La ciberdelincuencia es el gran desafío global: su coste equivale al 1 % del PIB mundial y se han convertido en un negocio cada vez más popular por su alta rentabilidad, superior ya al 1.400 %, un retorno que se sitúa muy por encima del de otras actividades delictivas, como es el caso del narcotráfico
23 abr 2023 . Actualizado a las 05:00 h.El mundo está cada vez más conectado gracias al avance de la tecnología. Sin embargo, esto también ha dado lugar a una creciente amenaza de ciberdelitos. La ciberdelincuencia se ha convertido en una de las mayores amenazas para la seguridad y privacidad en el mundo digital. Se trata de un conjunto de actividades ilegales que utilizan la tecnología para perpetrar delitos, dañar sistemas informáticos, robar información y cometer fraude.
Según algunas estimaciones, el cibercrimen le costó al mundo alrededor de 7 billones de euros en el 2022 (se espera que llegue a los 10,5 billones de euros en el 2025), cifra que incluye el coste directo de recuperarse de un ciberataque, como la eliminación del software malicioso o la restauración de los sistemas, y el lucro cesante o la pérdida de productividad. Representa aproximadamente el 1 % del Producto Interior Bruto (PIB) global, muy por encima de la piratería y del tráfico de drogas, y casi cuatro veces más que la cantidad que se destina a las donaciones para el desarrollo internacional. Su crecimiento parece imparable y puede convertirse en la tercera mayor economía a nivel mundial en el corto plazo. Se trata de un «negocio» altamente rentable (se estima que el cibercrimen genera un retorno de la inversión -ROI- superior al 1.400 %, muy superior al generado por el narcotráfico), que requiere de pocos recursos, adolece de regulación a nivel internacional y se beneficia de una impunidad que ronda el 95 %.
Adicionalmente, es preocupante que el cibercrimen esté cada vez más accesible a un público más amplio debido a la popularización del «cibercrimen como servicio», que ha eliminado casi todas las barreras de entrada para cometer ciberdelitos. Los ciberdelincuentes más habilidosos técnicamente están comercializando masivamente herramientas y servicios que anteriormente solo estaban disponibles para los atacantes más avanzados, minimizando, de paso, su exposición al riesgo. Los ciberdelitos tienen un impacto significativo para las personas, las empresas y la sociedad en general. Los individuos podemos ser víctimas de robos de identidad, estafas en línea o acoso cibernético. Las empresas pueden sufrir daños financieros derivados de la interrupción de sus servicios, pérdida de información valiosa o daño a la reputación. Adicionalmente, los ciberdelitos también pueden afectar gravemente a las infraestructuras críticas del país, como el suministro de energía o agua, las redes de transporte, el sector financiero o las telecomunicaciones.
Los ciberdelincuentes están en constante evolución y utilizan infinidad de técnicas o mecanismos para lograr su objetivo, que en la mayoría de los casos es la mera obtención de un beneficio económico. En la actualidad preocupa especialmente la utilización del phishing para la introducción de un malware tipo ransomware en los sistemas de una organización, y proceder a realizar hasta una triple extorsión. En la primera extorsión, el malware o software malicioso bloquea (cifra) el acceso a la información de la organización y el ciberdelincuente exige el pago de un rescate (generalmente en criptomonedas) para desbloquear los datos.
En la segunda extorsión, el malware también ha sustraído información confidencial de la organización y el ciberdelincuente exige el pago de otro rescate para evitar su divulgación. En la tercera extorsión, el malware ha sustraído información sensible de los clientes de la organización (por ejemplo, datos médicos) y el ciberdelincuente exige a cada cliente individualmente el pago de otro rescate para evitar la divulgación de su información personal sensible. En todo caso, se recomienda no pagar un rescate por tres razones.
En primer lugar, existe el riesgo de ser acusado de cometer un delito, como el de colaboración con banda u organización criminal o el de sufragar a organizaciones dedicadas al blanqueo de capitales y/o a la financiación del terrorismo. En segundo término, el pago del rescate no garantiza que el ciberdelincuente cumpla su promesa. Y, por último, si se paga, el ciberdelincuente puede ver a la víctima como alguien que está dispuesto a pagar y tratar de atacarle de nuevo en el futuro. En este contexto, la empresa tiene una gran responsabilidad en la prevención y protección contra el cibercrimen, ya que tiene el deber de garantizar la seguridad de los datos de sus clientes y empleados. Esto implica la adopción de un enfoque proactivo en la protección de la información, siendo conscientes de las últimas amenazas y riesgos a los que se exponen sus sistemas de información. La implantación de soluciones tecnológicas juega un papel fundamental en la protección de los sistemas de información corporativos; sin embargo, es igualmente importante asegurar que los empleados están adecuadamente capacitados en ciberseguridad, siendo conscientes de los riesgos a los que se exponen y teniendo las habilidades necesarias para detectar y prevenir los ciberataques dirigidos al que sigue siendo el eslabón más débil de la cadena: las personas. Por otro lado, en caso de sufrir un ciberataque, las empresas tienen el deber de notificarlo a sus clientes y a las autoridades competentes de manera oportuna y transparente. Finalmente, la empresa tiene la responsabilidad de colaborar con otros actores para prevenir y mitigar el cibercrimen. Esto implica la colaboración con otras empresas, instituciones gubernamentales y organizaciones de ciberseguridad para compartir información y mejores prácticas en ciberseguridad.
Jordi Juan Guillem Socio EY Technology Consulting - Cybersecurity.