Frenar a los ciberdelincuentes no es optativo, tampoco para las pymes

Con independencia del tamaño de la empresa, incluso dejando a un lado la salud que presenta su balance en cada momento, en la estructura de costes debe haber un lugar reservado obligatoriamente a la prevención de los ciberataques. Lo contrario es convertirse en víctima potencial de los hackers y poner en riesgo el negocio mismo. Es la principal conclusión que se extrae del acto divulgativo organizado esta semana por BBVA en la capital grancanaria bajo el título Ciberseguridad para tu pyme. El conocimiento como mejor defensa.

«Los malos», como en diferentes ocasiones se refirieron a ellos los integrantes del panel de expertos diseñado por la dirección territorial de la entidad financiera en Canarias, enfocan todos sus esfuerzos a la obtención de información, la estafa o el secuestro de los sistemas, entre otros delitos. Antonio Palacios, experto en Ciberseguridad de BBVA, incidió en los lazos inevitables que unen los avances tecnológicos con los nuevos retos. «Hay que estar muy cerca de las pymes», afirmó. Este tipo de empresas son más del 95% del total de las que existen en el Archipiélago y, por sus reducidas dimensiones, no siempre tienen los recursos que pone a su disposición la entidad bancaria.

La cuestión ineludible es que el peligro está ahí, con lo que protegerse no es una opción sino una obligación. Más aún partiendo del planteamiento que puso sobre la mesa Palacios. Si la innovación tecnológica nos provee de retos, es útil saber que «el pasado año se invirtieron en España más de 1.000 millones de euros en innovación tecnológica», expuso el experto en Ciberseguridad de BBVA.

«La ciberseguridad a desplegar en los negocios empieza siempre en la cabeza del empresario»

Jorge Alonso

— Director de Consultroía en Velorcios Group

Cierto es también que la ciberdelincuencia está activa cada una de las horas de los 365 días del año. Siempre en continuo estudio de las posibilidades que surgen de multiplicar la eficiencia de sus fechorías. Un proceder que llevó al director de Consultoría de Velorcios Group, Jorge Alonso, a situar «la concienciación» como primer y fundamental paso de cara a construir una estrategia de disuasión que espante a los ciberamigos de lo ajeno. «La ciberseguridad empieza en la cabeza del empresario», explicó. Que el primer ejecutivo de la empresa esté concienciado es fundamental para tener éxito.

«El 80% de los ciberataques que se producen en todo el mundo empiezan en la oficina»

José Damián Ferrer

— Dirección General de Transformación Digital

Internet ha supuesto el cambio de paradigma de mayor calado de las últimas décadas. El significado de la distancia y el tiempo es otro. La Red posibilita cumplimentar gestiones o mantener conversaciones a miles de kilómetros de distancia y «tampoco existe el tiempo, porque lo que antes se olvidaba para siempre, ahora queda en Internet», explicó José Damián Ferrer, que es jefe del Área de Telecomunicaciones y Sistemas de la Dirección General de Transformación Digital de los Servicios Públicos de Canarias.

«No siempre son ataques complejos, existen ‘hackers’ dedicados a vender credenciales en la ‘deep web’»

Rubén Criado

— Director de nuevas tecnologías en Arquimea

En su opinión, la ciberseguridad tiene forma de triángulo y en cada uno de sus vértices se sitúan la tecnología, los procedimientos de seguridad y las personas. «Hay que invertir en las tres», advirtió, «porque si cae uno de esos pilares, todo se viene abajo». Esta afirmación coloca en un lugar preeminente «la formación» de los empleados. Imbuir en ellos la necesidad de estar siempre alerta y exponerles cómo han de actuar ante cualquier eventualidad es recorrer un trecho amplio en el camino a estar seguros. El 80% de todos los ataques que se producen en el mundo empiezan en la oficina», detalló Ferrer.

El factor humano

El ataque llega en la mayor parte de las ocasiones por el flanco del factor humano. Sobrepasar las líneas de defensa –firewalls u otros– resulta casi siempre más complicado que acudir al método de «engañar al usuario», afirmó José Damián Ferrer. Obtener información relevante es abrir la puerta a la suplantación de identidad. «Acceden al correo corporativo de la empresa», subrayó el inspector jefe del Grupo de Delitos Tecnológicos de la Brigada Provincial de Policía Judicial de Las Palmas, Gustavo Cabrera.

«Suele tratarse de organizaciones criminales internacionales, pero hay que denunciar siempre»

Gustavo Cabrera

— Inspector Jefe del Grupo de Delitos Tecnológicos

Si llega un e-mail de un superior ordenando pagos, que pueden ser de «decenas de miles de euros» advierte Cabrera, el resto de «los actores están ciegos». Esos malos saben que ahí está «la brecha de seguridad» principal y por eso dedican meses a hacerse con toda la información posible para conseguir que cuando den el golpe, este tenga la apariencia de una operación habitual del día a día.

«Siempre hay que estar muy cerca y ayudar a las pequeñas y medianas empresas»

Antonio Palacios

— Especialista en ciberseguridad de BBVA

«Detectan quién es el jefe de Recursos Humanos o el director financiero», continuó el inspector jefe del Grupo de Delitos Tecnológicos, y utilizan estas u otras cuentas similares, que son capaces de generar confianza en el resto de la plantilla, para difundir las órdenes que acaban con parte del dinero de la empresa en cuentas de mulas. Estas no son sino personas a las que también se ha suplantado la identidad y que aparecen como titulares de depósitos bancarios que en realidad forman parte de la logística de la red criminal.

El problema es que la víctima recibe esa acción delictiva desde cualquier punto del globo. Lo que no significa que interponer la correspondiente denuncia termine necesariamente en más frustración. «Suele tratarse de organizaciones criminales internacionales, pero hay que denunciar», afirmó Gustavo Cabrera. Lo sostiene partiendo de la base del «robusto sistema judicial y policial» que tiene España, que permite, «mediante comisiones rogatorias», llegar a otros países.

Los ciberamigos de lo ajeno están activos durante las 24 horas de los 365 días del año

El miembro de la Policía Nacional ve «cada día» hechos de este tipo. Incluidos los temidos robos de información que se encripta y queda secuestrada hasta que se hace efectivo el pago de un rescate. También él abundó en la necesidad de que las empresas, aunque sean pequeñas, inviertan en la formación de sus empleados en esta materia. «Hay que concienciarles, sin duda, porque hemos tenido casos en los que algún negocio se ha visto abocado a la quiebra».

Admitida la imperiosa necesidad de contar con un plan que mantenga el negocio alejado de problemas, surge la duda de por dónde empezar. «Por ejemplo, protegiendo los dispositivos con antivirus, contraseñas robustas o backups –copias– de datos», enumeró Antonio Palacios. Y de estos últimos, «al menos tres», que deberán estar depositados en «dos ubicaciones distintas».

Tener todo copiado garantiza que la actividad empresarial puede volver a ponerse en marcha. A esta primera línea, se van añadiendo otros ingredientes útiles para cerrar el paso a los indeseables. Entre ellos, la doble autenticación, otra barrera más allá de los tradicionales usuario y contraseña. Por el camino, siempre es necesario insistir en la concienciación. A ello ayuda también dejar muy claro al personal qué cosas no deben hacer para así no comprometer la seguridad de la empresa.

Hay casos en los que el negocio no supera el problema que crean los ciberdelincuentes y termina por quebrar

Los problemas que pueden surgir los entiende a la perfección Rubén Criado, experto en sectores críticos y tecnologías disruptivas, y director general del Área de Nuevas Tecnología de Arquimea, empresa que opera en sectores tan delicados como el aeroespacial o el de defensa y que despliega en Canarias su división de investigación; «100 personas», detalló Criado.

«No siempre se trata de ataques muy complicados, existen hackers dedicados a obtener credenciales de acceso a los sistemas que después venden en la deep web», explicó. En el polo opuesto se sitúa la investigación sobre medidas a tomar para hacer «resistentes» a las máquinas actuales frente a los ataques de ordenadores cuánticos.

En 2035 todas las instituciones públicas de EEUU estarán preparadas contra los ‘hackers’ cuánticos

Todos los expertos coincidieron en la segura llegada de esa tecnología. «En EEUU, Biden ya señaló que en 2035 todas las instituciones de ese país tendrán que estar protegidas», señaló Rubén Criado en torno a la amenaza latente que suponen los hackers cuánticos. Mucho antes de que se plasme esa realidad, cada día es útil para poner coto a la ciberdelincuencia.