Uno de los mitos en materia de ciberseguridad es que los ataques se enfocan en las grandes compañías, cuando las pymes son el principal objetivo de los delincuentes.
En Colombia, según la Fiscalía General de la Nación, el segundo delito más denunciado es el uso abusivo de sistemas informáticos, lo cual quiere decir que es más fácil que te roben una contraseña que el celular al andar por la calle o en TransMilenio.
Ante esa realidad, las empresas de todos los tamaños deben contar con dos estrategias: la primera, enfocada en la prevención y la creación una cultura de la ciberseguridad que, al contrario de lo que muchos creen, no requiere grandes inversiones. Y la segunda, en la continuidad del negocio cuando algo falla.
“Uno de los grandes mitos es que los ciberdelincuentes se enfocan principalmente en las grandes compañías cuando en realidad las pymes son las que más están expuestas”, dijo Fernando Fontao, gerente de Gerente Regional de Canales de BeyondTrust, al intervenir en el webinar “Aprende cómo prevenir amenazas de ciberseguridad en tu empresa”, de MisiónPyme.
Según el experto, aunque al comienzo los ataques de los criminales informáticos eran masivos, carecían de un objetivo y ni siquiera buscaban hacer dinero, la actividad se fue haciendo más sofisticada gracias al volumen de herramientas y software disponible en la misma red, lo cual facilitó la labor de los hackers.
También te puede interesar: Pymes, las más afectadas por los ciberataques
“Al poder ejecutar miles de ataques, se dieron cuenta de que podían pedir rescates de entre US$2.000 y US$3.000 a las empresas más pequeñas, que son la mayoría, y por eso los ataque se hicieron masivos”, señaló Fontao.
Pero esta actividad se ha visto facilitada por la carencia de una cultura de la ciberseguridad en las compañías, a pesar de que muchas de esas soluciones y herramientas son incluso gratuitas, pero a las pymes les da pereza utilizarlas porque consideran que no son un objetivo para los hackers.
“El ransomware o secuestro de datos es el ataque más frecuente en la actualidad. El hacker ejecuta una secuencia de ataques para llegar a la información y obtener el dinero”, agregó Fontao y explicó que otra de las modalidades que más usan los delincuentes es la ingeniería social.
Se trata de correos que parecen legítimos de un banco o de una entidad gubernamental como la DIAN, en los cuales se advierte a los destinatarios que tienen que cambiar una contraseña o actualizar el RUT. Al hacerlo, contaminan la computadora de la víctima y eso les permite a los criminales saber cuánto podría valer la información robada o secuestrada.
“El hacker tiene la ventaja del tiempo, no tiene prisa. Lo que hace el hacker es estudiar el entorno una vez que tuvo acceso remoto al computador de su objetivo. Hoy en día el tiempo promedio para detectar y contener un ataque cibernético es de 10 meses, o sea, el hacker tiene 10 meses para estudiar, atacar e ir creciendo dentro de tu organización”, explicó el experto.
En el mismo webinar, Javier Castrillón, Ingeniero senior de Veeam Software para el Norte de Latinoamérica, señaló que dado que el riesgo existe y cualquier compañía puede ser víctima de los hackers es fundamental contar con dos estrategias: una de protección ante los riesgos y otra enfocada en el manejo de la crisis cuando haya fallas para garantizar que el negocio siga andando, pueda seguir facturando y minimizar el riesgo de reputación.
“Es mejor invertir en prevención que esperar a que las cosas sucedan porque el hacker puede atacarte las veces que quiera y ante una sola falla ya están dentro de la organización”, explicó Castrillón. “Uno cree que la inseguridad está solo en la calle, pero no hay tal, es más fácil que te roben la plata de tu cuenta de ahorros o las contraseñas a que te roben el celular”, agregó.
Y es que según un estudio de Fortinet, Colombia fue el tercer país de América Latina y el Caribe con la mayor cantidad de intentos de ciberataques en 2022, lo que equivale a un crecimiento del 80% hasta 20 mil millones. México encabezó la lista con 187 mil millones, seguido de Brasil (103 mil millones), y Perú se situó como el cuarto con 15 mil millones.
Ante dichas amenazas, los expertos señalaron las mejores prácticas para evitar caer en las garras de los ciberdelincuentes:
1- Crear una cultura de la ciberseguridad en empresa, que no requiere inversiones millonarias y que, en el caso de los negocios más pequeños, puede basarse en herramientas gratuitas que están en la red.
2- Hacer ejercicios de ‘phishing’, enviando correos falsos contra el personal de la empresa para ver qué tan vulnerable es. Además, se recomienda capacitar a los empleados de la organización para que conozcan los principales riesgos y amenaza.
3- Implementar la doble autenticación para todos los sistemas y computadores de la empresa. Una de las principales amenazas que enfrentan las pymes está relacionada con una mala gestión de las credenciales y el uso de contraseñas frágiles.
4- Se recomienda evitar el uso de las mismas contraseñas en varias cuentas y almacenarlas en una bóveda de contraseñas como las que vienen con los navegadores y son gratuitas, aunque en el mercado hay varias asequibles.
5- Hacer una adecuada gestión de los parches de seguridad en los computadores de la empresa y en la nube. En otras palabras, siempre tener las últimas versiones de los sistemas operativos y contar con antivirus y firewalls, y cuando se trabaja remotamente usar VPN (redes privadas virtuales).
6- Alinear los equipos de seguridad como los de recuperación en las empresas, lo cual quiere decir que hay que alinear las estrategias y las expectativas.
7- Tener en claro cómo y dónde se va a hacer la recuperación de la información. Es decir, dejar de creer que “como estoy en la nube, es responsabilidad del proveedor que todo funcione. El proveedor es responsable por el servicio, pero los datos son de la empresa”. Es decir, la responsabilidad es compartida.
Si quiere revivir el webinar de MisiónPyme, puedes hacerlo aquí: