Fui atacado, ¿cómo debo actuar ahora?

Los datos, uno de los activos más valiosos de las organizaciones, están en riesgo. Ante un ataque informático, ¿cómo debe responder la organización?, ¿cuál es el costo de no actuar con rapidez?, ¿cómo mantener a los clientes informados?

A principios de 2019 el banco estadounidense Capital One sufrió el mayor ataque informático registrado en la industria financiera. Un delincuente informático accedió a información de, aproximadamente, 100 millones de cuentas y tarjetas de crédito al explotar un firewall mal configurado. Meses atrás, British Airways sufría el robo de datos de tarjetas de 380.000 operaciones. El ataque le costó una baja del 3% de sus acciones en la bolsa.

Este tipo de noticias son cada vez más comunes en un mundo digital e hiperconectado. Según cifras de Risk Based Security, en 2018 se registraron 6.515 violaciones a la seguridad y unos cinco millones de registros expuestos. Los datos, se han vuelto uno de los activos más valiosos de las organizaciones y ninguna compañía está exenta a sufrir un ataque informático que los pueda comprometer.

Los números

La Argentina es uno de los cuatro países más atacados de América Latina, de acuerdo al informe Internet Security Threat Report (ISTR) de Symantec, publicado por Clarín. El país solo es superado por Brasil, México y Venezuela. El puesto se modifica según el tipo de amenaza: en materia de phishing y ataques a través de Internet se ubica en segundo lugar y, en cuanto a spam y cryptojacking, en tercero. Pasa a cuarto lugar en bots y quinto en malware, ataques a la red y ransomware.

Se estima que uno de cada 1.448 usuarios está implicado en casos de suplantación de identidad (phishing), una estrategia fraudulenta para adquirir información confidencial o tomar el control de los dispositivos. Recientemente, el laboratorio de Investigación de ESET identificó un nuevo correo electrónico que intenta robar información asociada a las credenciales de acceso de Apple ID y al número de tarjeta de crédito asociado a la misma cuenta. Los delincuentes informáticos son cada vez más creativos y veloces para diseñar nuevos tipos de fraude.

El phishing apela al desconocimiento del receptor para engañarlo y generar una brecha en la seguridad, penetrando las barreras de protección de las compañías. Las pequeñas y medianas empresas son las más vulnerables a estos ataques (59,4%) que las grandes compañías (47,2%).

El informe de Symantec hace eco en una nueva amenaza de ciberseguridad, el formjacking. Bajo esta modalidad, los hackers cargan códigos maliciosos en los sitios web para robar información de tarjetas de crédito, como ocurrió con el ataque a British Airways. De acuerdo con Symantec se necesitan 10 tarjetas de crédito robadas de sitios web para obtener un rendimiento de hasta US$ 2,2 millones por mes. Se trata de un negocio lucrativo y, por lo tanto, en crecimiento.

Nivel de conciencia

La Encuesta Global de Seguridad de la Información realizada por PwC en 2018 indica que existe una mayor conciencia por parte de los líderes de las organizaciones sobre las consecuencias de los ataques informáticos. El 40% consideró que el principal problema de sufrir un ataque sería la interrupción de las operaciones mientras que una cifra similar, 39%, habló del compromiso de los datos confidenciales. El 32% remarcó los daños a la calidad del producto, 29% los daños a la propiedad física y 22%, perjuicio a la vida humana.

En Sudamérica la conciencia sobre los riesgos asociados a la confidencialidad de los datos es mayor, ya que el 48% de los encuestados de la región afirmó que la principal consecuencia ante un ataque era el compromiso de los datos confidenciales. En la Argentina la tendencia es similar: el 44% de los encuestados tienen la misma percepción.

El problema que se detecta es que no siempre las organizaciones son capaces de responder ante las amenazas. El 44% de los encuestados a nivel global afirmó no tener una estrategia general de seguridad de la información, cifra que se eleva hasta el 53% en nuestro país. El 48% (54% en la Argentina) indica no contar con un programa de capacitación de seguridad para sus empleados. Y, la frutilla del postre, el 54% asegura no tener un plan de contingencia ante incidentes. A nivel local, la cifra se eleva al 61%.

Las cifras demuestran que la problemática es global pero que la Argentina corre con algunos metros de desventaja. El país es uno de los más atacados, pero no se siente preparado para responder a estos ataques. La problemática es todavía mayor entre las pymes, que son los blancos de una alta cantidad de ataques. Además de prevenir —el 95 por ciento de los ataques a nivel mundial se podría haber evitado, según cifras de Internet Society—, los responsables de seguridad informática deben aprender a curar.

Reacción y acción

Existen ciertas acciones básicas que toda compañía debe tomar para comenzar a planear una estrategia de seguridad. La primera es informarse de los riesgos y tipos de amenazas que existen y que pudieran afectar a la operación de esta. La segunda es mantener el software y hardware actualizado a la última versión y disponer de elementos de seguridad que permitan la prevención, identificación y reacción ante ataques. Además, las empresas deberían asegurarse de que todos los datos se encuentren seguros, sobre todos aquellos que responden a información de las personas, utilizando métodos de resguardo cifrado en donde amerite. Por último, la continua capacitación de los usuarios es fundamental para poder implementar y mantener en el tiempo una correcta estrategia de seguridad.

Aun así, ninguna compañía está exenta de sufrir un ataque. Por eso, es necesario tener tanto una estrategia para prevenir como un protocolo de actuación ante un incidente y poder contener una posible crísis.

Eso es especialmente importante en un mundo donde las empresas se toman alrededor de 210 días en detectar una vulnerabilidad, dejando la puerta abierta para que los delincuentes informáticos accedan a información que debería estar protegida.

Y ahora, ¿qué hago?

Si la empresa es víctima de un ataque informático, lo primero que se debe hacer es mitigarlo. Tener un plan para reducir el impacto de un ataque es fundamental. Internet Society indica que un plan de incidentes debe incorporar capacitación para ayudar a prevenir, detectar, mitigar, responder y recuperarse. Los empleados tienen que estar regularmente capacitados y equipados para lidiar con una pérdida de datos u otro incidente cibernético porque nunca se sabe cuándo podría suceder.

“La seguridad y la privacidad no son absolutas y deben evolucionar. Las organizaciones deben revisar periódicamente sus procedimientos de recopilación, almacenamiento, uso, administración y seguridad de todos los datos (junto con la revisión de tecnologías cambiantes, mejores prácticas y regulaciones)”, señalaron desde de la organización.

Ante un incidente, la clave es generar confianza a través de la transparencia. “En caso de incidente, mantenga la comunicación clara”, recomiendan desde Internet Society. Las empresas poseen el compromiso de tener una vía de comunicación abierta con clientes, miembros de la junta directiva, accionistas, autoridades de protección de datos personales y cualquier otro miembro interesado para informarles tempranamente de lo sucedido. Además, generar actualizaciones periódicas sobre el avance de los sucesos es uno de los pasos claves para mantener la confianza y demostrar que la compañía está involucrada en la resolución del problema.

Entonces, ¿cómo debe responder una organización ante un ataque informático?, ¿cuál es costo de no actuar con rapidez?, ¿cómo mantener a los clientes informados? Podemos decir que estas preguntas no tienen una única respuesta. En primer término, se debe aceptar que el riesgo existe y, consecuentemente, administrarlo de manera adecuada. Esto implica contar con procesos de gestión de incidentes y, en caso de escalar en gravedad, analizar el impacto y activar el protocolo de gestión de la crisis.

No actuar no es una opción que se pueda considerar dado que el costo económico y marcario crece a cada minuto. En consecuencia, la empresa debe implementar las herramientas y desarrollar los procesos que permitan contener la brecha, conocer la forma de informar a las autoridades pertinentes y al público en general y, de esta manera, minimizar el impacto del ataque.

Por Adrián Judzik, Gerente de Ciberseguridad de Telecom