El cibercrimen también es predecible
Por: Catalina Mertz, economista y directora de empresas
No hay publicación de organizaciones internacionales sobre riesgos estratégicos que no ubique al cibercrimen dentro de las tres primeras amenazas que enfrentan las empresas hoy, posición que además sube si se trata de una proyección a cinco años. Tampoco pasa una semana sin que nos enteremos, por la prensa o como afectado directo, de algún evento digital que genera disrupciones sin precedentes, como el reciente mal funcionamiento de un servicio de antivirus de un proveedor mundial de servicios y productos computacionales, o de un ataque exitoso a una empresa de mayor tamaño en Chile. Pero si se trata de empresas B2B o empresas de menor tamaño, en general no nos enteramos, a pesar de que se sabe que todas están expuestas al cibercrimen y están siendo atacadas. En el caso de las segundas, es justamente el hecho de que suelen contar con menores medidas de protección, lo que las hace atractivas para los ciberdelincuentes.
Y así como el tamaño de la empresa y otras características de la industria y ecosistema digital en que participa contribuyen a caracterizar el atractivo de una potencial víctima de los ciberdelincuentes, se han identificado varios otros patrones. Por ejemplo, los ataques más comunes son el phishing (típicamente implica el envío de correos electrónicos fraudulentos o uso de dominios falsos que pretenden ser de entidades legítimas para engañar a los usuarios y hacer que revelen información confidencial, tales como contraseñas), los ataques de denegación de servicio (buscan sobrecargar un servidor, red o servicio con un gran volumen de tráfico falso, que impide que los usuarios legítimos accedan al servicio), y el ransomware (la solicitud de un rescate a cambio de devolver acceso a los sistemas o datos). Y los dos primeros ocurren con mayor frecuencia durante eventos de mayor consumo —Black Friday o Navidad, por ejemplo—, o crisis y grandes eventos globales, mientras que el tercero suele dirigirse a organizaciones de sectores específicos, tales como la salud y la educación.
Por su parte, las formas de penetrar los sistemas son, básicamente, tres: los correos electrónicos maliciosos ya comentados o el uso de las redes sociales para engañar a las personas, y la explotación de vulnerabilidades de software no actualizados. Además, la actividad delictiva digital no está siendo realizada por personas que actúan en solitario, sino que la esfera digital se ha “industrializado”, y hoy es posible contratar una serie de servicios de cibercrimen a organizaciones delictivas especializadas y que tienen maneras distintivas de atacar. En suma, hay patrones temporales, en las víctimas, en los modus operandi, y en el origen de los ataques.
¿Por qué esto es tan relevante? Porque aun cuando el entorno digital es, por supuesto, mucho más dinámico que el físico, contrario a lo que generalmente se piensa, pero al igual que en el caso de la delincuencia tradicional, los patrones de la actividad criminal la hacen, en gran parte, predecible y, por ende, prevenible. Pero el primer paso para anticiparse es reconocer su importancia. Y uno de los datos revelados en un reciente seminario por la científica de datos Cuky Pérez, de un análisis de las memorias anuales de las empresas reguladas por la Comisión para el Mercado Financiero, realizado con inteligencia artificial por Unholster, no es alentador: solo cinco de las 320 cartas de los presidentes de directorio mencionaron la ciberseguridad. Mientras el riesgo al cibercrimen no se trate con estándares de gestión corporativa similares a los riesgos financieros, tanto las empresas como las personas sufriremos las consecuencias de la inseguridad digital.