Los ciberataques se duplican

La digitalización de la economía y la guerra de Ucrania han disparado los ciberataques, duplicando los ataques informáticos a empresas, sobre todo el robo de datos con pago de rescate y los ciberataques a hospitales y universidades. Pero también los fraudes a internautas: en España hubo más de 300.000 denuncias por delitos informáticos en 2021, siendo ya el 2º delito más importante, tras los hurtos. Y todo apunta a que la ciberdelincuencia seguirá creciendo, al amparo de una globalización de los delitos y del aumento de actividad en Internet. Frente a esta “ciberguerra”, las grandes empresas y los Estados están cada día más preparados (España es el 4º país más ciberseguro del mundo, según la ONU) pero faltan inversiones y medios. El punto débil son las pymes y los internautas, que no nos tomamos en serio la seguridad digital, mientras faltan profesionales de la ciberseguridad, un sector en auge. Urge priorizar la lucha internacional contra la ciberdelincuencia, un cáncer en la economía digital.

Enrique Ortega

Los ciberdelitos se han convertido en el mayor crimen organizado a nivel internacional, por delante del tráfico de drogas, armas y personas, reportando a los ciberdelincuentes un beneficio que superó los 6 billones de euros en 2021. Hoy se lanza ya un ciberataque en el mundo cada 11 segundos, cuando hace sólo 5 años se daba cada 40 segundos. El salto en la digitalización de las economías y los avances en el comercio electrónico y la interconexión por Internet tras la pandemia multiplicaron los ciberdelitos en 2020. Y han seguido creciendo en 2021, cuando aumentaron un 50% los ataques contra las empresas, los ciberataques a redes sanitarias, educativas y de investigación (1.605 ataques semanales) y crecieron un 140% los ataques a proveedores de software, según el informe Check Point 2022.

Con todo, los ciberataques que más crecen son los robos de datos con solicitud de rescate, el ransomware: los sufrieron en 2021 un 66% de empresas mundiales, el doble que en 2020 (37% atacadas), según un reciente estudio de Sophos realizado entre 5.600 empresas de 31 países. Y lo peor es que el coste del rescate pagado (por el 46% de las empresas afectadas) se ha multiplicado por 5 y ya supone un pago de 760.166 euros de media. España es el 2º país europeo más afectado por el robo de datos con rescate, que han sufrido el 71% de las empresas en 2021, sólo por detrás de Francia (73%) y por delante de Alemania (67% empresas), Italia (61%), EEUU (58%) y Reino Unido (57% empresas), según este estudio de Sophos, que incluye empresas de 500 a 5.000 empleados. Eso sí, España es de los países donde se piden rescates más bajos (174.000 euros de media), frente a 1,86 millones de euros en Holanda, 665.000 euros en Italia, 275.000 en Francia, 255.000 en Alemania.

El robo de datos con rescate (“ransomware”) es muy preocupante porque es el ciberdelito que más crece y además cada vez hay más empresas que pagan (casi la mitad, el 38% en España), no tanto para recuperar los datos robados o inaccesibles (la mayoría de las empresas afectadas tienen copias de seguridad) sino para evitar el daño reputacional que supone conocerse el ataque y la vulnerabilidad que refleja. Y además del elevado coste del rescate, las empresas tienen un coste añadido: “limpiar” después los datos recuperados, para evitar que los ciberdelincuentes hayan copiado contraseñas o añadido puertas traseras y software que expongan a la empresa o institución a futuros ataques. Este coste de recuperarse tras un ataque de “ransomware” supone ya una media de 1,3 millones de euros por empresa, la mitad en el caso de España, según el estudio de Sophos.

El auge de este ciberdelito, el robo de datos con rescate (“ransomware”) frente a otros (“phising” o robo de datos, “malware” o introducción de programas maliciosos y el “data breach” o escape y filtrado de datos) está llevando a un cambio en la estrategia mundial contra la ciberdelincuencia: los ciberdelincuentes son más agresivos y piden rescates más altos (porque ven que es más fácil conseguir resultados, dado que las empresas pagan y cada vez más) y las compañías de seguros (el 83% de las empresas tienen un ciberseguro) endurecen sus condiciones (el 34% de las pólizas tienen exclusiones), lo que dificulta la defensa efectiva ante esta ciberdelincuencia, sobre todo en las pymes.

Los sectores más afectados por el robo de datos con rescate (“ransomware”) son los medios de ocio y  entretenimiento (79% afectados), el comercio minorista (77%), la energía, el petróleo y los servicios públicos (75%), las empresas de distribución y transporte (74%), los servicios empresariales y profesionales (73%) y la salud (66% empresas afectadas). Y los que menos las telecos (61%), los Gobiernos  (60%), el sector educativo (56%), las manufacturas (55%) y los servicios financieros (55%), según el estudio de Sophos. Pero una novedad de 2021 y también de 2022 es el aumento de los ataques de “ransomware” contra empresas sanitarias (hospitales, seguros médicos, laboratorios), educativas y centros de investigación. En España, han sufridos estos ataques, para intentar el robo de datos con rescate, varios hospitales, algunas Universidades y el CSIC (Consejo Superior de Investigaciones Científicas, en septiembre de 2022), así como las oficinas de empleo (SEPE), el INE y varios Ministerios (Trabajo, Justicia, Educación y Economía), en 2021.

El interés de los ciberdelincuentes por los datos sanitarios preocupa en todos los paises y también en España, donde el sistema sanitario acumula este año 2022 “una treintena de ataques informáticos de muy alta peligrosidad”, según datos del Centro Criptológico Nacional (adscrito al CNI), que los vigila de cerca. La novedad es que está creciendo “el ransomware” de triple extorsión: se roban datos, se exige un rescate a la empresa y se extiende el chantaje a sus clientes, dirigiéndose a ellos para exigirles otro rescate por sus datos. Esto se vio por primera vez en 2020 en Finlandia, con el ciberataque a una clínica y a sus clientes, pero ahora ya se ha extendido y generalizado.

En conjunto, los ciberataques de distintos tipos están muy generalizados en las empresas, sobre todo con el auge del teletrabajo, que reduce la seguridad informática al conectarse los empleados desde puestos y redes no seguras. Sólo en 2021, el 94% de las empresas españolas sufrieron al menos un incidente grave de ciberseguridad (frente al 87% en 2020), según una encuesta hecha por Deloitte entre responsables de seguridad. Casi el 69% de esas empresas sufrieron entre 1 y 2 ataques y el 25% de ellas sufrieron más de dos ataques graves, en especial aseguradoras, telecomunicaciones, medios de comunicación, tecnológicas, banca e instituciones públicas: son las que cuentan con más ciberseguridad, pero también las que cuentan con más datos atractivos para los ciberdelincuentes. Y el 44% de las pymes sufrieron un ciberataque en 2021, según Hiscox.

Este año 2022, con el auge de la digitalización y el comercio electrónico, más la guerra de Ucrania, se observa un aumento de los ciberdelitos: más del 50% de las empresas del mundo esperan un repunte en los ciberataques, superando el récord de 2021, según un informe de la consultora Price Waterhouse. Lo que más está creciendo en el mundo es el robo de datos con rescate (“ransomware”), que se ha duplicado en 6 meses (según Fortiguard), gracias a la proliferación en la red oscura (“Deep web”) de programas que cualquiera puede comprar (sin ser hacker) y que han globalizado el “ransomware”. En España, además de los ataques a empresas con muchos clientes, están aumentando los ciberataques a la nube y los ataques informáticos a las cadenas de suministros.

Pero no pensemos que los ciberataques se dirigen sólo a las empresas e instituciones: cada día hay miles de ataques informáticos para robar datos a los internautas, más de 30 millones en España, que navegan dos horas y media al día de media, muchas en redes sociales y bajándose aplicaciones que son una gran puerta de entrada de virus maliciosos. En 2021, las autoridades españolas detectaron 180.000 ciberataques a empresas, redes y particulares, según una comunicación enviada por el Gobierno al Congreso. De ellas, 109.126 son los incidentes de seguridad gestionados en 2021 por el INCIBE, el Instituto Nacional de Ciberseguridad, con sede en León: 90.168 fueron incidentes a empresas y ciudadanos, 18.278 a la red académica y de investigación y 680 a operadores estratégicos.

Otro indicador de que tenemos un serio problema de ciberseguridad  es que se han triplicado las denuncias por delitos informáticos: de 92.716 en 2016 a 305.477 denuncias en 2021, según el Ministerio del Interior, con 240.100 víctimas afectadas (+11,4% que en 2020). Con ello, los delitos informáticos (15,6% de todas las denuncias) se aúpan al 2º puesto en el ranking de delitos tras el hurto, por lo que algunos expertos dicen que “es más fácil que nos atraquen en Internet que en la calle”. La mayoría de estas denuncias son por “fraudes informáticos” (87,4%), quedando a mucha distancia las denuncias por amenazas y coacciones informáticas (5,7%) y las falsificaciones (3,4%). Lo preocupante además es que sólo se esclarecieron el 15,9% de las denuncias y sólo se detuvo por ellos a un 4,5% de los investigados, 13.801 personas (ojo: el 71,2% hombres y el 79,3% españoles). Dos datos que revelan la dificultad de estas investigaciones (seguir la pista a delincuentes amparados en redes y servidores internacionales) y la falta de medios de la policía (el Plan contra la Cibercriminalidad de Interior contó con 1 millón de euros en 2021…).

Con todo, en los últimos años han aumentado los medios y las medidas contra la ciberdelincuencia, en Europa y en España. En enero de 2019, este Gobierno aprobó la Estrategia Nacional contra el Crimen Organizado, que incluía un Plan Estratégico de Ciberseguridad. Y en abril de 2019, el Consejo de Seguridad Nacional (CSN) aprobó la Estrategia Nacional de Ciberseguridad. En julio de 2020 se creó el Foro Nacional de Ciberseguridad, un espacio de colaboración entre la Administración y las grandes empresas privadas. Y en mayo de 2021, el Gobierno aprobó el Plan de choque contra la Ciberseguridad, un paquete que incluye casi 1.000 millones de inversión en ciberseguridad, 600 millones de los Fondos de Recuperación UE. Tras la invasión de Ucrania, el Gobierno español decidió, el 9 de marzo de 2022, elevar el nivel de alerta cibernética al nivel 3 (hay 5 niveles), creando un Comité de Ciberseguridad dirigido por el CNI.

Actualmente, hay en España un triple mecanismo público de defensa ante los ciberataques: el INCIBE, que protege a los ciudadanos (con alertas y consejos, su web y el teléfono 017), las empresas y los organismos universitarios y de investigación, el Centro Criptográfico Nacional (adscrito al CNI), que protege a la administración y al sector público y el equipo de respuesta de emergencias informáticas (CERT) de Defensa. Y además está la Oficina de Coordinación de la Ciberseguridad (integrada por policías y guardias civiles) que colabora con las empresas para la Ciberdefensa de los 171 operadores críticos (que en 2021 sufrieron 680 incidentes graves, según el INCIBE), en la energía, banca, agua y salud. Sin olvidar que la mayoría de las grandes empresas del IBEX cuentan con Centros de respuesta ante emergencias informáticas (CERT), igual que Cataluña y País Vasco, coordinados con los del Estado.

Todos ellos suponen una enorme red de Ciberdefensa, que realiza básicamente un trabajo preventivo (detectar la llegada de virus a las redes, para evitar ataques) y posterior a los ciberataques, coordinando medidas. Un sistema de protección, público y privado, que ha convertido a España en el 4º país más ciberseguro del mundo (en 2016 éramos el 23º), según el Índice de Seguridad Global 2020 elaborado por la Unión Internacional de Telecomunicaciones (ONU): sólo estamos por detrás de EEUU, Reino Unido y  Arabia Saudí (empatados en 2º lugar) y Estonia, ocupando el 4º puesto con Corea del Sur y Singapur y por delante en ciberseguridad de Francia (9º), Alemania (13º) y Portugal (14º).

Mientras España ha avanzado en Ciberseguridad global, como país, y en la estrategia de las grandes empresas (bancos, aseguradoras, energía, telecomunicaciones, servicios), queda mucho por hacer en la ciberseguridad de la mayoría de las empresas (sobre todo pymes, que sólo invierten un 6% en seguridad informática) y de los particulares, los internautas. En  principio, el 88% de las empresas piensan que su gasto y su personal en ciberseguridad “es suficiente”, según el estudio de Sophos, con lo que la mayoría no cree que el problema sea invertir más en ciberseguridad. Los expertos señalan que muchas sí que necesitan más inversión y más expertos, aunque lo fundamental es poner la Ciberseguridad como una de las grandes prioridades estratégicas (como la financiación, el marketing o los recursos humanos) y dedicarse a buscar “proactivamente” los fallos de seguridad y las amenazas, cuidando especialmente las “brechas” en proveedores, empleados y clientes.

En el caso de los internautas, la mayoría está preocupado por la seguridad pero apenas toman medidas para protegerse, que INCIBE reitera en su web: la mayoría no tiene antivirus solventes, se baja numerosas aplicaciones  e intercambia archivos sin precaución, compra en tiendas online poco seguras,  abre correos y enlaces sin precaución, no cambia y repite contraseñas, desconoce o no utiliza las herramientas de privacidad, etc., etc. Y enfrente, cada día, los ciberdelincuentes son cada día más imaginativos y multiplican los sistemas para robarnos datos o entrar en nuestros dispositivos. Es como si hubiera una epidemia de ladrones de casas y nosotros no tuviéramos una puerta blindada y bien cerrada. Resulta clave la formación, sobre todo a los jóvenes, para enseñarles a conectarse de forma segura a la Red. Y buscar programas y empresas que nos ayuden a trabajar más seguros.

La ciberdelincuencia ha crecido más rápido que cualquier delito y crecerá más en el futuro, según la Agencia Europea de Ciberseguridad, amparada en la globalización de los ataques, desde cualquier lugar del mundo y a cualquier empresa o particular, con una mayor facilidad para los ataques (se ofrecen programas de hackeo en la Red oscura) y virus maliciosos cada vez más sofisticados e indetectables. Eso exige una mayor cooperación internacional, para compartir información y contramedidas, cerrando puertas a la ciberdelincuencia con legislación y medios. Es una Ciberguerra, que exige un ejército preparado a nivel del G-20, el G-7 y la Unión Europea. Pero poco puede hacerse si empresas e internautas no nos tomamos más en serio nuestra Ciberseguridad. Y ponemos más medios para que no nos roben.

Los ciberataques, una guerra silenciosa

La guerra en Ucrania ha intensificado los ciberataques en Europa, incluso desde enero, antes de la invasión rusa. El Gobierno español ha elevado a nivel 3 la alerta cibernética, reuniéndose con grandes empresas y pidiendo a los funcionarios que cambien sus claves. Pero los ciberataques no sólo crecen por la guerra: llevan años disparados. De hecho, se han triplicado las denuncias de los particulares y hasta la policía dice que tenemos más riesgo de sufrir un fraude en internet que un atraco en la calle. Y un 94% de las empresas españolas sufrieron al menos un incidente grave de seguridad en 2021, con altos costes. El Gobierno ha puesto en marcha, desde 2019, una Estrategia contra los ciberdelitos, que se refuerza ahora con los Fondos europeos. Pero faltan recursos y personal cualificado, también en las empresas, sobre todo en las pymes. Y los internautas tampoco ponemos los medios suficientes para protegernos. Es hora de tomarse en serio esta otra guerra que nos amenaza cada día.

Enrique Ortega

La ciberdelincuencia es un grave problema mundial, un negocio que mueve ya más dinero que el tráfico de drogas, unos 5,5 billones de euros en 2020, según datos de la Comisión Europea. Y si ya era un riesgo global, se ha acelerado con la pandemia, al haberse multiplicado la conexión a Internet, la conectividad, el teletrabajo y las compras online, multiplicándose por cuatro el fraude cibernético, según el FBI. En España, los ciberdelitos aparecen en primer lugar en el ranking de los delitos más preocupantes para los próximos años, según la Estrategia nacional contra el crimen organizado aprobada en 2019.

Ahora, con la guerra de Ucrania, incluso antes de la invasión, se han disparado los ciberataques contra infraestructuras básicas, instituciones  y grandes empresas, en Europa y en España. Es la llamada “guerra híbrida”, que mezcla ciberataques y propaganda. De hecho, la Unión Europea ya anunció el 22 de febrero, dos días antes de la invasión de Ucrania, el despliegue de un equipo de respuesta cibernética en toda Europa, mientras muchos paises y también EEUU, elevaban su nivel de alerta cibernética. En España, un informe del Centro Criptológico Nacional (dependiente del CNI) ya alertaba en enero sobre “el riesgo de ciberataques de alta persistencia y sofisticación tecnológica”. Y señalaba que España sufre diariamente ciberataques de peligrosidad muy alta o crítica contra el sector público y grandes empresas privadas, parte de ellos procedentes de “otros Estados” que tienen entre sus motivaciones debilitar nuestra capacidad política, económica y tecnológica”, sin citar nombres de paises, aunque Rusia siempre es el primer sospechoso.

Ahora, una vez invadida Ucrania, el Gobierno español decidió, el 9 de marzo, elevar la alerta cibernética al nivel 3 (hay 5 niveles), ante el temor de que arrecien los ciberataques rusos. Y en paralelo, ha creado un Comité de Ciberseguridad, dirigido por el CNI y bajo el paraguas del Comité de Crisis creado en la Moncloa, que está coordinando la defensa ante los ciberataques. Por un lado, se ha reunido con las grandes empresas del IBEX y las empresas estratégicas (energía, telecomunicaciones, servicios esenciales) para coordinar medidas e intercambiar información. En paralelo, se ha instruido a diplomáticos, funcionarios e instituciones públicas (incluidas Universidades) para que cambien contraseñas y refuercen la ciberseguridad. Incluso han pedido al Congreso que los diputados extremen la precaución en el uso de sus móviles y dispositivos informáticos.

Pero el problema de la ciberseguridad es muy anterior a la guerra de Ucrania. La generalización del uso de Internet, sobre todo en estos 2 años de pandemia, ha multiplicado los ataques, tanto a particulares (que compran y operan más por Internet) como a las empresas, a quienes el teletrabajo ha aumentado su brecha de seguridad. Los datos son muy relevantes. El INCIBE, el Instituto Nacional de Ciberseguridad (con sede en León) gestionó  en 2020 (últimos datos oficiales) 133.155 incidentes de seguridad en particulares y 861 incidentes en operadores privados, sobre todo en Cataluña, Madrid, Andalucía, Comunidad Valenciana y País Vasco. Y en 2021, con datos del primer semestre, el INCIBE atendió 69.211 consultas (al teléfono 017 o bien online), un 68% más que en 2020: envío de SMS fraudulentos, robo de datos, suplantación de identidad, falsos soportes técnicos, fraude en compraventas, tiendas online falsas, hackeo de cuentas o dispositivos, sextorsión, problemas con menores…

La ciberseguridad no es sólo un problema de los Estados, instituciones públicas o grandes empresas, sino que nos afecta a todos los que utilizamos Internet. De hecho, más de la mitad de internautas (un 55,3%) sufrieron alguna incidencia de seguridad online en la primera mitad de 2021, según el INCIBE. Y de ellos, la mitad (el 28% del total) sufrieron un incidente grave. La mayoría de los incidentes fueron correos indeseados (85%), virus informáticos y códigos maliciosos (61%). Y son 4  las amenazas más comunes denunciadas: estafas informáticas (phising o robo de contraseñas y datos bancarios y carding, el copiado de tarjetas), daños a cambio de dinero, fraude en las telecomunicaciones (robo de wifi) y delitos contra la intimidad (sextorsión o bullying informático).

En el caso de las empresas, los ciberataques son aún más preocupantes: el 94% de las empresas españolas sufrieron un incidente grave de seguridad en 2021, según un reciente informe de la consultora Deloitte. De ellas, el 69% sufrieron entre 1 y 2 ataques y un 25% sufrieron más de 2 ataques en 2021. Las más afectadas fueron las aseguradoras (4 ataques graves de media), empresas de telecomunicaciones, medios de comunicación y tecnológicas (3 ataques), empresas de fabricación (2,80 ataques), bancos (2,25) y la Administración Pública (2 ataques graves: recordemos la paralización de las oficinas del SEPE). Los ataques se dan más a las grandes empresas (hay más “botín”), pero son más frecuentes en las pymes, que están menos preparadas: 1 de cada 5 pymes ha sufrido un ataque informático en el último año, con un coste medio de 35.000 a 75.000 euros por empresa, según Acens.

Cuatro son las ciberamenazas habituales a las empresas. La más utilizada (19% empresas la han sufrido) es el phising (el robo de datos), seguida de cerca por el ransomware (se restringe el acceso a los datos de la empresa y se pide un rescate para desbloquearlo), sufrido por el 18% de las empresas, el malware (introducir un programa malicioso que realiza acciones dañinas), que afectó a otro 14% de empresas, y el data breach (escape o filtrado de datos), que afecta a otro 10% de compañías. En conjunto, las estadísticas revelan que la media anual de ciberataques a empresas subió un 21% en 2021.

Al final, no todos los ciberataques se denuncian, en unos casos por desconocimiento o pereza (particulares) y en otros por preservar la imagen de marca (empresas). Con todo, los delitos informáticos denunciados se han triplicado: han pasado de 92.716 denuncias en 2016 a 287.963 denuncias en 2020 (+31%), último año que figura en el informe del Ministerio del Interior. El problema es que resulta muy difícil investigar muchos de estos ciberdelitos, porque su origen está en paises extranjeros muy opacos (Rusia, paises del Este, Asia) y no es fácil demostrar la autoría ni detener a los culpables. Por eso, de los 287.963 delitos denunciados, sólo se esclarecieron 38.046 (el 13,2%) y fueron investigados y detenidos sólo 11.280 delitos (el 3,91%). Un dato curioso, que contrasta con lo que muchos piensan, es que el 79,2% de los ciberdelincuentes detenidos fueron españoles.

Lo preocupante es que los ciberdelitos, a particulares (lea cómo es un fraude online) y empresas, se han aupado al 7º lugar del ranking de delitos más comunes, por delante del tráfico de drogas y de los robos con violencia (la propia policía cree que “es más fácil que nos roben por Internet que nos atraquen en la calle”). Los investigadores indican que el auge de los ciberdelitos se explica por varias razones: la facilidad para delinquir (los equipos tienen bajo coste), el poco riesgo (sólo se esclarecen y detienen el 3,91% de los delitos denunciados) y porque se ha producido una “migración” de delincuentes de otros delitos (droga, robos) a los ciberdelitos, donde trabajan para grandes mafias que les compran datos. Y hay otra explicación más: la falta de medios especializados, en las comisarías y en las fuerzas de seguridad, para detectar y perseguir estos delitos, que promueven mafias muy poderosas.

Las autoridades que vigilan los ciberdelitos, en especial el INCIBE, multiplican sus esfuerzos para que particulares y empresas refuercen su ciberseguridad. Pero hacemos poco. La prueba es que sólo el 61% de los internautas han cambiado sus hábitos (cambio contraseñas, antivirus, herramientas de privacidad) tras sufrir un problema de ciberseguridad. Y sólo un 30% de los internautas han cambiado sus hábitos de compra tras un fraude online, según los datos de INCIBE, que alerta además de una reducción de las medidas de seguridad (programas antispam, cortafuegos, antivirus) tanto en los ordenadores de casa como en los teléfonos móviles. Y llaman la atención sobre la costumbre generalizada de usar fuentes desconocidas para la descarga de aplicaciones (una de las vías principales de entrada de virus). Además, reiteran en su web las recomendaciones de seguridad para los usuarios: actualizar dispositivos y aplicaciones, antivirus, seguridad de contraseñas, descargas aplicaciones en sitios seguros y realizar periódicamente copias de seguridad.

Para las empresas, el mejor consejo de ciberseguridad es gastarse dinero, darle importancia institucional (crear un responsable de seguridad con categoría y medios) y la formación de los empleados (que son la principal entrada involuntaria de virus, vía correo electrónico, navegación por Internet o aplicaciones descargadas). Muchas empresas subcontratan la ciberseguridad y eso les resta eficacia. Y en el caso de las pymes, apenas se invierte en seguridad ni se cuenta con planes y personal preparado. De hecho, los especialistas en ciberseguridad van  a ser los profesionales más demandados en los próximos años: harán falta 83.000 nuevos especialistas para 2024, según el INCIBE.

El Gobierno Sánchez lleva desde 2019 empeñado en la lucha contra el cibercrimen y este trabajo ya ha dado algunos frutos: España es el 4º país del mundo con más ciberseguridad global, según el Global Cybersecurity Index 2020, elaborado por la Unión Internacional de Telecomunicaciones (UIT), sólo por detrás de EEUU (1º), Reino Unido y Arabia Saudí (2º) y Estonia (3º), empatado a puntos (98,52 sobre 100) en el 4º puesto con Corea y Singapur y por delante de Francia (9º lugar), Alemania (13º) o Italia (20ª). El índice mide 5 indicadores y España ha obtenido el máximo (20 puntos) en cuestiones legales, capacidad de desarrollo y cooperación, obteniendo una alta nota en la aplicación de capacidades técnicas (19,54 puntos) y estrategias nacionales de ciberseguridad (18,98).

En enero de 2019, el Gobierno aprobó la Estrategia Nacional contra el Crimen Organizado que incluía un Plan Estratégico de Ciberseguridad. Y en abril de 2019, el Consejo de Seguridad Nacional (CSN) aprobó la Estrategia Nacional de Ciberseguridad. En julio de 2020 se creó el Foro Nacional de Ciberseguridad, un especio de colaboración entre la administración pública y las grandes empresas privadas para reforzar la ciberseguridad. En diciembre de 2020, se aprobó la Agenda Digital 2025, un Plan para reforzar la digitalización de la economía y de la Administración, con medidas de ciberseguridad. Y el 9 de marzo de 2021, el Ministerio del Interior aprobó el Plan Estratégico contra la Cibercriminalidad, que se refuerza con los Fondos europeos destinados a la ciberseguridad en el Plan de recuperación (260 millones, entre 2021 y 2024, para que las pymes refuercen su ciberseguridad. Y todo ello dentro del paraguas de la Unión Europea, que ha centralizado toda su gestión de la ciberseguridad europea en un nuevo Centro, abierto en Budapest en febrero de 2022. En España, el Centro de  gestión de la ciberseguridad pública se acaba de adjudicar a Telefónica e Indra.

Parece que los poderes públicos, europeos y españoles, se han tomado en serio la guerra contra la ciberdelincuencia, uno de los grandes retos del siglo XXI, junto al cambio climático y la revolución tecnológica. Pero queda mucho por hacer. A nivel público, dedicar más dinero y medios a la lucha contra la ciberdelincuencia: baste decir que el Plan contra la Cibercriminalidad contó en 2021 con 1 millón de euros de presupuesto… Y las empresas apenas gastan en ciberseguridad, solo las muy grandes, no las pymes. Y nosotros, los particulares, ni gastamos en seguridad ni tomamos apenas medidas de defensa, al navegar por Internet, abril correos, compartir información o bajarnos aplicaciones. Hay que tomarse más en serio esta guerra, como ahora la defensa europea o la autonomía energética. Porque la ciberdelincuencia es cada día más fuerte y peligrosa. Nos jugamos mucho.

 

Los ciberataques se duplican en España

En 2016 se produjeron en España 315 ataques informáticos diarios a empresas, instituciones o particulares, más del doble que en 2015, cuando ya se triplicaron sobre los de 2014. Y esos son los ataques que se detectan o se denuncian, porque ciberataques puede haber diez veces más. De hecho, el cibercrimen mueve ya en el mundo más dinero que la droga y ataca a 1 de cada 5 internautas (689 millones en 2016). Esto exige una mayor atención de los particulares a su seguridad informática y, sobre todo, fuertes inversiones de Gobiernos y empresas en ciberseguridad, una de las industrias con más futuro. En España, empresas y particulares gastan poco en ciberseguridad y sólo una de cada cinco grandes empresas tiene un Plan de seguridad informática. Urge un acuerdo mundial contra el cibercrimen, como el alcanzado contra el Cambio climático. Y en España, ampliar presupuestos  y medios públicos, desde técnicos a  policías y jueces especializados. Son delitos muy peligrosos para la economía y nuestra vida diaria.


enrique ortega

 
La mitad de la población mundial es internauta, unos 3.773 millones en 2016, y un tercio son activos en la Red: 2.789 millones de personas. Pues bien, 1 de cada 4 de estos internautas activos sufrió algún ciberataque en 2016: 689 millones de personas, según revela el informe Norton sobre Ciberseguridad 2016. Según sus estimaciones, los ciberdelincuentes lanzaron más de 1 millón de ataques diarios y causaron pérdidas por 125.900 millones de dólares (119.900 millones de euros), lo que convierte al cibercrimen en el mayor negocio ilegal del mundo, por delante del narcotráfico o el tráfico de armas, según los expertos.

La razón es este auge de los ciberataques es que los internautas siguen sin tomar medidas para proteger sus dispositivos, mientras los ciberdelincuentes son cada vez más sofisticados. De hecho, según el informe Norton, el 35% de la población mundial tiene algún dispositivo informático sin proteger, lo que propicia los ciberataques. Y más con el auge del “Internet de las cosas”: 1 de cada 5 dispositivos domésticos enlazados a la Red no cuenta con la protección necesaria y eso explica el auge de los ciberdelitos. La mayoría de los ataques, según el informe Norton, se centran en el robo de contraseñas (“phishing”), para el posterior acceso a información financiera y personal, además del “hackeo” del correo electrónico o de los archivos y material sensible de particulares y empresas. También la suplantación de empresas y organismos, para el envío de correos en su nombre pidiendo información, como ha denunciado en febrero de este año el Banco de España.

España es el país nº 19 en el ranking mundial de ciberdelitos y el 8º europeo, según el último informe de Symantec. El cibercrimen representa ya el 32% de la delincuencia económica  en España y mueve unos 10.000 millones de euros al año, según estimaciones de los expertos. Y avanza año tras año de forma imparable: si en 2014 se detectaron unos 18.000 ciberdelitos, en 2015 alcanzaron los 50.000 y en 2016 se han superado los 115.000 ciberdelitos, más del doble, según el balance del Instituto Nacional de Ciberseguridad(INCIBE), con sede en León. De ellos, 110.293 fueron ataques informáticos a empresas y ciudadanos, 479 a operadores críticos (energía, transportes, comunicaciones, puertos)  y otros 4.458 ataques a la red RIS (Universidades y centros de Investigación). Y eso son los ataques detectados por INCIBE o denunciados por particulares y empresas, porque hay muchos ciberataques que no se detectan ni se denuncian (por no dañar la imagen de empresas), con lo que se estima que los ciberataques reales, en España y en el mundo, pueden ser diez veces los detectados.

En paralelo a los ciberdelitos detectados por el Instituto Nacional de Ciberseguridad , están los delitos informáticos que particulares y empresas denuncian a la policía, que tiene unidades especializadas contra los ciberdelitos. En 2015 (últimos datos oficiales) se contabilizaron en España 60.154 delitos informáticos (frente a 42.812 en 2012), de los que dos tercios fueron por fraude informático (40.864), 10.112 por amenazas y coacciones, 2.386 por acceso ilícito, 2.361 por falsificación informática, 2.131 contra el honor, 1.233 delitos sexuales, 900 por interferencias en sistemas y 167 delitos informáticos contra la propiedad industrial. De todos estos ciberdelitos registrados por la policía, sólo un tercio pasaron al juez: hubo 22.575 procedimientos judiciales por delitos informáticos en 2015, según la Memoria de la Fiscalía. La mayoría se tipificaron como estafas (86%) y destacaron los delitos de “phishing” (robo de datos y claves) y fraudes con tarjetas y transferencias. Muchos de estos delitos se archivan, bien porque son importes bajos o porque su investigación es compleja y son delitos muy difíciles de investigar, con tramas mafiosas en  el extranjero, por lo que se estima que un 95% de los delitos informáticos quedan impunes. Y así, sólo se imputaron por delito informático a 4.667 personas en 2015. Y la mayoría no acaba en la cárcel.

Los ciberataques se centran en España en internautas, empresas y organismos públicos. Si empezamos por los 28 millones largos de internautas, las dos terceras partes (64,6%) reconocen que han sufrido algún incidente al utilizar Internet, según la Encuesta de Equipamiento y Tecnología  del INE (2015). Más de la mitad sufren “spam” (correos no deseados) y otro 24,6% han sufrido algún virus. Según los datos del Instituto Nacional de Ciberseguridad (INCIBE), los mayores ataques proceden del envío de correos y mensajes engañosos, con el objetivo de robar datos y contraseñas. Una variante muy extendida es el “malware bancario”: envío de mail con virus que se instalan en el ordenador del cliente para robarle claves o números de cuentas y tarjetas.

Los ataques a empresas son los que más han crecido en los últimos años, con una media de 2,8 ataques por empresa en 2016, según una encuesta de la consultora PwC, que estima una pérdida de 1,3 millones de euros por empresa. Según el INCIBE, tres son los ataques informáticos que causan  más daño a las empresas españolas. Uno, el secuestro de datos (conocido como “ramsonware” o “criptoware”), que afecta sobre todo a las pymes: el hacker envía un virus a la empresa que encripta los archivos y piden un rescate a cambio de desencriptarlos (una especie de “cibersecuestro” de datos). Normalmente se pide el rescate en moneda virtual (bitcoins) y en webs extranjeras encriptadas, lo que dificulta su seguimiento. Otro ciberdelito es el llamado “fraude al CEO”: se accede al correo del directivo de una empresa y se solicitan pagos a proveedores en la cuenta del ciberdelincuente. Otra variante es suplantar al departamento de compras o crear tiendas virtuales inexistentes  y enviar correos para ofrecer ofertas y concursos o recabar pagos.

Un tercer frente de ciberataques son las empresas estratégicas, desde la energía a los transportes y las industrias básicas, apoyándose en que España es el 5º país del mundo con más sistemas informáticos (3.059 sistemas) que controlan este tipos de instalaciones y procesos industriales  a través de Internet, la mayoría sin la adecuada protección. Sólo en 2016 se registraron 479 incidentes de seguridad en infraestructuras críticas, un 35% más que en 2015, según el Centro nacional de Protección de Infraestructuras Críticas (CNPIC). Y según los expertos, esta estadística no recoge ni el 10% de los incidentes reales: si se analizaran los 5.000 operadores de servicios esenciales, se contabilizarían realmente unos 100.000 incidentes informáticos al año. Los servicios más atacados, según un estudio del Centro de Ciberseguridad Industrial, son los servicios de salud (40.000 ataques al año), la energía (la gran  preocupación de todos los Gobiernos: en 2015, un ciberataque dejó a Ucrania sin luz durante 7 horas) y los transportes (Renfe, metro, cercanías, aeropuertos y líneas aéreas).

Si la ciberdelincuencia es ya un problema muy serio, en el mundo y en España, lo va a ser aún más en el futuro, según los expertos, porque van a seguir creciendo los dispositivos conectados a Internet (“el Internet de las cosas”), en las viviendas, los coches y multitud de dispositivos (routers, impresoras, TV inteligentes…) con poca protección, que los hackers utilizan como un ejército de robots que propicia ataques masivos, como los que en octubre de 2016 atacaron al proveedor de Internet estadounidense DYN, que afectó a más de 1.000 millones de usuarios en  todo el mundo. En definitiva, cada vez se venden más dispositivos sin seguridad que los ciberdelincuentes utilizan como “puertas traseras” para entrar fácilmente en sistemas muy protegidos. Y se estima que para 2020, la mitad de los aparatos del hogar estarán conectados a Internet y serán “los caballos de Troya” de los hackers.

La clave contra la ciberdelincuencia es invertir en personal y medios para detectarlos y combatirlos. Las empresas españolas invirtieron unos 3,6 millones de euros al año (de media) en empresas de seguridad (unas 550 en España, que dan trabajo a 6.000 personas), que facturaron 600 millones de euros en 2014, según el Observatorio de las Telecomunicaciones. Y se espera que las empresas españolas inviertan en ciberseguridad  más de 1.000 millones en 2019. El problema es que invierten menos que en otros paises (en 2016, las empresas invirtieron 76.000 millones en ciberseguridad en el mundo, según Gartner), sobre todo las pymes, que están “desnudas” ante los ciberdelitos, como si tuvieran negocios físicos sin cierres de seguridad y alarmas. Y que sólo el 17% de las grandes empresas industriales tienen un Plan definido de seguridad informática, mientras un 10% de ellas ignora incluso los riesgos, según el informe del Centro de Seguridad  Industrial. Y los particulares tenemos cada vez más antivirus, pero sin gastar casi nada en ellos ni actualizarlos con frecuencia.

El mundo tiene que tomarse en serio la lucha contra la ciberdelincuencia, como ha empezado a hacer con el Cambio Climático. Obama declaró la ciberseguridad como uno de los objetivos estratégicos de EEUU y ahora Trump ha reiterado que es una de sus prioridades de gobierno. En Europa, la Comisión aprobó en febrero de 2016 una Directiva que establece medidas para lograr un elevado nivel de ciberseguridad, obligando a paises y empresas a informar, desde 2018, de los incidentes y fugas de datos. Y en España, Rajoy aprobó en diciembre de 2013 la Estrategia de Ciberseguridad Nacional, un punto de partida al que le faltan medios, fondos y una mayor coordinación entre instituciones públicas y empresas privadas. Baste un dato: el Instituto Nacional de Ciberseguridad (INCIBE) cuenta  sólo con 25 especialistas y 20,7 millones de euros de Presupuesto. Y en paralelo, hay que revisar la legislación y su aplicación, aportando más medios policiales y judiciales especializados, para que el ciberdelincuente acabe finalmente juzgado y en prisión, no libre como ahora.

Internet ha revolucionado la economía y nuestras vidas pero también se ha convertido en una potente plataforma para robar datos, atacar empresas e instituciones y cometer fraudes. Y los ciberdelincuentes, unas mafias internacionales cada vez más organizadas, están mucho más preparados que los particulares, empresas e instituciones para defenderse. Urge que tomemos todos conciencia de la gravedad del problema (que va a ir a más con “el Internet de las cosas”) y que invirtamos más dinero, personal y tiempo en defendernos, con la ayuda de empresas y personal especializado. Porque estamos más desprotegidos de lo que creemos. Internautas sí, súperconectados a tope, pero necesitamos estar más seguros.