Los ciberataques se duplican

La digitalización de la economía y la guerra de Ucrania han disparado los ciberataques, duplicando los ataques informáticos a empresas, sobre todo el robo de datos con pago de rescate y los ciberataques a hospitales y universidades. Pero también los fraudes a internautas: en España hubo más de 300.000 denuncias por delitos informáticos en 2021, siendo ya el 2º delito más importante, tras los hurtos. Y todo apunta a que la ciberdelincuencia seguirá creciendo, al amparo de una globalización de los delitos y del aumento de actividad en Internet. Frente a esta “ciberguerra”, las grandes empresas y los Estados están cada día más preparados (España es el 4º país más ciberseguro del mundo, según la ONU) pero faltan inversiones y medios. El punto débil son las pymes y los internautas, que no nos tomamos en serio la seguridad digital, mientras faltan profesionales de la ciberseguridad, un sector en auge. Urge priorizar la lucha internacional contra la ciberdelincuencia, un cáncer en la economía digital.

Enrique Ortega

Los ciberdelitos se han convertido en el mayor crimen organizado a nivel internacional, por delante del tráfico de drogas, armas y personas, reportando a los ciberdelincuentes un beneficio que superó los 6 billones de euros en 2021. Hoy se lanza ya un ciberataque en el mundo cada 11 segundos, cuando hace sólo 5 años se daba cada 40 segundos. El salto en la digitalización de las economías y los avances en el comercio electrónico y la interconexión por Internet tras la pandemia multiplicaron los ciberdelitos en 2020. Y han seguido creciendo en 2021, cuando aumentaron un 50% los ataques contra las empresas, los ciberataques a redes sanitarias, educativas y de investigación (1.605 ataques semanales) y crecieron un 140% los ataques a proveedores de software, según el informe Check Point 2022.

Con todo, los ciberataques que más crecen son los robos de datos con solicitud de rescate, el ransomware: los sufrieron en 2021 un 66% de empresas mundiales, el doble que en 2020 (37% atacadas), según un reciente estudio de Sophos realizado entre 5.600 empresas de 31 países. Y lo peor es que el coste del rescate pagado (por el 46% de las empresas afectadas) se ha multiplicado por 5 y ya supone un pago de 760.166 euros de media. España es el 2º país europeo más afectado por el robo de datos con rescate, que han sufrido el 71% de las empresas en 2021, sólo por detrás de Francia (73%) y por delante de Alemania (67% empresas), Italia (61%), EEUU (58%) y Reino Unido (57% empresas), según este estudio de Sophos, que incluye empresas de 500 a 5.000 empleados. Eso sí, España es de los países donde se piden rescates más bajos (174.000 euros de media), frente a 1,86 millones de euros en Holanda, 665.000 euros en Italia, 275.000 en Francia, 255.000 en Alemania.

El robo de datos con rescate (“ransomware”) es muy preocupante porque es el ciberdelito que más crece y además cada vez hay más empresas que pagan (casi la mitad, el 38% en España), no tanto para recuperar los datos robados o inaccesibles (la mayoría de las empresas afectadas tienen copias de seguridad) sino para evitar el daño reputacional que supone conocerse el ataque y la vulnerabilidad que refleja. Y además del elevado coste del rescate, las empresas tienen un coste añadido: “limpiar” después los datos recuperados, para evitar que los ciberdelincuentes hayan copiado contraseñas o añadido puertas traseras y software que expongan a la empresa o institución a futuros ataques. Este coste de recuperarse tras un ataque de “ransomware” supone ya una media de 1,3 millones de euros por empresa, la mitad en el caso de España, según el estudio de Sophos.

El auge de este ciberdelito, el robo de datos con rescate (“ransomware”) frente a otros (“phising” o robo de datos, “malware” o introducción de programas maliciosos y el “data breach” o escape y filtrado de datos) está llevando a un cambio en la estrategia mundial contra la ciberdelincuencia: los ciberdelincuentes son más agresivos y piden rescates más altos (porque ven que es más fácil conseguir resultados, dado que las empresas pagan y cada vez más) y las compañías de seguros (el 83% de las empresas tienen un ciberseguro) endurecen sus condiciones (el 34% de las pólizas tienen exclusiones), lo que dificulta la defensa efectiva ante esta ciberdelincuencia, sobre todo en las pymes.

Los sectores más afectados por el robo de datos con rescate (“ransomware”) son los medios de ocio y  entretenimiento (79% afectados), el comercio minorista (77%), la energía, el petróleo y los servicios públicos (75%), las empresas de distribución y transporte (74%), los servicios empresariales y profesionales (73%) y la salud (66% empresas afectadas). Y los que menos las telecos (61%), los Gobiernos  (60%), el sector educativo (56%), las manufacturas (55%) y los servicios financieros (55%), según el estudio de Sophos. Pero una novedad de 2021 y también de 2022 es el aumento de los ataques de “ransomware” contra empresas sanitarias (hospitales, seguros médicos, laboratorios), educativas y centros de investigación. En España, han sufridos estos ataques, para intentar el robo de datos con rescate, varios hospitales, algunas Universidades y el CSIC (Consejo Superior de Investigaciones Científicas, en septiembre de 2022), así como las oficinas de empleo (SEPE), el INE y varios Ministerios (Trabajo, Justicia, Educación y Economía), en 2021.

El interés de los ciberdelincuentes por los datos sanitarios preocupa en todos los paises y también en España, donde el sistema sanitario acumula este año 2022 “una treintena de ataques informáticos de muy alta peligrosidad”, según datos del Centro Criptológico Nacional (adscrito al CNI), que los vigila de cerca. La novedad es que está creciendo “el ransomware” de triple extorsión: se roban datos, se exige un rescate a la empresa y se extiende el chantaje a sus clientes, dirigiéndose a ellos para exigirles otro rescate por sus datos. Esto se vio por primera vez en 2020 en Finlandia, con el ciberataque a una clínica y a sus clientes, pero ahora ya se ha extendido y generalizado.

En conjunto, los ciberataques de distintos tipos están muy generalizados en las empresas, sobre todo con el auge del teletrabajo, que reduce la seguridad informática al conectarse los empleados desde puestos y redes no seguras. Sólo en 2021, el 94% de las empresas españolas sufrieron al menos un incidente grave de ciberseguridad (frente al 87% en 2020), según una encuesta hecha por Deloitte entre responsables de seguridad. Casi el 69% de esas empresas sufrieron entre 1 y 2 ataques y el 25% de ellas sufrieron más de dos ataques graves, en especial aseguradoras, telecomunicaciones, medios de comunicación, tecnológicas, banca e instituciones públicas: son las que cuentan con más ciberseguridad, pero también las que cuentan con más datos atractivos para los ciberdelincuentes. Y el 44% de las pymes sufrieron un ciberataque en 2021, según Hiscox.

Este año 2022, con el auge de la digitalización y el comercio electrónico, más la guerra de Ucrania, se observa un aumento de los ciberdelitos: más del 50% de las empresas del mundo esperan un repunte en los ciberataques, superando el récord de 2021, según un informe de la consultora Price Waterhouse. Lo que más está creciendo en el mundo es el robo de datos con rescate (“ransomware”), que se ha duplicado en 6 meses (según Fortiguard), gracias a la proliferación en la red oscura (“Deep web”) de programas que cualquiera puede comprar (sin ser hacker) y que han globalizado el “ransomware”. En España, además de los ataques a empresas con muchos clientes, están aumentando los ciberataques a la nube y los ataques informáticos a las cadenas de suministros.

Pero no pensemos que los ciberataques se dirigen sólo a las empresas e instituciones: cada día hay miles de ataques informáticos para robar datos a los internautas, más de 30 millones en España, que navegan dos horas y media al día de media, muchas en redes sociales y bajándose aplicaciones que son una gran puerta de entrada de virus maliciosos. En 2021, las autoridades españolas detectaron 180.000 ciberataques a empresas, redes y particulares, según una comunicación enviada por el Gobierno al Congreso. De ellas, 109.126 son los incidentes de seguridad gestionados en 2021 por el INCIBE, el Instituto Nacional de Ciberseguridad, con sede en León: 90.168 fueron incidentes a empresas y ciudadanos, 18.278 a la red académica y de investigación y 680 a operadores estratégicos.

Otro indicador de que tenemos un serio problema de ciberseguridad  es que se han triplicado las denuncias por delitos informáticos: de 92.716 en 2016 a 305.477 denuncias en 2021, según el Ministerio del Interior, con 240.100 víctimas afectadas (+11,4% que en 2020). Con ello, los delitos informáticos (15,6% de todas las denuncias) se aúpan al 2º puesto en el ranking de delitos tras el hurto, por lo que algunos expertos dicen que “es más fácil que nos atraquen en Internet que en la calle”. La mayoría de estas denuncias son por “fraudes informáticos” (87,4%), quedando a mucha distancia las denuncias por amenazas y coacciones informáticas (5,7%) y las falsificaciones (3,4%). Lo preocupante además es que sólo se esclarecieron el 15,9% de las denuncias y sólo se detuvo por ellos a un 4,5% de los investigados, 13.801 personas (ojo: el 71,2% hombres y el 79,3% españoles). Dos datos que revelan la dificultad de estas investigaciones (seguir la pista a delincuentes amparados en redes y servidores internacionales) y la falta de medios de la policía (el Plan contra la Cibercriminalidad de Interior contó con 1 millón de euros en 2021…).

Con todo, en los últimos años han aumentado los medios y las medidas contra la ciberdelincuencia, en Europa y en España. En enero de 2019, este Gobierno aprobó la Estrategia Nacional contra el Crimen Organizado, que incluía un Plan Estratégico de Ciberseguridad. Y en abril de 2019, el Consejo de Seguridad Nacional (CSN) aprobó la Estrategia Nacional de Ciberseguridad. En julio de 2020 se creó el Foro Nacional de Ciberseguridad, un espacio de colaboración entre la Administración y las grandes empresas privadas. Y en mayo de 2021, el Gobierno aprobó el Plan de choque contra la Ciberseguridad, un paquete que incluye casi 1.000 millones de inversión en ciberseguridad, 600 millones de los Fondos de Recuperación UE. Tras la invasión de Ucrania, el Gobierno español decidió, el 9 de marzo de 2022, elevar el nivel de alerta cibernética al nivel 3 (hay 5 niveles), creando un Comité de Ciberseguridad dirigido por el CNI.

Actualmente, hay en España un triple mecanismo público de defensa ante los ciberataques: el INCIBE, que protege a los ciudadanos (con alertas y consejos, su web y el teléfono 017), las empresas y los organismos universitarios y de investigación, el Centro Criptográfico Nacional (adscrito al CNI), que protege a la administración y al sector público y el equipo de respuesta de emergencias informáticas (CERT) de Defensa. Y además está la Oficina de Coordinación de la Ciberseguridad (integrada por policías y guardias civiles) que colabora con las empresas para la Ciberdefensa de los 171 operadores críticos (que en 2021 sufrieron 680 incidentes graves, según el INCIBE), en la energía, banca, agua y salud. Sin olvidar que la mayoría de las grandes empresas del IBEX cuentan con Centros de respuesta ante emergencias informáticas (CERT), igual que Cataluña y País Vasco, coordinados con los del Estado.

Todos ellos suponen una enorme red de Ciberdefensa, que realiza básicamente un trabajo preventivo (detectar la llegada de virus a las redes, para evitar ataques) y posterior a los ciberataques, coordinando medidas. Un sistema de protección, público y privado, que ha convertido a España en el 4º país más ciberseguro del mundo (en 2016 éramos el 23º), según el Índice de Seguridad Global 2020 elaborado por la Unión Internacional de Telecomunicaciones (ONU): sólo estamos por detrás de EEUU, Reino Unido y  Arabia Saudí (empatados en 2º lugar) y Estonia, ocupando el 4º puesto con Corea del Sur y Singapur y por delante en ciberseguridad de Francia (9º), Alemania (13º) y Portugal (14º).

Mientras España ha avanzado en Ciberseguridad global, como país, y en la estrategia de las grandes empresas (bancos, aseguradoras, energía, telecomunicaciones, servicios), queda mucho por hacer en la ciberseguridad de la mayoría de las empresas (sobre todo pymes, que sólo invierten un 6% en seguridad informática) y de los particulares, los internautas. En  principio, el 88% de las empresas piensan que su gasto y su personal en ciberseguridad “es suficiente”, según el estudio de Sophos, con lo que la mayoría no cree que el problema sea invertir más en ciberseguridad. Los expertos señalan que muchas sí que necesitan más inversión y más expertos, aunque lo fundamental es poner la Ciberseguridad como una de las grandes prioridades estratégicas (como la financiación, el marketing o los recursos humanos) y dedicarse a buscar “proactivamente” los fallos de seguridad y las amenazas, cuidando especialmente las “brechas” en proveedores, empleados y clientes.

En el caso de los internautas, la mayoría está preocupado por la seguridad pero apenas toman medidas para protegerse, que INCIBE reitera en su web: la mayoría no tiene antivirus solventes, se baja numerosas aplicaciones  e intercambia archivos sin precaución, compra en tiendas online poco seguras,  abre correos y enlaces sin precaución, no cambia y repite contraseñas, desconoce o no utiliza las herramientas de privacidad, etc., etc. Y enfrente, cada día, los ciberdelincuentes son cada día más imaginativos y multiplican los sistemas para robarnos datos o entrar en nuestros dispositivos. Es como si hubiera una epidemia de ladrones de casas y nosotros no tuviéramos una puerta blindada y bien cerrada. Resulta clave la formación, sobre todo a los jóvenes, para enseñarles a conectarse de forma segura a la Red. Y buscar programas y empresas que nos ayuden a trabajar más seguros.

La ciberdelincuencia ha crecido más rápido que cualquier delito y crecerá más en el futuro, según la Agencia Europea de Ciberseguridad, amparada en la globalización de los ataques, desde cualquier lugar del mundo y a cualquier empresa o particular, con una mayor facilidad para los ataques (se ofrecen programas de hackeo en la Red oscura) y virus maliciosos cada vez más sofisticados e indetectables. Eso exige una mayor cooperación internacional, para compartir información y contramedidas, cerrando puertas a la ciberdelincuencia con legislación y medios. Es una Ciberguerra, que exige un ejército preparado a nivel del G-20, el G-7 y la Unión Europea. Pero poco puede hacerse si empresas e internautas no nos tomamos más en serio nuestra Ciberseguridad. Y ponemos más medios para que no nos roben.

Los ciberataques, una guerra silenciosa

La guerra en Ucrania ha intensificado los ciberataques en Europa, incluso desde enero, antes de la invasión rusa. El Gobierno español ha elevado a nivel 3 la alerta cibernética, reuniéndose con grandes empresas y pidiendo a los funcionarios que cambien sus claves. Pero los ciberataques no sólo crecen por la guerra: llevan años disparados. De hecho, se han triplicado las denuncias de los particulares y hasta la policía dice que tenemos más riesgo de sufrir un fraude en internet que un atraco en la calle. Y un 94% de las empresas españolas sufrieron al menos un incidente grave de seguridad en 2021, con altos costes. El Gobierno ha puesto en marcha, desde 2019, una Estrategia contra los ciberdelitos, que se refuerza ahora con los Fondos europeos. Pero faltan recursos y personal cualificado, también en las empresas, sobre todo en las pymes. Y los internautas tampoco ponemos los medios suficientes para protegernos. Es hora de tomarse en serio esta otra guerra que nos amenaza cada día.

Enrique Ortega

La ciberdelincuencia es un grave problema mundial, un negocio que mueve ya más dinero que el tráfico de drogas, unos 5,5 billones de euros en 2020, según datos de la Comisión Europea. Y si ya era un riesgo global, se ha acelerado con la pandemia, al haberse multiplicado la conexión a Internet, la conectividad, el teletrabajo y las compras online, multiplicándose por cuatro el fraude cibernético, según el FBI. En España, los ciberdelitos aparecen en primer lugar en el ranking de los delitos más preocupantes para los próximos años, según la Estrategia nacional contra el crimen organizado aprobada en 2019.

Ahora, con la guerra de Ucrania, incluso antes de la invasión, se han disparado los ciberataques contra infraestructuras básicas, instituciones  y grandes empresas, en Europa y en España. Es la llamada “guerra híbrida”, que mezcla ciberataques y propaganda. De hecho, la Unión Europea ya anunció el 22 de febrero, dos días antes de la invasión de Ucrania, el despliegue de un equipo de respuesta cibernética en toda Europa, mientras muchos paises y también EEUU, elevaban su nivel de alerta cibernética. En España, un informe del Centro Criptológico Nacional (dependiente del CNI) ya alertaba en enero sobre “el riesgo de ciberataques de alta persistencia y sofisticación tecnológica”. Y señalaba que España sufre diariamente ciberataques de peligrosidad muy alta o crítica contra el sector público y grandes empresas privadas, parte de ellos procedentes de “otros Estados” que tienen entre sus motivaciones debilitar nuestra capacidad política, económica y tecnológica”, sin citar nombres de paises, aunque Rusia siempre es el primer sospechoso.

Ahora, una vez invadida Ucrania, el Gobierno español decidió, el 9 de marzo, elevar la alerta cibernética al nivel 3 (hay 5 niveles), ante el temor de que arrecien los ciberataques rusos. Y en paralelo, ha creado un Comité de Ciberseguridad, dirigido por el CNI y bajo el paraguas del Comité de Crisis creado en la Moncloa, que está coordinando la defensa ante los ciberataques. Por un lado, se ha reunido con las grandes empresas del IBEX y las empresas estratégicas (energía, telecomunicaciones, servicios esenciales) para coordinar medidas e intercambiar información. En paralelo, se ha instruido a diplomáticos, funcionarios e instituciones públicas (incluidas Universidades) para que cambien contraseñas y refuercen la ciberseguridad. Incluso han pedido al Congreso que los diputados extremen la precaución en el uso de sus móviles y dispositivos informáticos.

Pero el problema de la ciberseguridad es muy anterior a la guerra de Ucrania. La generalización del uso de Internet, sobre todo en estos 2 años de pandemia, ha multiplicado los ataques, tanto a particulares (que compran y operan más por Internet) como a las empresas, a quienes el teletrabajo ha aumentado su brecha de seguridad. Los datos son muy relevantes. El INCIBE, el Instituto Nacional de Ciberseguridad (con sede en León) gestionó  en 2020 (últimos datos oficiales) 133.155 incidentes de seguridad en particulares y 861 incidentes en operadores privados, sobre todo en Cataluña, Madrid, Andalucía, Comunidad Valenciana y País Vasco. Y en 2021, con datos del primer semestre, el INCIBE atendió 69.211 consultas (al teléfono 017 o bien online), un 68% más que en 2020: envío de SMS fraudulentos, robo de datos, suplantación de identidad, falsos soportes técnicos, fraude en compraventas, tiendas online falsas, hackeo de cuentas o dispositivos, sextorsión, problemas con menores…

La ciberseguridad no es sólo un problema de los Estados, instituciones públicas o grandes empresas, sino que nos afecta a todos los que utilizamos Internet. De hecho, más de la mitad de internautas (un 55,3%) sufrieron alguna incidencia de seguridad online en la primera mitad de 2021, según el INCIBE. Y de ellos, la mitad (el 28% del total) sufrieron un incidente grave. La mayoría de los incidentes fueron correos indeseados (85%), virus informáticos y códigos maliciosos (61%). Y son 4  las amenazas más comunes denunciadas: estafas informáticas (phising o robo de contraseñas y datos bancarios y carding, el copiado de tarjetas), daños a cambio de dinero, fraude en las telecomunicaciones (robo de wifi) y delitos contra la intimidad (sextorsión o bullying informático).

En el caso de las empresas, los ciberataques son aún más preocupantes: el 94% de las empresas españolas sufrieron un incidente grave de seguridad en 2021, según un reciente informe de la consultora Deloitte. De ellas, el 69% sufrieron entre 1 y 2 ataques y un 25% sufrieron más de 2 ataques en 2021. Las más afectadas fueron las aseguradoras (4 ataques graves de media), empresas de telecomunicaciones, medios de comunicación y tecnológicas (3 ataques), empresas de fabricación (2,80 ataques), bancos (2,25) y la Administración Pública (2 ataques graves: recordemos la paralización de las oficinas del SEPE). Los ataques se dan más a las grandes empresas (hay más “botín”), pero son más frecuentes en las pymes, que están menos preparadas: 1 de cada 5 pymes ha sufrido un ataque informático en el último año, con un coste medio de 35.000 a 75.000 euros por empresa, según Acens.

Cuatro son las ciberamenazas habituales a las empresas. La más utilizada (19% empresas la han sufrido) es el phising (el robo de datos), seguida de cerca por el ransomware (se restringe el acceso a los datos de la empresa y se pide un rescate para desbloquearlo), sufrido por el 18% de las empresas, el malware (introducir un programa malicioso que realiza acciones dañinas), que afectó a otro 14% de empresas, y el data breach (escape o filtrado de datos), que afecta a otro 10% de compañías. En conjunto, las estadísticas revelan que la media anual de ciberataques a empresas subió un 21% en 2021.

Al final, no todos los ciberataques se denuncian, en unos casos por desconocimiento o pereza (particulares) y en otros por preservar la imagen de marca (empresas). Con todo, los delitos informáticos denunciados se han triplicado: han pasado de 92.716 denuncias en 2016 a 287.963 denuncias en 2020 (+31%), último año que figura en el informe del Ministerio del Interior. El problema es que resulta muy difícil investigar muchos de estos ciberdelitos, porque su origen está en paises extranjeros muy opacos (Rusia, paises del Este, Asia) y no es fácil demostrar la autoría ni detener a los culpables. Por eso, de los 287.963 delitos denunciados, sólo se esclarecieron 38.046 (el 13,2%) y fueron investigados y detenidos sólo 11.280 delitos (el 3,91%). Un dato curioso, que contrasta con lo que muchos piensan, es que el 79,2% de los ciberdelincuentes detenidos fueron españoles.

Lo preocupante es que los ciberdelitos, a particulares (lea cómo es un fraude online) y empresas, se han aupado al 7º lugar del ranking de delitos más comunes, por delante del tráfico de drogas y de los robos con violencia (la propia policía cree que “es más fácil que nos roben por Internet que nos atraquen en la calle”). Los investigadores indican que el auge de los ciberdelitos se explica por varias razones: la facilidad para delinquir (los equipos tienen bajo coste), el poco riesgo (sólo se esclarecen y detienen el 3,91% de los delitos denunciados) y porque se ha producido una “migración” de delincuentes de otros delitos (droga, robos) a los ciberdelitos, donde trabajan para grandes mafias que les compran datos. Y hay otra explicación más: la falta de medios especializados, en las comisarías y en las fuerzas de seguridad, para detectar y perseguir estos delitos, que promueven mafias muy poderosas.

Las autoridades que vigilan los ciberdelitos, en especial el INCIBE, multiplican sus esfuerzos para que particulares y empresas refuercen su ciberseguridad. Pero hacemos poco. La prueba es que sólo el 61% de los internautas han cambiado sus hábitos (cambio contraseñas, antivirus, herramientas de privacidad) tras sufrir un problema de ciberseguridad. Y sólo un 30% de los internautas han cambiado sus hábitos de compra tras un fraude online, según los datos de INCIBE, que alerta además de una reducción de las medidas de seguridad (programas antispam, cortafuegos, antivirus) tanto en los ordenadores de casa como en los teléfonos móviles. Y llaman la atención sobre la costumbre generalizada de usar fuentes desconocidas para la descarga de aplicaciones (una de las vías principales de entrada de virus). Además, reiteran en su web las recomendaciones de seguridad para los usuarios: actualizar dispositivos y aplicaciones, antivirus, seguridad de contraseñas, descargas aplicaciones en sitios seguros y realizar periódicamente copias de seguridad.

Para las empresas, el mejor consejo de ciberseguridad es gastarse dinero, darle importancia institucional (crear un responsable de seguridad con categoría y medios) y la formación de los empleados (que son la principal entrada involuntaria de virus, vía correo electrónico, navegación por Internet o aplicaciones descargadas). Muchas empresas subcontratan la ciberseguridad y eso les resta eficacia. Y en el caso de las pymes, apenas se invierte en seguridad ni se cuenta con planes y personal preparado. De hecho, los especialistas en ciberseguridad van  a ser los profesionales más demandados en los próximos años: harán falta 83.000 nuevos especialistas para 2024, según el INCIBE.

El Gobierno Sánchez lleva desde 2019 empeñado en la lucha contra el cibercrimen y este trabajo ya ha dado algunos frutos: España es el 4º país del mundo con más ciberseguridad global, según el Global Cybersecurity Index 2020, elaborado por la Unión Internacional de Telecomunicaciones (UIT), sólo por detrás de EEUU (1º), Reino Unido y Arabia Saudí (2º) y Estonia (3º), empatado a puntos (98,52 sobre 100) en el 4º puesto con Corea y Singapur y por delante de Francia (9º lugar), Alemania (13º) o Italia (20ª). El índice mide 5 indicadores y España ha obtenido el máximo (20 puntos) en cuestiones legales, capacidad de desarrollo y cooperación, obteniendo una alta nota en la aplicación de capacidades técnicas (19,54 puntos) y estrategias nacionales de ciberseguridad (18,98).

En enero de 2019, el Gobierno aprobó la Estrategia Nacional contra el Crimen Organizado que incluía un Plan Estratégico de Ciberseguridad. Y en abril de 2019, el Consejo de Seguridad Nacional (CSN) aprobó la Estrategia Nacional de Ciberseguridad. En julio de 2020 se creó el Foro Nacional de Ciberseguridad, un especio de colaboración entre la administración pública y las grandes empresas privadas para reforzar la ciberseguridad. En diciembre de 2020, se aprobó la Agenda Digital 2025, un Plan para reforzar la digitalización de la economía y de la Administración, con medidas de ciberseguridad. Y el 9 de marzo de 2021, el Ministerio del Interior aprobó el Plan Estratégico contra la Cibercriminalidad, que se refuerza con los Fondos europeos destinados a la ciberseguridad en el Plan de recuperación (260 millones, entre 2021 y 2024, para que las pymes refuercen su ciberseguridad. Y todo ello dentro del paraguas de la Unión Europea, que ha centralizado toda su gestión de la ciberseguridad europea en un nuevo Centro, abierto en Budapest en febrero de 2022. En España, el Centro de  gestión de la ciberseguridad pública se acaba de adjudicar a Telefónica e Indra.

Parece que los poderes públicos, europeos y españoles, se han tomado en serio la guerra contra la ciberdelincuencia, uno de los grandes retos del siglo XXI, junto al cambio climático y la revolución tecnológica. Pero queda mucho por hacer. A nivel público, dedicar más dinero y medios a la lucha contra la ciberdelincuencia: baste decir que el Plan contra la Cibercriminalidad contó en 2021 con 1 millón de euros de presupuesto… Y las empresas apenas gastan en ciberseguridad, solo las muy grandes, no las pymes. Y nosotros, los particulares, ni gastamos en seguridad ni tomamos apenas medidas de defensa, al navegar por Internet, abril correos, compartir información o bajarnos aplicaciones. Hay que tomarse más en serio esta guerra, como ahora la defensa europea o la autonomía energética. Porque la ciberdelincuencia es cada día más fuerte y peligrosa. Nos jugamos mucho.

 

Los ciberataques se multiplican

A finales de junio se supo que unos hackers habían entrado en el correo electrónico de los jueces del “procés”. En mayo, que los datos de 4,5 millones de visitantes de la Alhambra quedaron al descubierto por comprar sus entradas online. Y en marzo, que habían introducido un virus en los ordenadores de Defensa para conseguir secretos de la industria militar. Son solo 3 ejemplos recientes de ciberataques, que en el mundo sufren 1.200 millones de internautas. En España, se detectaron 111.519 incidentes en 2018, más del doble que en 2015, sobre todo a empresas estratégicas, instituciones  y particulares. Y el CNI alerta que España sufre un incidente “crítico” de seguridad cada 3 días. Es un problema serio, que cuesta 500.000 millones de euros al año en el mundo y 2.100 millones en España, donde 1 de cada 3 internautas sufren ciberataques. Urge que el Estado, las empresas y los particulares gasten más en seguridad y afronten con mayor decisión uno de los grandes problemas del siglo XXI. Estamos muy inseguros.

enrique ortega

A principios de 2019 había en el mundo 4.388 millones de internautas, más de la mitad de la población mundial (7.676 millones), según el último informe de We Are Social y Hootsuite. Y de ellos, la mayoría (3.986 millones de personas) son internautas vía móvil, casi 30 millones de ellos en España. Pues bien, 1 de cada 3 de estos internautas sufrió algún ciberataque en 2018, según revela el último informe sobre Ciberseguridad de Norton/Symantec: son ya 1.200 millones las personas que han sufrido ciberataques en el mundo, 867,2 millones en el último año, sobre todo en China (729,5 millones de internautas han tenido problemas), EEUU (151,9 millones afectados), Brasil (89 millones), México (49,4 millones), Alemania (32,6 millones), Reino Unido (26,7), Francia (26,2), Italia (24,1). En España, el informe Norton estima que 1 de cada 3 internautas fueron afectados por ciberataques (unos 10 millones).

Con estos ciberataques tan generalizados, la ciberdelincuencia se ha convertido en un negocio más rentable que la droga, según los expertos. De hecho, el informe Norton revela que 2 de cada 5 ataques informáticos tienen un impacto económico sobre el país, la empresa o el particular atacado y que provoca unas pérdidas de 172.000 millones de dólares al año (142 dólares de media anual por víctima). Otra estimación, de McAffe, eleva el coste anual de la ciberdelincuencia a 600.000 millones de dólares (500.000 millones de euros), el 0,8% del PIB mundial. Y en el caso de España, la estimación de Norton es que los ciberdelitos nos cuestan cada año 2.100 millones de euros de pérdidas.

El hecho cierto es que los ciberdelitos se han multiplicado en España en los últimos años, aumentando casi un 50% anual. Así, el Instituto Nacional de Ciberseguridad (INCIBE), con sede en León, ha pasado de detectar 18.000 “incidentes de seguridad” en 2014 a 50.000 en 2015 y 111.519 incidentes en 2018, sobre todo en empresas, Universidades, infraestructuras críticas e internautas particulares. Y de ellos, 722 ciberataques afectaron a “operadores estratégicos críticos” (organismos y empresas que prestan servicios esenciales para la comunidad), sumándose ya más de 2.300 ataques críticos en los últimos 5 años, más de la mitad de ellos a bancos, empresas de energía y transportes.

Otra estadística reveladora es la que publica cada año el Centro Criptológico Nacional (CCN), dependiente del Centro Nacional de Inteligencia (CNI), que se especializa en ciberataques al Estado y sus instituciones, aunque también a empresas y servicios básicos. En 2018, el CCN detectó 38.192 ciberataques, el 57% dirigidos a instituciones públicas. Suponen un 44% más que en 2017 (26.472), casi el doble de incidentes que en 2016 (20.807) y casi 10 veces los ciberataques detectados en 2012 (4.003). Y lo peor es que 180 ciberataques fueron “críticos” (1 cada 3 días) y 9 “muy críticos”. El propio presidente del CNI reconoció en el Parlamento su preocupación porque los ciberataques son cada vez “más serios”: “si en  los últimos 5 años se registraban cada mes 5 incidentes de seguridad informática “de envergadura”, en junio de 2019 se han producido 9 ataques relevantes”, señaló Sanz Roldán.

Una tercera estadística son los ciberdelitos que se denuncian, ante la policía y la Guardia Civil: fueron 81.307 denuncias en 2017, el último dato aportado por el Observatorio de Delitos Informáticos (OEDI), con las denuncias que recibe Interior, un 35% más que en 2015 (60.154). La mayoría son denuncias por fraude informático (60.150), seguidas de las denuncias por amenazas y coacciones (11.270), falsificación informática (2.961), acceso e interceptación ilícita (2.505), delitos informáticos contra el honor (1.537) y sexuales (1.322).

El problema es que sólo un 12% de estos delitos cibernéticos pasan a un Juzgado: se incoaron 8.035 procedimientos judiciales por delitos informáticos en 2016, según la Memoria del Consejo General del Poder Judicial (CGPJ), frente a 66.586 denuncias ese año. Y eso, porque muchas empresas y particulares no los denuncian y, sobre todo, porque la policía tiene la orden de no enviar al juez los delitos informáticos donde no se ha detectado el autor (algo casi siempre muy difícil y más si las fuerzas de seguridad carecen de medios), en cumplimiento de la modificación de la Ley de Enjuiciamiento Criminal promovida en 2015 por el Gobierno Rajoy. Y aunque lleguen a un Juzgado, muchos de estos delitos informáticos se archivan, bien porque son importes bajos o porque su investigación es muy compleja, con frecuentes implicaciones de mafias radicadas en el extranjero. Y al final, se estima que el 95% de los delitos informáticos quedan impunes. En 2016, por ejemplo, de las 66.586 denuncias, los jueces sólo imputaron delitos informáticos a 1.242 personas (el 1,86%), según la Memoria del CGPJ. Y la mayoría de los imputados no acaba en la cárcel.

Los ciberataques se centran, en España y el mundo, en organismos públicos, empresas y particulares. Los ataques informáticos a los Estados y sus instituciones están creciendo, por razones políticas y de espionaje industrial, según el último informe del CCN (CNI). Es el caso detectado en el Ministerio de Defensa, donde en marzo se detectó un virus que pretendía robar datos de empresas de armamento. Lo que más está creciendo en el último año, según el último informe de Norton/Symantec 2019, es el “formjacking”, una nueva modalidad de ciberdelincuencia que se dedica a cargar códigos maliciosos en Web de minoristas para robar los datos de las tarjetas de créditos de los compradores. Es lo que pasó en septiembre de 2018 a 380.000 clientes de British Airways o al 5% de clientes de Ticket máster. Y en España, lo que les ha pasado a los 4,5 millones de visitantes de la Alhambra que compraron su entrada por Internet: sus datos quedaron expuestos. Y hay mafias informáticas que luego ofrecen estos datos en el Internet oscuro, cobrando 45 dólares por tarjeta.

Otras dos modalidades de ciberdelitos que siguen ahí, con fuerza, son el “ransomware” (se exige el pago de un rescate para acceder al propio sistema, infectado por un virus: su uso ha aumentado un 12% en 2018, según Norton) y el “crytojacking” (delincuentes entran en equipos informáticos potentes y los utilizan para generar criptomonedas). También está muy generalizado el “phising” (ciberdelincuentes engañan al internauta para que revele información personal, como contraseñas, datos de tarjetas de crédito, de la Seguridad Social y  números y claves de cuentas bancarias), que ha supuesto más de 1.000 millones de euros de pérdidas a bancos y clientes españoles desde 2014, según el CCN. Y también están ahí todas las modalidades de “malware”, virus que se introducen con las cuentas de correo (el 60% de los mails tienen alguna “carga dañina”, según el CCN), fotos, imágenes o descargas y que pretenden acceder a datos personales y correos. Es lo que le ha pasado al Juez Marchena y a otros magistrados que juzgan “el procés”. Sin olvidar las plataformas que ofrecen servicios (alquileres) o premios y que piden a cambio pagos que son un fraude.

Otras formas más de ciberdelincuencia, según recuerda el CCN (CNI) son las acciones contra la seguridad informática de ciertas redes, organismos y empresas sensibles hechas por hackers activistas (“kactivistas”), yihadistas o terroristas. Es un anticipo de la guerra del futuro: la “guerra cibernética”. De hecho, la OTAN y 21 paises europeos (entre ellos España) han creado en Estonia el Centro para la Defensa Cibernética Europea (CCDCOE), para trabajar conjuntamente en la defensa de instalaciones básicas europeas (agua, electricidad, aeropuertos…), pensando en potenciales ataques de Rusia, China y pequeños paises de Asia y Oriente Medio. Y el abuso de datos y noticias falsas (“fake news”) y la manipulación de la opinión pública e través de las redes sociales en  épocas electorales. O los ataques a webs (el 45% de estos ataques se dan en EEUU y el 25% en Holanda), para paralizarlas o ralentizarlas o como forma de presión económica o política.

En España, los ataques cibernéticos más comunes, según esta guía del INCIBE, son el secuestro del sistema (“ransomware”), el robo de datos, el colapso plataformas o servicios, la caída y alteración de webs, el espionaje y hackeo de dispositivos y el envío fraudulento de correos con virus o haciéndose pasar por empresas, bancos, eléctricas o instituciones (Hacienda) para obtener datos personales del internauta. Los sectores más atacados por los ciberdelincuentes son los bancos, las empresas de energía, agua y transportes, así como las webs de vuelos, viajes y entradas.

El problema de fondo es que los ciberdelincuentes están cada vez más preparados y los Estados, empresas y particulares no lo están tanto. En la Administración pública, el Ministerio del Interior ha contratado este año a 12 expertos externos en ciberseguridad porque faltan especialistas  en la Policía y la Guardia Civil, colapsadas con los ciberdelitos. Y el Centro de detección de ciberataques de León, el INCIBE, sólo tiene 23 millones de Presupuesto y 104 empleados (el 40% son contratados temporales), por lo que se quiere aumentar un 40% su plantilla (superada por el trabajo de los ciberdelincuentes) en los próximos 3 años.

Pero lo más preocupante es la desprotección en ciberseguridad de la mayoría de las empresas españolas: el 30% consideran que están “poco o nada preparadas” para hacer frente a los ciberataques, según una Encuesta hecha por Deloitte en 2018. Las más preparadas son las empresas muy grandes (las que facturan más de 5.000 millones de euros anuales), pero lo están poco las menos grandes, las medianas y sobre todo las pymes. En general, las empresas españolas  invierten poco en ciberseguridad: invierten de media un 8,5% de su presupuesto en tecnología, cuando la media que recomiendan los expertos es invertir al menos el 20% de lo que gasten en tecnología (TIC). Y esta escasa preparación es especialmente preocupante dado este dato: el 76% de las empresas españolas han sufrido un ciberataque en los últimos 6 meses, según la Encuesta de Deloitte.

Los particulares tampoco hacemos mucho contra los ciberataques. Por un lado, nos gastamos muy poco en antivirus (sólo lo tienen el 68% internautas, según el informe ONTSI 2018) y en sistemas de protección y nos dedicamos a descargar sin precaución correos, adjuntos, fotos, vídeos, aplicaciones y demás, las mayores vías de entrada de los ciberdelincuentes. Y no nos preocupamos demasiado de gestionar las claves, que repetimos sin reparo. De hecho, sólo el 15% de los internautas recurren a “métodos seguros” para proteger su seguridad informática, según los expertos. Y todo ello a pesar de que dos tercios de los internautas españoles (el 65,8%) han sufrido problemas de seguridad, según el informe ONTSI 2018. Y a que un 32% confían “poco o nada” en Internet.

Un elemento clave es gastar más en ciberseguridad, tanto los Estados como las empresas y los particulares, pero otro es contar con profesionales bien formados que nos defiendan contra la ciberdelincuencia. Y no los hay, ni ahora ni para el futuro próximo. De hecho, para 2022 habrá 1,8 millones de empleos sin cubrir  ligados a la ciberseguridad, de ellos 350.000 en Europa y 25.000 en España, según la publicación Cybersecurity Ventures. Así que los Gobiernos y las empresas tienen que apoyar a fondo la formación de ciberespecialistas, desde la Formación Profesional a la Universidad. Pero “estudios de verdad”, con seriedad y profundidad, porque actualmente hay una cierta “burbuja” de formación, con 65 Másteres y Grados en ciberseguridad  impartidos por Universidades (sobre todo privadas) y Escuelas de Negocio, muchos puestos en cuestión por los expertos.

El mundo tiene que tomarse en serio la lucha contra la ciberdelincuencia, uno de los grandes retos de este siglo como el cambio climático. Obama ya declaró la ciberseguridad como uno de los objetivos estratégicos de EEUU y Trump ha reiterado que es una de sus prioridades, agobiado con China y Rusia. En Europa, la Comisión aprobó en 2016 una Directiva que establece medidas para lograr un elevado nivel de ciberseguridad, obligando a paises y empresas a informar con celeridad de los incidentes y fugas de datos. Y en España, Rajoy aprobó en diciembre de 2013 la Estrategia de Ciberseguridad Nacional, que Sánchez acaba de actualizar, al aprobar en abril la nueva Estrategia Nacional de Ciberseguridad 2019. Su objetivo es potenciar la resistencia de los sectores ante la ciberdelincuencia y conseguir una mayor colaboración público-privada, introduciendo certificaciones e indicadores de ciberseguridad en los servicios estratégicos y exigiendo requisitos de seguridad informática en todos  los concursos públicos. Pero faltan más recursos (públicos y privados)  y más coordinación entre instituciones, administraciones y empresas, así como campañas públicas para concienciar y formar a los internautas en la seguridad.

Internet ha revolucionado nuestras vidas y la economía pero también se ha convertido en la mayor plataforma para el delito, para cometer fraudes, atacar a empresas e instituciones y robar o intimidar a los internautas. Y los ciberdelincuentes están cada vez más organizados y tienen más poder, con la connivencia de mafias y algunos Estados. Por eso, urge que los paises, las empresas y los particulares se vuelquen en defenderse de esta plaga, con dinero, medios, especialistas y formación. Es “una cuestión de Estado”. Porque estamos más desprotegidos de lo que creemos. Superconectados sí, pero necesitamos estar más seguros.

Los ciberataques se duplican en España

En 2016 se produjeron en España 315 ataques informáticos diarios a empresas, instituciones o particulares, más del doble que en 2015, cuando ya se triplicaron sobre los de 2014. Y esos son los ataques que se detectan o se denuncian, porque ciberataques puede haber diez veces más. De hecho, el cibercrimen mueve ya en el mundo más dinero que la droga y ataca a 1 de cada 5 internautas (689 millones en 2016). Esto exige una mayor atención de los particulares a su seguridad informática y, sobre todo, fuertes inversiones de Gobiernos y empresas en ciberseguridad, una de las industrias con más futuro. En España, empresas y particulares gastan poco en ciberseguridad y sólo una de cada cinco grandes empresas tiene un Plan de seguridad informática. Urge un acuerdo mundial contra el cibercrimen, como el alcanzado contra el Cambio climático. Y en España, ampliar presupuestos  y medios públicos, desde técnicos a  policías y jueces especializados. Son delitos muy peligrosos para la economía y nuestra vida diaria.


enrique ortega

 
La mitad de la población mundial es internauta, unos 3.773 millones en 2016, y un tercio son activos en la Red: 2.789 millones de personas. Pues bien, 1 de cada 4 de estos internautas activos sufrió algún ciberataque en 2016: 689 millones de personas, según revela el informe Norton sobre Ciberseguridad 2016. Según sus estimaciones, los ciberdelincuentes lanzaron más de 1 millón de ataques diarios y causaron pérdidas por 125.900 millones de dólares (119.900 millones de euros), lo que convierte al cibercrimen en el mayor negocio ilegal del mundo, por delante del narcotráfico o el tráfico de armas, según los expertos.

La razón es este auge de los ciberataques es que los internautas siguen sin tomar medidas para proteger sus dispositivos, mientras los ciberdelincuentes son cada vez más sofisticados. De hecho, según el informe Norton, el 35% de la población mundial tiene algún dispositivo informático sin proteger, lo que propicia los ciberataques. Y más con el auge del “Internet de las cosas”: 1 de cada 5 dispositivos domésticos enlazados a la Red no cuenta con la protección necesaria y eso explica el auge de los ciberdelitos. La mayoría de los ataques, según el informe Norton, se centran en el robo de contraseñas (“phishing”), para el posterior acceso a información financiera y personal, además del “hackeo” del correo electrónico o de los archivos y material sensible de particulares y empresas. También la suplantación de empresas y organismos, para el envío de correos en su nombre pidiendo información, como ha denunciado en febrero de este año el Banco de España.

España es el país nº 19 en el ranking mundial de ciberdelitos y el 8º europeo, según el último informe de Symantec. El cibercrimen representa ya el 32% de la delincuencia económica  en España y mueve unos 10.000 millones de euros al año, según estimaciones de los expertos. Y avanza año tras año de forma imparable: si en 2014 se detectaron unos 18.000 ciberdelitos, en 2015 alcanzaron los 50.000 y en 2016 se han superado los 115.000 ciberdelitos, más del doble, según el balance del Instituto Nacional de Ciberseguridad(INCIBE), con sede en León. De ellos, 110.293 fueron ataques informáticos a empresas y ciudadanos, 479 a operadores críticos (energía, transportes, comunicaciones, puertos)  y otros 4.458 ataques a la red RIS (Universidades y centros de Investigación). Y eso son los ataques detectados por INCIBE o denunciados por particulares y empresas, porque hay muchos ciberataques que no se detectan ni se denuncian (por no dañar la imagen de empresas), con lo que se estima que los ciberataques reales, en España y en el mundo, pueden ser diez veces los detectados.

En paralelo a los ciberdelitos detectados por el Instituto Nacional de Ciberseguridad , están los delitos informáticos que particulares y empresas denuncian a la policía, que tiene unidades especializadas contra los ciberdelitos. En 2015 (últimos datos oficiales) se contabilizaron en España 60.154 delitos informáticos (frente a 42.812 en 2012), de los que dos tercios fueron por fraude informático (40.864), 10.112 por amenazas y coacciones, 2.386 por acceso ilícito, 2.361 por falsificación informática, 2.131 contra el honor, 1.233 delitos sexuales, 900 por interferencias en sistemas y 167 delitos informáticos contra la propiedad industrial. De todos estos ciberdelitos registrados por la policía, sólo un tercio pasaron al juez: hubo 22.575 procedimientos judiciales por delitos informáticos en 2015, según la Memoria de la Fiscalía. La mayoría se tipificaron como estafas (86%) y destacaron los delitos de “phishing” (robo de datos y claves) y fraudes con tarjetas y transferencias. Muchos de estos delitos se archivan, bien porque son importes bajos o porque su investigación es compleja y son delitos muy difíciles de investigar, con tramas mafiosas en  el extranjero, por lo que se estima que un 95% de los delitos informáticos quedan impunes. Y así, sólo se imputaron por delito informático a 4.667 personas en 2015. Y la mayoría no acaba en la cárcel.

Los ciberataques se centran en España en internautas, empresas y organismos públicos. Si empezamos por los 28 millones largos de internautas, las dos terceras partes (64,6%) reconocen que han sufrido algún incidente al utilizar Internet, según la Encuesta de Equipamiento y Tecnología  del INE (2015). Más de la mitad sufren “spam” (correos no deseados) y otro 24,6% han sufrido algún virus. Según los datos del Instituto Nacional de Ciberseguridad (INCIBE), los mayores ataques proceden del envío de correos y mensajes engañosos, con el objetivo de robar datos y contraseñas. Una variante muy extendida es el “malware bancario”: envío de mail con virus que se instalan en el ordenador del cliente para robarle claves o números de cuentas y tarjetas.

Los ataques a empresas son los que más han crecido en los últimos años, con una media de 2,8 ataques por empresa en 2016, según una encuesta de la consultora PwC, que estima una pérdida de 1,3 millones de euros por empresa. Según el INCIBE, tres son los ataques informáticos que causan  más daño a las empresas españolas. Uno, el secuestro de datos (conocido como “ramsonware” o “criptoware”), que afecta sobre todo a las pymes: el hacker envía un virus a la empresa que encripta los archivos y piden un rescate a cambio de desencriptarlos (una especie de “cibersecuestro” de datos). Normalmente se pide el rescate en moneda virtual (bitcoins) y en webs extranjeras encriptadas, lo que dificulta su seguimiento. Otro ciberdelito es el llamado “fraude al CEO”: se accede al correo del directivo de una empresa y se solicitan pagos a proveedores en la cuenta del ciberdelincuente. Otra variante es suplantar al departamento de compras o crear tiendas virtuales inexistentes  y enviar correos para ofrecer ofertas y concursos o recabar pagos.

Un tercer frente de ciberataques son las empresas estratégicas, desde la energía a los transportes y las industrias básicas, apoyándose en que España es el 5º país del mundo con más sistemas informáticos (3.059 sistemas) que controlan este tipos de instalaciones y procesos industriales  a través de Internet, la mayoría sin la adecuada protección. Sólo en 2016 se registraron 479 incidentes de seguridad en infraestructuras críticas, un 35% más que en 2015, según el Centro nacional de Protección de Infraestructuras Críticas (CNPIC). Y según los expertos, esta estadística no recoge ni el 10% de los incidentes reales: si se analizaran los 5.000 operadores de servicios esenciales, se contabilizarían realmente unos 100.000 incidentes informáticos al año. Los servicios más atacados, según un estudio del Centro de Ciberseguridad Industrial, son los servicios de salud (40.000 ataques al año), la energía (la gran  preocupación de todos los Gobiernos: en 2015, un ciberataque dejó a Ucrania sin luz durante 7 horas) y los transportes (Renfe, metro, cercanías, aeropuertos y líneas aéreas).

Si la ciberdelincuencia es ya un problema muy serio, en el mundo y en España, lo va a ser aún más en el futuro, según los expertos, porque van a seguir creciendo los dispositivos conectados a Internet (“el Internet de las cosas”), en las viviendas, los coches y multitud de dispositivos (routers, impresoras, TV inteligentes…) con poca protección, que los hackers utilizan como un ejército de robots que propicia ataques masivos, como los que en octubre de 2016 atacaron al proveedor de Internet estadounidense DYN, que afectó a más de 1.000 millones de usuarios en  todo el mundo. En definitiva, cada vez se venden más dispositivos sin seguridad que los ciberdelincuentes utilizan como “puertas traseras” para entrar fácilmente en sistemas muy protegidos. Y se estima que para 2020, la mitad de los aparatos del hogar estarán conectados a Internet y serán “los caballos de Troya” de los hackers.

La clave contra la ciberdelincuencia es invertir en personal y medios para detectarlos y combatirlos. Las empresas españolas invirtieron unos 3,6 millones de euros al año (de media) en empresas de seguridad (unas 550 en España, que dan trabajo a 6.000 personas), que facturaron 600 millones de euros en 2014, según el Observatorio de las Telecomunicaciones. Y se espera que las empresas españolas inviertan en ciberseguridad  más de 1.000 millones en 2019. El problema es que invierten menos que en otros paises (en 2016, las empresas invirtieron 76.000 millones en ciberseguridad en el mundo, según Gartner), sobre todo las pymes, que están “desnudas” ante los ciberdelitos, como si tuvieran negocios físicos sin cierres de seguridad y alarmas. Y que sólo el 17% de las grandes empresas industriales tienen un Plan definido de seguridad informática, mientras un 10% de ellas ignora incluso los riesgos, según el informe del Centro de Seguridad  Industrial. Y los particulares tenemos cada vez más antivirus, pero sin gastar casi nada en ellos ni actualizarlos con frecuencia.

El mundo tiene que tomarse en serio la lucha contra la ciberdelincuencia, como ha empezado a hacer con el Cambio Climático. Obama declaró la ciberseguridad como uno de los objetivos estratégicos de EEUU y ahora Trump ha reiterado que es una de sus prioridades de gobierno. En Europa, la Comisión aprobó en febrero de 2016 una Directiva que establece medidas para lograr un elevado nivel de ciberseguridad, obligando a paises y empresas a informar, desde 2018, de los incidentes y fugas de datos. Y en España, Rajoy aprobó en diciembre de 2013 la Estrategia de Ciberseguridad Nacional, un punto de partida al que le faltan medios, fondos y una mayor coordinación entre instituciones públicas y empresas privadas. Baste un dato: el Instituto Nacional de Ciberseguridad (INCIBE) cuenta  sólo con 25 especialistas y 20,7 millones de euros de Presupuesto. Y en paralelo, hay que revisar la legislación y su aplicación, aportando más medios policiales y judiciales especializados, para que el ciberdelincuente acabe finalmente juzgado y en prisión, no libre como ahora.

Internet ha revolucionado la economía y nuestras vidas pero también se ha convertido en una potente plataforma para robar datos, atacar empresas e instituciones y cometer fraudes. Y los ciberdelincuentes, unas mafias internacionales cada vez más organizadas, están mucho más preparados que los particulares, empresas e instituciones para defenderse. Urge que tomemos todos conciencia de la gravedad del problema (que va a ir a más con “el Internet de las cosas”) y que invirtamos más dinero, personal y tiempo en defendernos, con la ayuda de empresas y personal especializado. Porque estamos más desprotegidos de lo que creemos. Internautas sí, súperconectados a tope, pero necesitamos estar más seguros.