El pasado mes de julio, la banda de ciberdelincuentes REvil anunció que había penetrado en los sistemas del Administrador de Infraestructuras Ferroviarias (Adif) y había logrado robar 800 gigabytes de datos. Semanas después, la aseguradora Mapfre tuvo que repeler un ataque de ransomware (programa de software malicioso) y, a mediados de octubre, Endesa hubo de activar sus protocolos de ciberseguridad para neutralizar la acción de los piratas informáticos.

Son tan sólo algunos de los casos que han trascendido en 2020, un año marcado por la pandemia del coronavirus y en el que los ataques a instituciones públicas y empresas privadas se ha incrementado de forma notable respecto a ejercicios anteriores. No hay todavía estadísticas oficiales, pero los expertos en el ámbito de la ciberseguridad ya anticipan que se ha marcado un récord tanto por el número de episodios como por el impacto que éstos hayan podido tener.

"La pandemia ha tenido un impacto directo en el panorama actual. Los confinamientos han obligado a restructurar los modelos operativos de las empresas de forma acelerada, obligando a adoptar aspectos como el teletrabajo y el cloud, que tienen fuertes implicaciones en seguridad para lo que se requiere un adecuado análisis que en muchos casos no se ha podido hacer de la mejor manera. Esto ha puesto a las organizaciones en una situación de debilidad o riesgo que los cibercriminales han sabido aprovechar, de ahí los incrementos en los ataques que anunciaba Interpol y que veremos en números cuando tengamos datos consolidados de 2020", razona el director del Centro de Ciberseguridad de la Asociación Española para el Fomento de la Seguridad de la Información (ISMS Forum), Daniel Largacha. 

En opinión del Centro Criptológico Nacional (CCN-CERT),adscrito al Centro Nacional de Inteligencia (CNI), la "apresurada" forma en que muchas empresas e instituciones han tenido que poner en marcha el teletrabajo debido al confinamiento y a las restricciones de movimientos acordadas para tratar de controlar la epidemia han provocado que "no se hayan evaluado de forma adecuada los riesgos asociados". Y esas "deficiencias de seguridad" han tratado de ser explotadas por los ciberatacantes. Un ataque masivo busca el encriptado de datos y el bloqueo de las infraestructuras para impedir el funcionamiento de la organización, paso previo a pedir un rescate.

"El aumento del uso de soluciones en la nube, conexiones VPN, servicios de escritorio remoto virtual (VDI), redes de confianza cero y gestión de identidades, servicios y tecnologías para el acceso remoto, uso de herramientas colaborativas, aplicaciones de videoconferencia, etc. generará que los ataques a estos entornos, en especial a los sistemas públicamente expuestos, sigan creciendo", alerta el CNN en su informe 'Ciberamenazas y tendencias', publicado el pasado mes de septiembre y en el que deja también constancia de la "consolidación de las campañas de desinformación en el ciberespacio".

Más ataques y de mayor impacto

En esta línea, Jesús Barrajón, gerente de Alsid para España y Portugal, no tiene dudas de que los casos se han disparado en el año recién concluido. "No sabría decirle si se va a duplicar o triplicar respecto a 2019, pero tengo clarísimo que 2020 va a ser el año con mayor número de ataques y de mayor impacto", expone el directivo del fabricante de ciberseguridad especializado en la protección del directorio activo de las infraestructuras, principal vector de ataque.

Barrajón no tiene dudas de que la pandemia "ha acelerado" la tendencia creciente de ataques a la cadena de suministro, como ya se constató en 2019 al duplicarse los episodios registrados en comparación con el año anterior. Y España, uno de los países más afectados por la expansión de la covid-19, está claramente en la diana de los ciberdelincuentes. "Estamos viendo que se están industrializando mucho estas prácticas y ya vemos grupos de delincuentes organizados que no necesariamente son expertos en ciberseguridad. Cualquier empresa puede ser un objetivo", añade. Las energéticas, los bancos y las aseguradoras no son las únicas que están en el blanco.

Largacha abunda en la sofisticación que se aprecia ya en muchos de los episodios que han tratado de comprometer infraestructuras sensibles. "Los criminales también se han adherido a la transformación digital. Como decía un colega de profesión, 'el cibercrimen es la versión digital del asalto al tren del Oeste'. Es frecuente cada vez ver bandas muy sofisticadas detrás de un ciberataque con herramientas cada vez más sofisticadas. Es lógico porque los ataques pueden reportarles jugosos beneficios de millones de euros. Este tipo de bandas van más allá de un grupo de jóvenes que buscan divertirse, son bandas perfectamente organizadas que cuentan son su propia infraestructura para atacar y que son capaces de adquirir herramientas de ataque e incluso desarrollarlas ellos mismos. Esto en el ámbito puramente económico, si nos adentramos en los grupos que están detrás de ataques a nivel de estados, la sofisticación si cabe mayor y cuentan con herramientas y recursos que pocas empresas se pueden permitir", comenta.

Expertos aseguran que 2020 marca un récord tanto por el número de ataques como por el impacto que han tenido

Durante la comparecencia ofrecida el pasado martes para dar hacer balance del cumplimiento de los acuerdos que sustentaron el pacto de gobierno PSOE-Unidas Podemos, Pedro Sánchez avanzó que el Ejecutivo trabaja ya en la elaboración de un Plan de Ciberseguridad. El objetivo es convertir a España en un "referente" en esta materia ante la amenaza que representa. Mapfre ha cifrado en más de seis billones de dólares el coste que, a nivel mundial, tendrán los ataques cibernéticos en 2021.

En opinión del ISMS Forum, el plan "llega tarde" porque las organizaciones empresariales y la ciudadanía conviven con la tecnología "desde hace décadas". Con todo, esta asociación considera que puede ser "positivo" pero "insuficiente". "Ahora tenemos que acelerar para recuperar el tiempo perdido. Debe de ser completo en varios aspectos. Por una parte, incluyendo a todos los actores de la sociedad: ciudadanos, empresas y estado. Por otra parte, en el ámbito empresarial debe de tener en cuenta a todos los sectores y tamaños de empresas. Por ejemplo, los últimos ataques a la cadena de suministro de la vacuna contra la covid nos muestran que la seguridad debe ser completa en todos los sectores, no es algo exclusivo y específico del sector financiero y energético", opina.

Bajo estas premisas, Daniel Largacha aboga por que el plan busque "fórmulas" para estimular la inversión en ciberseguridad por parte de las empresas e incluir "mecanismos" que faciliten la formación. "Actualmente existe un enorme déficit de profesionales de ciberseguridad porque los agentes encargados de proporcionar personal cualificado no son capaces de aportar al mercado el número suficiente. Y luego hay que ser capaz de captar y retener a estos profesionales, para lo que también deberán existir herramientas que ayuden a este objetivo", destaca.

Tendencias apreciadas por el Centro Criptológico Nacional (CCN) en 2020.

A su juicio, la protección del ciberespacio debe incentivar también la "colaboración público-privada", otro de los "pilares" en los que debe descansar dicho plan. "La ciberseguridad no es un ámbito exclusivo de las empresas, ni de los estados, es una cuestión que debe resolverse en un entorno de colaboración conjunto", defiende.

A todo ello ello añade un cuarto elemento: la concienciación y cultura de seguridad. "Probablemente es el pilar más importante porque realmente sienta la base para todos los anteriores. Es el que permite ser consciente del nivel de riesgo al que está expuesta la sociedad en su conjunto y, por lo tanto, el que posibilita que se pongan los medios y la voluntad de buscar soluciones al problema", enfatiza. 

A la espera de que avance la elaboración del Plan de Ciberseguridad anunciado por Sánchez en su última comparecencia informativa, el Ministerio del Interior ha puesto en marcha un procedimiento de licitación para contratar los servicios de una empresa especializada que dé apoyo técnico al Centro Nacional de Protección de Infraestructuras Críticas (CNPIC) y a la Oficina de Coordinación de Ciberseguridad (OCC) -ambas dependientes del Gabinete de Coordinación y Estudios de la Secretaría de Estado de Seguridad- en las labores de persecución de la cibercriminalidad y el ciberterrorismo y surta a sus analistas de información sobre amenazas y ataques informáticos que puedan perjudicar intereses estratégicos españoles.

Concienciación del riesgo

"El crecimiento en el número de incidentes de ciberseguridad con impacto en los operadores críticos y en los de servicios esenciales así como en otros considerados estratégicos nacionales; el aumento de las tipologías de ciberataque, su evolución y complejidad; así como el aumento en el número de requerimientos recibidos en la OCC por parte de los operadores y otras entidades gubernamentales para la resolución y esclarecimiento de los incidentes de seguridad de los sistemas de información de una forma conjunta y coordinada, requieren el desarrollo de una serie de capacidades, que, si bien en algunos casos se han venido prestando de forma exclusiva desde la OCC, requieren de una potenciación y continuidad estable en el tiempo, que permita operar las 24 horas del día, los 7 días de la semana, 365 días al año con una calidad en el servicio acorde con la importancia en la protección de infraestructuras críticas", expone Interior para justificar la necesidad de llevar a cabo la contratación.

A falta de que se conozcan los datos correspondientes a diciembre, la Agencia Española de Protección de Datos (AEPD) recibió durante los 11 primeros meses del año un total de 1.206 notificaciones de brecha de seguridad de datos personales. Durante 2019 se registraron 1.460, casi el triple de las contabilizadas el año anterior (547). No hay ningún indicio que permita pensar que la tendencia será decreciente a partir de ahora.

Jesús Barrajón considera que cada vez hay "más conciencia" por la amenaza de los ciberataques, si bien entiende que habría que adoptar una mentalidad mucho más "anticipativa". "Queda mucho trabajo por hacer. Y lo principal es hacerlo de modo proactivo en reforzar la seguridad y esa configuración del directorio activo para que no nos ataquen y, si lo hacen, que el impacto sea el menor posible. Hasta que no se estrellan varios coches en una curva no se pone el quitamiedos. Pasa un poco lo mismo", razona.