No todo son malas noticias en el mundo de la ciberseguridad. Según los datos de esta investigación, España se sitúa por debajo de la media de las amenazas en Europa, con un descenso de los ataques de ransomware del 12,5% con respecto al semestre anterior, en el que se había registrado un incremento del 41%. Reino Unido, Alemania y Francia se sitúan como los países europeos más afectados por los ciberataques y, a nivel global, Estados Unidos ocupa el puesto con mayor número de amenazas, con un total de 1.009 ataques.

Así lo demuestra el  informe Threat Landscape Report, publicado por una de las empresas de referencia en el sector, S21sec, y que analiza la evolución del cibercrimen a lo largo del primer semestre de 2023.

Hemos hablado con Miguel López Negrete, Head of Threat Intelligence de S21sec, para que nos explique cuál es la situación actual y qué podemos esperar en el futuro.

Cada vez las empresas invierten más en ciberseguridad

¿Cómo estamos en términos de ciberseguridad?

Siempre hablamos de lo mismo, el juego del gato y el ratón. Cada vez las empresas invierten más en ciberseguridad y cada vez los ciberdelincuentes utilizan técnicas más sofisticadas para perpetrar sus ataques.

Cada vez las inversiones que hacen las empresas son mayores, las normativas de los gobiernos son más restrictivas en materia de protección de datos y de infraestructura y la concienciación es mayor. Y, sin embargo, cada año vemos que hay más ciberataques y más filtración de información.

Los ciberdelincuentes no miran a quién atacan

El menor índice de ataques en España, ¿es porque estamos preparados o porque no es interesante?

Creo que estamos muy bien preparados. Veo el mercado de los proveedores de servicios de ciberseguridad y en España hay muchas empresas con personal muy senior dando estos servicios.

Hay que tener en cuenta que los ciberdelincuentes no miran a quién atacan. Excepto los que están fomentados por los gobiernos, lo que necesitan es generar dinero y a esos les da igual dónde ataquen. En los países en los que se está reduciendo el fraude, es por las capacidades de ciberseguridad y la concienciación que han conseguido las empresas.

Hay que ir, sobre todo cuando eres una pyme, a donde el retorno de la inversión sea mayor

Una gran parte de la audiencia de El Telescopio son emprendedores. ¿Qué debe tener en cuenta una startup?

Lo primero es cumplir la normativa en materia de protección de datos, por cuestiones de reputación y de sanciones. En el caso de las startups, es muy difícil invertir en seguridad cuando tienes tantos frentes en los que hacerlo para generar beneficios, pero es evidente que hay que empezar por los aspectos más básicos de concienciación y primeros dispositivos de ciberseguridad, para luego ir pasando a cumplir con las normativas, hacer tus auditorías y consultorías y empezar a disponer de otros servicios cuando tienes un volumen de negocio significativo.

El campo de la ciberseguridad tiene un montón de diferentes servicios y soluciones y hay que ir, sobre todo cuando eres una empresa pequeña, a lo que sea más rentable, donde el retorno de la inversión sea mayor: respaldo de la información confidencial, bloqueo con firewalls, sistemas de protección del correo, que son los puntos de entrada por los que los ciberdelincuentes pueden entrar con mayor facilidad.

¿Qué dirías a los que dicen: somos una empresa pequeña, a nosotros no nos van a atacar?

El 65% de las pymes que reciben un ataque de estas características, acaban cerrando el negocio en menos de seis meses o un año. Es posible que no te busquen, pero cuando los ciberdelincuentes lanzan sus ataques, no miran a quién. Lo hacen después.

Primero los lanzan, ya sea a través de correos spam, escaneos de vulnerabilidades o intentos de acceso. Y, una vez que están dentro, miran dónde están. Nadie está libre de recibir un ataque. De hecho, el comentario típico es: hay dos tipos de empresas, las que ya han sido atacadas y las que lo van a ser. Todos vamos a ser atacados y son las medidas de protección las que nos van a hacer resistir esos ataques.

El uso del As a Service genera una matriz de TTPs infinita

¿Podemos hablar de cibercrimen organizado?

Durante muchos años, los proveedores de servicios de ciberseguridad, todos los departamentos de inteligencia, íbamos haciendo seguimiento de cómo eran los TTP [las técnicas y procedimientos que utiliza una banda ciberdelincuente para poder operar] y veías, cuando se realizaba un ataque, quién había sido, cómo lo había hecho y qué iba a hacer. Tenías un cierto control de lo que iba a pasar.

El uso del As a Service genera una matriz de TTPs infinita, porque yo utilizo un tipo de malware con unos procedimientos, unas formas de trabajo y unas técnicas, de una determinada manera; y luego no sigo con los procedimientos habituales como grupo cibercriminal, sino que lo que hago es vender los accesos y cada uno de los compradores los utiliza para diversificarlos. Pueden usarse para desplegar ransomware por una tercera, cuarta o quinta parte. Te puedes imaginar la cantidad de posibilidades que se generan.

Es como entrar en un portal de servicios

¿Cómo es el As a Service en este mundo, nos lo puedes explicar?

Es como entrar en un portal de servicios: tengo desplegados mis malwares, mis bots de máquinas infectadas, puedo ver a qué empresas pertenecen, sacar las credenciales y ver en qué foro lo vendo para poder rentabilizarlo o si lo quiero usar yo mismo. Hay mil usuarios más que ven cada uno lo suyo.

Los gobiernos les permiten atacar a quien quieran y hacer todo el daño posible

¿Qué papel juegan los estados en todo esto?

Los grupos cibercriminales pueden estar respaldados o financiados por gobiernos, en algunos casos. Es decir, los incentivan para llevar a cabo acciones contra las infraestructuras críticas de otros estados, como puede estar pasando en algunas guerras.

Hay otros que están apoyados en el sentido de que los gobiernos les permiten atacar a quien quieran y hacer todo el daño posible, siempre y cuando no ataque a ninguna entidad gubernamental o estructura crítica en el propio país o en sus aliados. Eso sabemos que está ocurriendo.

Se ataca todo

¿Hay sectores que se respetan, como el sanitario?

Se ataca todo. Hemos visto desde hace muchos años que esa es la base. Lo que pasa es que el modus operandi ha cambiado. Hasta hace unos años, la manera principal de obtener réditos era monetaria. Por eso, el objetivo principal eran las entidades financieras, para intentar sacar dinero a través de Swift o de los cajeros. Cuando se han protegido y han invertido mucho dinero en ciberseguridad [y les funciona, es eficaz], los ciberdelincuentes han buscado otros objetivos.

Hasta ahora, los hospitales o los centros de salud no han hecho mucha inversión en ciberseguridad. Con las directivas europeas, lógicamente, se han tenido que reforzar, pero durante mucho tiempo yo cifraba tu información y pedía un rescate. Ahora se centran en otros sectores: salud, transporte, energía, infraestructuras… todas aquellas empresas que no han sido capaces de adaptarse a la forma de trabajar de los cibercriminales.

¿Qué nos depara el futuro?

La inteligencia artificial va a ayudar a pasos agigantados a los proveedores de servicios de ciberseguridad, pero también a los ciberdelincuentes. Muchos temas de vulnerabilidades es por donde podemos seguir avanzando a la hora de visualizar el panorama futuro. Me preocupa que con ella los ciberdelincuentes sean capaces de descubrir vulnerabilidades en el sistema que sean desconocidas y les permitan atacar. Pero las empresas también debemos utilizarla para hacer los mismos escaneos y detectar esas vulnerabilidades.

El ser humano sigue siendo la pieza más débil. A pesar de las medidas para que no ocurra. El ciberdelincuente piensa mucho para tratar de utilizar al ser humano como el inicio de su ataque, porque sabe que es ese eslabón más débil. Hay que reforzar la concienciación y mejorar los sistemas de protección para que, aunque un empleado cometa un error, no haya problemas.

La cadena de suministro también es un tema muy relevante, que las empresas tienen que tener en cuenta. De nada te sirve tener todas las medidas de protección y detección si estás permitiendo que terceros que acceden a tus sistemas puedan ser atacados. Estás permitiendo que accedan con herramientas que en muchos casos son indetectables por los sistemas de protección. Vemos con mucha frecuencia cómo empresas grandes son atacadas a través de la cadena de suministro, a pesar de gastar mucho dinero en ciberseguridad.