Nerea de la Fuente, Directora de Suscripción Técnica de Hiscox 

La aceleración de la transformación digital y el auge del teletrabajo han favorecido el incremento de los ciberataques, como demuestra el porcentaje de empresas españolas que han sufrido uno, pasando de un 38% a un 43% en el último año. Y la peor noticia es que nuestras empresas se han quedado rezagadas, ya que solo el 9% son consideradas expertas en ciberseguridad y son las más propensas a sufrir un ciberataque (53%), según nuestro Informe de Ciberpreparación 2021.

Los ciberataques en general, y el ransomware en particular, son, actualmente, uno de los mayores quebraderos de cabeza de las organizaciones. De todas, independientemente de su tamaño. Es una creencia errónea pensar que únicamente las grandes corporaciones están en el punto de mira de los ciberataques, cuando precisamente en algunos sentidos las pequeñas empresas son las más vulnerables.

De hecho, las pymes se han convertido en un objetivo cada vez más deseado por los ciberdelincuentes con la llegada de la pandemia. La escasez de recursos hace que este tipo de empresas, que suponen el 94% del tejido empresarial en España, sean un objetivo muy goloso para los ciberdelincuentes. A esto se une que no se suelen considerar a sí mismas como víctimas potenciales al pensar erróneamente que no son atractivas para el cibercrimen. Sin embargo, actualmente las pymes son las que sufren las mayores pérdidas en relación con el tamaño de la empresa y el coste medio de los ciberataques superó en España los 8.000 € en el caso de una compañía con menos de diez empleados en 2020.

De entre todos los tipos de ataques, el ransomware se ha convertido en uno de los recursos favoritos de los ciberdelincuentes para conseguir sacar dinero a las empresas, desesperadas por recuperar sus archivos robados. Da igual el tamaño de tu compañía si un atacante consigue su objetivo. De hecho, una de cada seis empresas fue víctima de este tipo de ataques el pasado año y más de la mitad pagó el rescate que se les solicitaba. La incidencia creciente de este tipo de situaciones en todo tipo de compañías pone de manifiesto la importancia de una buena política de ciberseguridad y protocolos de actuación claros.

Ante un ataque de estas características se abre el debate de si las empresas deben ceder al chantaje de los ciberdelincuentes para recuperar sus datos secuestrados. Cuando se produce el intento de extorsión se viven momentos de máxima tensión en la empresa, por lo que no es inusual que se decanten por efectuar el pago del rescate. Reflejo de ello, es que del total de empresas que pagaron un rescate, el 40% lo hizo para recuperar los datos y el 34% para evitar la publicación de los mismos.

Quizás, uno de los motivos que lleve a actuar a las empresas de esta forma es pensar que el pago del rescate es el mal menor. Sin embargo, ceder al chantaje puede no ser el fin del problema, sino el inicio de uno mayor. En este sentido, las aseguradoras tenemos un papel fundamental en este tipo de ataques para ayudar a las empresas a salvaguardar su información y que sean conscientes de los riesgos a los que se enfrentan si ceden ante los ciberdelincuentes. Los profesionales del sector recomendamos no entrar en esta guerra, pues pagar un rescate no significa que la compañía atacada pueda recuperar realmente los datos robados tras la realización del pago. Al contrario: una vez que los ciberdelincuentes encuentran un objetivo lucrativo, suelen volver a por más. De hecho, el informe recoge que aquellas empresas que pagaron por amenazas de extorsión, volvieron a ser atacadas. No hay que confiar en un delincuente, ni en el mundo real, ni en el ciberespacio.

Afortunadamente, los hackers maliciosos no siempre se salen con la suya. Las compañías comprometidas con la ciberseguridad invertimos constantemente en nuevas soluciones tecnológicas que prevengan los ciberataques o que mitiguen sus efectos, sin olvidar el papel determinante de profesionales cualificados, como la figura del negociador 2.0, que actúa de intermediario en casos de ciberextorsión. Hacer frente a estas situaciones requiere de personas bien formadas detrás de la tecnología y figuras bien entrenadas que sirvan de faro de guía en caso de que ocurra el peor de los supuestos.

Para fortalecer a las compañías ante este problema es necesario que reconozcan la importancia de la ciberseguridad dentro de su estrategia, incidiendo en la concienciación, formación de los empleados, creando protocolos de actuación y buscar seguros con coberturas que les permitan estar cubiertas en caso de que el ciberatacante consiga acceder a sus sistemas. Y, por supuesto, para eso hace falta invertir. Como decía, lamentablemente las empresas españolas se han quedado rezagadas en cuestión de ciberseguridad, pero la buena noticia es que el presupuesto de TI dedicado a la ciberseguridad en empresas de nuestro país ha aumentado un 63% en el último año, el mayor incremento del mundo, y que el gasto en TI destinado a ciberseguridad es ya del 22%, solo por detrás de EEUU. Afortunadamente, aún estamos a tiempo de atajar el problema y este es el camino a seguir.