La mayor dependencia tecnológica ha hecho que tanto empresas como individuos se vuelvan más vulnerables a los ataques a su privacidad, seguridad y patrimonio.
Los avances de la automatización disparan la productividad, eficiencia y las comunicaciones, pero también elevan los riesgos de pérdida de información, y ante ello es indispensable tomar acciones preventivas.
Y es que, desafortunadamente, los cibercriminales no descansarán nunca para idear nuevas formas de sorprendernos y atacarnos.
Uno de los métodos que ellos más utilizan para vulnerar a una empresa es el llamado phishing, que consiste en persuadir a los colaboradores de una organización para que compartan información sensible o financiera tendiente a causar daño económico, competitivo o de reputación.
También es muy común el uso de software malicioso (malware) para apoderarse de la información de la red interna y utilizarla a conveniencia con fines similares a los del phishing o bien para pedir un recate a cambio de devolverla (lo que se conoce como ransomware).
Sin embargo, los expertos advierten que en la mayoría de los casos entra en juego no sólo la habilidad de los ciber delincuentes, sino también los errores que cometen tanto las empresas como sus empleados.
Por ello, recomiendan impulsar internamente una cultura de prevención y seguridad interna, así como llevar a cabo una periódica actualización de las redes y sistemas internos, para evitar que los ladrones tomen ventaja.
“Conforme las empresas mudan sus negocios a la nube y adaptan tecnologías más avanzadas, se vuelven más vulnerables a los ataques; lamentablemente, todo indica que esta tendencia seguirá al alza”, advierte Nivedita Jame Palatty, de la firma de ciberseguridad Astra, al referir que el riesgo es aún mayor en las Pequeñas y Medianas Empresa (Pymes).
Aunque las amenazas siempre seguirán presentes, las organizaciones más proactivas en prevención serán las más protegidas.
Por ello se recomienda establecer planes claros y de rápida ejecución en caso del robo de información sensible o la paralización de las actividades informáticas.
Además, sugieren recurrir a profesionales para analizar los riesgos principales en las redes de la organización, así como las prácticas vigentes en seguridad informática, y también actualizar al personal sobre las amenazas y la forma en que pueden ayudar a contenerlas.
Las principales amenazas
A decir tanto de firmas como de especialistas, los riesgos de fraude cibernético en las empresas son tanto internos como externos. Éstos son los principales y algunas recomendaciones
Phishing:
Aunque existe desde la década de los 90, persiste como uno de los ataques más comunes. Su nombre proviene del inglés fish for, haciendo referencia a la “pesca” de información sensible, passwords o de tipo bancario. Evoluciona constantemente y se ha vuelto cada vez más sofisticado.
Cuando logran su cometido, los ‘piratas’ informáticos tienen acceso a información confidencial, como pueden ser datos de inicio de sesión o los relativos a cuentas bancarias. Los usuarios son engañados, normalmente a través de enlaces maliciosos que reciben por correo electrónico o SMS (conocido este último como smishing).
Uno de los tipos de phishing más comunes son los mensajes de un supuesto banco para advertir a una persona que su cuenta está bloqueada, buscando causarle preocupación y ofreciéndole una liga que la llevará a un sitio malicioso donde le piden llenar datos sensibles. La víctima cree que se está comunicando con su banco, y provee la información, la cual será usada para perjudicarla.
A pesar de que la mayoría de los bancos envían mensajes a sus clientes para recomendar a sus clientes no compartir la información de sus cuentas, los ataques son continuos y cada vez más sofisticados.
Otro caso que se ha vuelto común es el hackeo de las cuentas de mensajería personales de ejecutivos, como las de Facebook o Whastapp. Los cibercriminales clonan la identidad y/o números de las víctimas y se comunican con colaboradores de la organización, quienes al ver que los mensajes se los manda su superior, son más proclives a compartir la información sensible e incluso a hacer transferencias a las cuentas de los ‘piratas’ informáticos.
¿Qué hacer?
Informar a los colaboradores sobre estos riesgos, especialmente aquellos que manejan información sensible o financiera de la empresa, por ejemplo, quienes tienen acceso a las cuentas bancarias o a datos confidenciales relacionados con las operaciones.
Tratar el tema con cada nuevo empleado, ya que la amenaza es latente, y todos deben saber reconocer los tipos de phishing que existen, teniendo claro que no deben responder a ninguna solicitud de este tipo.
Conminar a todos los colaboradores a que informen a las áreas de TI y gerenciales sobre cualquier actividad sospechosa que detecten en sus redes, para así implementar las medidas preventivas y de seguridad requeridas.
Existen también sistemas de detección de intrusos y filtros de spam para aumentar la seguridad en la organización. Éstos no sólo identifican las amenazas, sino que las bloquean antes de que lleguen a sus destinatarios potenciales.
Otra opción es instalar algún software de autenticación múltiple y/o de contraseñas seguras.
Malware:
El malware es un software malicioso que los ‘piratas’ utilizan para acceder a la red privada de una empresa, permitiéndoles controlarla a discreción.
En ocasiones, el malware ha sido instalado con antelación y aunque la empresa tome medidas preventivas, la información dañina sigue presente en sus redes y puede ser detonada en cualquier momento.
El malware es difícil de detectar y puede ser usado para controlar una computadora remotamente y robar datos, investigar una red local o enviar spam desde una máquina infectada.
De acuerdo con estudios, nueve de cada 10 ciberataques se originan con un correo electrónico de phishing, que lleva al usuario a instalar inconscientemente el malware, por lo que estos dos tipos de ciberfraudes suelen ir de la mano.
El malware permiten no sólo el robo de datos y contraseñas, sino incluso la eliminación de archivos completos, causando grave daño a las compañías, ya que muchas veces esa información es clave para sus operaciones e incluso para su competitividad.
Además, los equipos atacados con el malware pueden quedar inutilizados por completo, lo que obliga al negocio a incurrir en gastos para su reemplazo, situación especialmente adversa en las Pequeñas y Medianas Empresas (Pymes), pues no cuentan con grandes flujos de capital.
El software malicioso suele no limitarse a una sola computadora, sino que se propaga por toda la red interna y además lo hace a gran velocidad, causando potencialmente daños cuantiosos.
¿Qué hacer?
Lo más importante es evaluar los riesgos de seguridad en la red de la empresa.
Estudiar la posible adquisición de software antivirus y anti malware avanzado en los dispositivos de los empleados.
Actualizar los sistemas continuamente, ya que los ataques de malware están en constante evolución.
Mejorar la seguridad de la red interna: recurrir a especialistas para que analicen los puntos débiles y además para la detección de posible malware oculto ya instalado.
Alertar a los colaboradores sobre los riesgos y formas de prevenir el malware, ya que éste se filtra en muchos casos por causa de errores internos.
Ataques internos:
Aunque muchos de los riesgos de robo de información provienen de fuera, también existen las amenazas internas, representadas en muchos casos por colaboradores desleales o aquellos que tienen intereses más allá de lo profesional.
El robo o eliminación de información a cargo de este tipo de personas es algo difícil de evitar, ya que todos los empleados, para hacer sus tareas, deben de tener acceso a cierta información, procesos y datos privados de la organización.
Además, en este caso los peligros potenciales obedecen normalmente a situaciones individuales de cada colaborador, más que a una amenaza generalizada como en el phishing o el malware.
Un empleado enojado, especialmente aquel que tenga acceso a información sensible, puede causar graves daños si comparte o elimina ciertos datos, poniendo en riesgo no sólo las operaciones, sino incluso la reputación de la compañía.
¿Qué hacer?
Si bien en muchos casos, lo que detona que un colaborador vulnere la información de la empresa son los intereses económicos, esto no siempre es el detonante. A veces la motivación es personal, simplemente porque el colaborador que pone en riesgo a la empresa piensa que ha sido tratado de forma injusta.
Este tipo de riesgos tienen que ver con la naturaleza humana, por lo que las acciones preventivas se concentran en aspectos como el de la cultura organizacional.
Todos los colaboradores deben entender la gravedad de este tipo de daños, así como sus implicaciones legales cuando se trata de acciones dolosas.
En ocasiones, la afectación puede deberse a algún error de procedimiento o descuido, en cuyo caso los llamados a actuar con conciencia deben ser continuos.
Mientras, los equipos de TI de la compañía deben hacer respaldos continuos de la información sensible, sobre todo aquella que por las necesidades de la operación deba estar disponible a ciertos colaboradores.
Siempre que un empleado deja la empresa, por cuenta propia o por otras razones, debe hacerse un repaso cuidadoso de la información que maneja y evitar cualquier vulneración en los dispositivos que ocupa.
Aunque esto pueden herir susceptibilidades, los riesgos son tan altos que la organización no debe escatimar en tomar las medidas pertinentes.
Los especialistas recomiendan también trabajar con los equipos de Capital Humano en el análisis del comportamiento de los colaboradores, pera detectar aquellos que puedan representar riesgos, debido a sus acciones dentro de la organización o bien por sus antecedentes.
Correos electrónicos:
Existen diversas variables de ataque cibernético en las que se usa el correo electrónico, siendo el phishing una de las más comunes, aunque en este caso la víctima puede ser aleatoria.
Hay situaciones más sofisticadas en que los atacantes vulneran primero el sistema de correos de la empresa y analizan la información, para saber, por ejemplo, cuáles son los sistemas internos de pago y así realizar una intrusión más efectiva.
Los ciber delincuentes se hacen pasar como usuarios internos, mediante un email falsificado y así gestionan transferencias de dinero a sus cuentas o bien piden información sensible para robarla.
¿Qué hacer?
Fomentar las contraseñas seguras entre usuarios a través de los departamentos de TI de la organización. Las contraseñas deben actualizarse periódicamente y el personal debe estar consciente de los riesgos de compartir cierta información en sus redes sociales.
Preferir los sistemas de verificación telefónica cuando se trate de transferencias entre cuentas bancarias de la organización.
Considerar los sistemas de autenticación múltiple y usar siempre procesos de verificación con correos y números telefónicos alternos.
Otros peligros:
Las puertas por las que una compañía puede ser vulnerada son muchas y, además de los peligros ya mencionados, existen otros tipos de ciberfraude que vale la pena tener en mente.
Entre ellos está el llamado ransomware, donde los perpetradores roban la información y exigen a la empresa un pago por devolverla, destrabarla o simplemente por no difundirla. Este tipo de intrusión requiere generalmente la colaboración involuntaria de los usuarios internos de la empresa.
También están los ataques que se pueden sufrir en la nube, ya que es allí donde las empresas almacenan cada vez más información.
Aunque los servicios que brindan las distintas compañías de resguardo de datos son muy seguros, los riesgos son latentes, por lo que al elegir un proveedor deben analizarse muy bien las garantías que ofrece y optar por las opciones más seguras y con mayor redundancia,
Hay otros peligros más y los cibercriminales están constantemente ideando formas de causar daño a las organizaciones. Ante ello, las premisas fundamentales serán siempre: mantenerse actualizado, promover una cultura interna de protección de datos y no escatimar en acciones preventivas.
Fuente: Análisis propio con información de bdodigital.com, expertinsights.com y getastra.com