Los atacantes no necesitan conocerte para detener tu empresa

Autor: Manuel Alexandro Moreno Liy, Consultor de Ciberseguridad en IQSEC.

En las conversaciones que tenemos con directivos de empresas que no son bancos ni aparecen en los periódicos, hay una pregunta que se repite: “¿Y quién querría atacarnos a nosotros?”.

Entiendo de dónde viene esa percepción, pero esa pregunta parte de una imagen que ya no corresponde con la realidad, es decir, con la del delincuente que estudia a su víctima, la elige y después va tras ella. Hoy, muchas organizaciones no necesitan llamar la atención de nadie para convertirse en un objetivo. Basta con que un proceso automatizado encuentre una oportunidad.

Para quienes no están familiarizados con el término, el ransomware es una modalidad de ataque en la que los delincuentes pueden bloquear o robar información y exigir un pago para recuperarla o evitar su divulgación. Y hay algo que conviene recordar, los casos que conocemos públicamente no representan necesariamente todos los que ocurren. Muchas organizaciones afectadas nunca aparecen en los registros de los grupos criminales.

Lo que más me llama la atención es cómo ha evolucionado la manera de operar de estos grupos. Cuando observamos su actividad, encontramos organizaciones con gran capacidad de ataque, otras más pequeñas y una especialización que recuerda cada vez más a una industria.

Desde mi perspectiva, quien desarrolla las herramientas, quien consigue el acceso inicial y quien negocia el pago ya no tiene por qué ser la misma persona. Cada uno puede desempeñar una función dentro de una operación más amplia. Y esa división del trabajo ayuda a entender por qué el ransomware puede sostenerse y extenderse sin depender de un solo atacante.

Aquí está lo que normalmente no estamos considerando. El verdadero problema no es únicamente que existan muchos delincuentes, sino que ellos operan mediante procesos mientras nosotros seguimos defendiéndonos como si cada ataque fuera un evento aislado.

Un proceso no pregunta quién es usted. Busca una puerta abierta y una operación cuya interrupción pueda convertirse en una forma de presión. Eso ayuda a explicar por qué sectores como la manufactura resultan especialmente atractivos. Una planta detenida puede representar pérdidas por cada hora sin producir, retrasos en entregas y compromisos incumplidos. Quien ataca no necesariamente busca una marca reconocida; busca una organización para la cual detenerse tenga un costo elevado.

Contexto mexicano

En México, esta realidad merece especial atención. Los casos conocidos muestran que el ransomware no se limita a las grandes instituciones financieras o a las empresas tecnológicas. También alcanza a organizaciones de manufactura, servicios empresariales, agroindustria, transporte, salud y sector público. Y eso debería hacernos cuestionar otra idea: que el tamaño de una empresa determina qué tan interesante puede resultar para un atacante.

Una organización puede no ser conocida fuera de su industria y, aun así, representar una oportunidad. Puede tener información valiosa, sistemas expuestos o una operación cuya interrupción afecte a muchos otros. Pero hay otra lectura de la cadena de suministro que me interesa todavía más que la criminal: la de nuestras propias empresas.

Pensemos en los sectores que acabo de mencionar. Muchas de esas organizaciones son proveedoras de alguien más. Fabrican componentes, transportan mercancías, distribuyen productos o prestan servicios indispensables para que otras compañías funcionen. Cuando una de ellas se detiene, las consecuencias no terminan en sus instalaciones. También pueden detenerse los pedidos, las entregas y la facturación de sus clientes. Un ataque contra un proveedor mediano puede convertirse en un problema para un gran corporativo que nunca fue el objetivo de los delincuentes, y aquí es donde, a mi juicio, la conversación debería cambiar.

Durante mucho tiempo hemos hablado de ciberseguridad como si se tratara exclusivamente de proteger nuestros sistemas y nuestra información. Pero cuando dependemos de terceros para operar, también dependemos de su capacidad para resistir y recuperarse de un incidente. Para la dirección general, esto significa que la continuidad del negocio ya no puede analizarse únicamente dentro de las paredes de la organización.

Hay una pregunta que vale la pena hacerles a nuestros proveedores: ¿qué ocurriría si mañana tuvieran que detener su operación? No me refiero a recibir una presentación con buenas intenciones ni a revisar una lista de controles que nadie ha puesto a prueba. Me refiero a conocer si existe un plan de respuesta, si se han identificado los procesos críticos y si la empresa tiene la capacidad de recuperar sus servicios cuando algo falla.

Quien pueda responder con evidencia estará en mejores condiciones de generar confianza. Y quien dependa de terceros debería hacerse la misma pregunta sobre su propia operación: ¿hasta dónde llega nuestra cadena de suministro y qué sabemos realmente de sus riesgos?

No creo que la respuesta sea actuar con miedo ni invertir sin criterio. Tampoco pienso que todas las empresas necesiten las mismas herramientas. Lo importante es reconocer que el contexto cambió y que nuestras decisiones deben cambiar con él.

Los atacantes han aprendido a organizarse, especializarse y aprovechar oportunidades sin necesidad de conocer personalmente a sus víctimas. Nosotros, en cambio, todavía tendemos a pensar que, mientras nadie tenga una razón específica para atacarnos, estamos relativamente a salvo.

Quizá sea momento de abandonar esa idea porque la pregunta ya no es “¿quién querría atacarnos?”, sino, ¿somos conscientes de que existe todo un mercado criminal que no necesita tener nada personal contra nuestra empresa para comprometerla?

Entérate de las noticias más importantes en el mundo de los negocios dando click aquí

¡Síguenos en nuestro perfil oficial de Linkedin!

Tags:

Buscar