las tácticas que utilizan los ciberdelincuentes y realicen simulaciones periódicas con correos electrónicos falsos.
Refuerce las medidas de protección de las contraseñas
Los expertos en ciberseguridad también recomiendan formar a los empleados para que comprendan la importancia de la autenticación multifactorial al iniciar sesión, el cifrado básico de los archivos y el uso de contraseñas más largas. Estas tienen muchas más posibilidades que las contraseñas cortas de resistir los intentos automatizados de «ataque por fuerza bruta» — —, en los que los ciberdelincuentes prueban la misma contraseña en numerosas cuentas antes de pasar a intentar otra.
«Si solo dispone de seis o siete caracteres, puede utilizar mayúsculas, minúsculas, caracteres especiales y números; da igual». «Aún así, solo se tardará unos segundos o unos minutos en descifrarlo», afirma James Lee, director de operaciones del Identity Theft Resource Center. «Pero si tiene una contraseña de 12 caracteres, se tardaría 300 años en descifrarla». «Su contraseña le sobrevivirá».
Si las empresas no pueden permitirse contar con personal informático que se encargue de dirigir esta formación, Holden recomienda adoptar un enfoque similar al de un «jefe de seguridad contra incendios». Del mismo modo que muchas empresas cuentan con responsables de seguridad contra incendios para supervisar los procedimientos que deben seguirse en caso de incendio, las pymes podrían designar a varios empleados de la organización para que se encarguen de supervisar las mejores prácticas en materia de ciberseguridad.
«Ahora que las filtraciones de datos son algo habitual, ignorar la ciberseguridad es como si alguien dijera que no pasa nada por encender fuegos abiertos en espacios cerrados», afirma Holden. «Necesitamos el mismo nivel de preocupación y un cambio de actitud en lo que respecta a la ciberseguridad».
