“Las pequeñas empresas suspenden en materia de ciberseguridad y los delincuentes se aprovechan”

Miriam Puente es Técnico de Conocimiento y Concienciación para empresas y profesionales del Instituto Nacional de Ciberseguridad de España (INCIBE). Este jueves ha participado en Pamplona en una jornada organizada por la Policía Nacional enfocada al ámbito empresarial.

De 0 a 10, ¿cómo de protegidas están las empresas españolas en materia de ciberseguridad?

–Depende mucho del tamaño de la empresa: cuanto más grande es, más capacidad tiene para invertir en ciberseguridad. En cambio, una empresa o un autónomo, siempre va a tener otras prioridades antes que invertir en ciberseguridad. Además, las empresas pequeñas tienden a pensar que no van a ser objetivo de los ciberdelincuentes, pero nuestra experiencia nos demuestra que nada más alejado de la realidad. Para un ciberdelincuente, la información es su poder y de todas las empresas que puedan obtener información de personas, de clientes, por muy pequeñas que sean, entran en sus planes.

¿Entonces a las empresas grandes qué nota les pone?

–Las empresas grandes están en el notable.

¿Y las pequeñas?

–Están intentando llegar al aprobado. A partir de la pandemia, la incorporación de la tecnología ha sido muy rápida y esa premura en la toma de decisiones para teletrabajar de hoy para mañana, ha generado riesgos. Las empresas grandes ya tenían la infraestructura para teletrabajar, su equipo de sistemas, todo preparado para una situación similar o han sido capaces de adaptarse en poco tiempo, pero las pequeñas lo han pasado peor. Los ciberdelincuentes, conscientes de ello, se han aprovechado. Precisamente a raíz de ello, se han puesto las pilas y van mejorando.

¿Cuáles son los incidentes de ciberseguridad más habituales actualmente en las empresas?

–El phising es el principal (obtención de información personal y bancaria para cometer posteriores estafas) , junto al malware y el ransomware (virus informáticos que permiten a los ciberdelincuentes acceder a un ordenador para secuestrar información para pedir un rescate), que te los puedes descargar accidentalmente desde un correo electrónico. Pero hay otra vertiente: aquella en la que buscan ingresos directamente de las cuentas de las empresas, a través de distintas artimañas, como el fraude el CEO, en la que suplantan a un directivo de una empresa para conseguir que la persona que está a cargo del departamento financiero realice una transferencia a una cuenta controlada por el ciberdelincuente; o el fraude BEC (Business Email Compromise), donde el ciberdelincuente se hace pasar por un proveedor de una empresa y consigue que le paguen dinero de un pedido en una cuenta suya.

¿Qué volumen de incidentes contabiliza el INCIBE diariamente?

–El INCIBE gestionó el año pasado 118.820 incidentes, un 8,8% más que en 2021. De ellos, 110.294 fueron sufridos por empresas y por ciudadanos y un tercio consistieron en filtraciones de datos. Son datos crecientes porque las personas cada vez somos más inseparables de la tecnología.

¿En qué está fallando las empresas?

–Mucho tiene que ver con pensar que los ciberdelincuentes no se van a fijar en mi empresa. Además, las empresas pequeñas invierten en medidas de seguridad básicas, adaptadas a su tamaño. Pero falta concienciar y formar a los trabajadores para que sepan detectar posibles riesgos, como llamadas telefónicas y correos fraudulentos. Porque muchos de los incidentes tienen que ver con errores humanos.

Dígame un consejo básico.

–Hay muchas cuestiones a las que prestar atención, como la reutilización de contraseñas, es decir, usar la misma contraseña para todo. Mediante filtraciones de datos en cualquier sitio en el que nos hayamos registrado con un email, los ciberdelincuentes pueden llegar a tener conocimiento de nuestra dirección de correo y de la contraseña de ese servicio, que puedan ir probando en diferentes sitios, buscando conseguir accesos fraudulentos. En la página web haveibeenpwned.com cualquiera puede comprobar si su correo ha estado expuesto en una filtración de datos. Lo más recomendable es tener un gestor de contraseñas, como KeePass.

¿Qué papel juega el INCIBE en la lucha contra la ciberdelincuencia?

–En la parte de concienciación e información, tenemos muchos recursos gratuitos, como el teléfono 017, al que puedes llamar por teléfono o se puede contactar por medio de Telegram, WhatsApp o formulario para reportar un incidente que hayas sufrido, y si eres una empresa, puedes pedir asesoramiento personalizado en materia de ciberseguridad. Tenemos también una herramienta de análisis de riesgos, que te proporciona un diagnóstico sobre la situación de tu empresa, y a partir de ello ofrecemos soluciones.

¿Qué hago si mi empresa ha sufrido un ciberataque?

–Además de denunciar antes las FSE, siempre hay que contactar con INCIBE porque te vamos a ayudar en el proceso de gestión del incidente, te vamos a indicar qué evidencias hay que recopilar, cómo interponer la denuncia... Somos como las Emergencias de la ciberseguridad. Además, hacemos un acompañamiento del caso durante un tiempo. Y tengo que recalcar que pagar un rescate de información nunca es una solución.

¿Estar totalmente seguro es posible? ¿O es una quimera?

–Por muchas medidas que implementes en tu empresa, los ciberdelincuentes siempre van a intentar buscar una brecha. Incluso en empresas grandes, que se presupone que están más seguras, pueden buscar al eslabón más frágil de la cadena, menos formado, al que pueden engañar y acceder a una brecha de seguridad.