19 de diciembre de 2024 - Tiempo de lectura 6 min

Quién me va a atacar a mí: Reflexiones y estrategias de ciberseguridad para empresas

La conclusión principal del evento celebrado en el marco de Vodafone Lab y que fue emitido en streaming fue clara y contundente: ninguna empresa está a salvo de los ciberataques. Aunque muchas pequeñas y medianas empresas (pymes) aún creen que no son objetivos prioritarios, los datos y las historias compartidas durante el encuentro demuestran lo contrario.

Carlos Becker (director de Marketing, Vodafone Business) quiso empezar llamando la atención sobre el interés que despiertan las cuestiones de ciberseguridad, como demuestra que hubiera más de 500 inscritos al evento. Después cedió la voz a tres expertos que compartieron sus conocimientos y experiencia con todos los asistentes.

Una realidad ineludible: el 90% de las empresas han sido atacadas

Manuel Domínguez (director de Marketing Pyme, Vodafone Business), comenzó su participación con un dato impactante: “El 90% de las empresas españolas ha sufrido ciberataques. Solo una de cada diez puede sentirse libre de este tipo de incidentes.” Además, recordó que el coste medio de un ataque asciende a 35.000 euros, y más alarmante aún, el 60% de las empresas afectadas cierra sus puertas en menos de seis meses.

Los motivos tras este panorama preocupante son diversos. La digitalización acelerada, el teletrabajo y el acceso remoto multidispositivo, han ampliado la “superficie de exposición” de las empresas. Además, la falta de personal dedicado exclusivamente a la ciberseguridad en muchas pymes las convierte en objetivos fáciles. Esto pone de relieve que la seguridad no es un lujo o un problema exclusivo de las grandes empresas y organizaciones, sino una necesidad esencial para la supervivencia empresarial.

Hackers éticos vs. ciberdelincuentes

Uno de los puntos fuertes y más esclarecedores del evento fue conocer la diferencia entre hackers éticos y ciberdelincuentes. “El hacker es una persona que busca entender cómo funcionan las cosas y manipularlas para mejorar, mientras que el ciberdelincuente usa esas técnicas para hacer daño”, explicó Raúl Siles (Analista de GuadedBox y DinoSec). Por el contrario, los ciberdelincuentes utilizan esos conocimientos y sus técnicas para causar daños con diversos fines maliciosos.

Esta distinción es fundamental para eliminar el estigma alrededor de los hackers éticos, quienes son aliados en la lucha contra el cibercrimen. Empresas como las lideradas por Mónica Salas (directora de GuadedBox y DinoSec) y Raúl se dedican a realizar auditorías, pruebas de intrusión y desarrollar soluciones innovadoras para blindar tecnologías y procesos.

¿Por qué me atacan a mí si soy pequeño?: El caso del “ataque del vecino cercano”

Uno de los casos más fascinantes y alarmantes que se presentaron fue el denominado “ataque del vecino cercano”. Este tipo de ataque fue realizado por un grupo de ciberdelincuentes rusos altamente sofisticados. Su objetivo era una organización concreta, pero en lugar de atacarla directamente, comprometieron a las empresas cercanas geográficamente para acceder a ella a través de redes WiFi compartidas.

Mónica Salas destacó que "los atacantes ya no necesitan actuar directamente: pueden usar terceros, como empresas cercanas geográficamente, para llegar a su objetivo final." Esto implica que incluso si tu empresa no es un objetivo directo, puede convertirse en un medio para otro ataque.

“Es la primera vez que vemos algo así de manera pública” —señaló a su vez Raúl Siles—. “El atacante comprometía una empresa cercana y usaba equipos conectados por WiFi para lanzar el ataque final a su objetivo real.” Este ejemplo ilustra cómo incluso empresas pequeñas pueden ser utilizadas como trampolín para atacar a entidades más grandes. A la pregunta del público de si restringiendo la potencia del WiFi se reducían los riesgos, Siles respondió que esa capacidad de intrusión depende de la antena del atacante, y se ha llegado a lograr 200 Kms de alcance en algunas pruebas en EEUU.

 El fraude del CEO y el secuestro de credenciales

Otro ataque recurrente destacado durante el evento es el “fraude del CEO”, donde los atacantes se hacen pasar por altos ejecutivos para engañar a empleados responsables de finanzas. Mónica Salas relató el caso reciente de una empresa que perdió 42.000 euros debido a este tipo de ataque.

“Es un ataque muy viejo, pero sigue siendo efectivo porque juega con la confianza y la urgencia”, explicó Salas. Además, los hackers utilizan cada vez técnicas más avanzadas, como el uso de inteligencia artificial para replicar voces o generar correos electrónicos extremadamente convincentes.

Testigos de un ciberataque en directo

Los asistentes al webinar pudieron presenciar en directo cómo los hackers éticos participantes realizaron un ataque basado en phishing por email. Una suplantación de identidad que busca apoderarse de tus credenciales y con ellas acceder a tus sistemas o servicios. En este caso, el ejemplo se realizó con algo tan frecuente como el robo de cuentas de Instagram.

Así pudimos ver cómo la ciberdelincuencia es una industria organizada que cuenta hasta con aplicaciones comerciales que facilitan el trabajo. Es el caso del ejemplo utilizado, llamada gophis, con el que se realizó una campaña de emailing buscando usuarios confiados que cayeran en el engaño y cedieran sus contraseñas. Los expertos subrayaron así la importancia de formar a los empleados en prácticas básicas de seguridad. Raúl enfatizó: “Cada correo recibido debe ser analizado con cautela. Posicionarte sobre el enlace para ver a dónde lleva puede evitar un desastre.”

Educar y proteger: el papel de la tecnología

Un tema recurrente en la conversación fue la importancia de formar a los empleados en ciberseguridad. “Cada correo recibido debe ser analizado con cautela”, subrayó Raúl. “Nunca pinches en enlaces sin verificar antes la URL real, y desconfía de mensajes urgentes o fuera de lo habitual.”

Por otro lado, en opinión de Mónica Salas, las empresas deben implementar tecnologías que minimicen la dependencia de las buenas prácticas humanas, porque “no podemos seguir culpando al usuario. Es nuestra responsabilidad como tecnólogos hacer que los sistemas sean seguros por defecto”. 

En este sentido y en el caso de Vodafone Business, ofrecemos soluciones que incluyen asesoramiento en ciberseguridad y tecnologías avanzadas para proteger tanto a pymes como a grandes empresas. “Nuestro objetivo es acompañar a las empresas en todo el proceso, desde el análisis inicial hasta la implementación de medidas de seguridad”, señaló Manuel Domínguez. Además, como Domínguez señaló "Hemos desarrollado soluciones tanto para empresas con personal especializado como para aquellas que no cuentan con un responsable dedicado de ciberseguridad.”

Si al inicio de este artículo te preguntábamos si creías que podías ser objeto de un ciberataque, después del webinar podemos asegurarte que, como reflexionó Raúl Siles: “Muchas empresas se dividen en dos: las que han sido atacadas y las que no saben que han sido atacadas.” Actuar proactivamente y construir una cultura de seguridad es el mejor escudo contra las amenazas de un mundo cada vez más digital.

Si ahora tienes un poco más de conciencia sobre la necesidad de contar con un Plan de Ciberseguridad en tu empresa y no sabes por dónde empezar, te invitamos a contactar con tu asesor personal o visita la página de plan director que hemos preparado para ti.