Más de 3.000 empresas uruguayas sufrieron secuestro de información, según una encuesta

El Grupo Radar, a pedido de la empresa Datasec, elaboró en noviembre del año pasado una nueva encuesta que busca medir en dónde Uruguay está parado. Para ello, entrevistaron a 627 compañías grandes, medianas, pequeñas y micro de Montevideo y el interior que son representativas de las 183.896 que hay en todo el país.

Los resultados son alentadores. “Se ve un avance en la situación de las empresas, que se están analizando, evaluando y auditando en comparación a años anteriores”, comentó Reynaldo De la Fuente, director de Datasec.

Hay algunas razones que los investigadores sospechaban. Una es que existe una mayor sensibilidad ocasionada por la pandemia, que obligó a más trabajo remoto y a que las compañías refuercen sus sistemas de seguridad.

“Las empresas tomaron medidas”, indicó De La Fuente.

A los números

Esa hipótesis fue confirmada: cuando en 2020 se les preguntó a los empresarios si habían cambiado en algo las medidas de ciberseguridad por tener personal trabajando a distancia, el 9% indicó que “se incrementaron”. Esa respuesta aumentó al 16% el año pasado.

Y así sucedió con el resto de las preguntas.

Ante la consulta de si la empresa se encuentra preparada ante incidentes cibernéticos, el 64% aseguran que sí. En 2020 era el 60%.

Las grandes y medianas contestan mucho más que están preparadas en comparación con las pequeñas y micro. La misma situación se replica con los usuarios de Montevideo y del interior.

Sobre los controles de ciberseguridad, la enorme mayoría cuentan con antivirus: 85% (en 2020 era casi el 60%). También respaldan más la información en sitios externos: hoy lo hace el 59% de los empresarios cuando en 2020 lo hacía el 35%.

“Hoy una empresa que no toma decisiones sobre su ciberseguridad está siendo negligente. Hasta 2020, prepandemia, era una relación de costo-beneficio en donde no se terminaba de visualizar el riesgo”, comentó De La Fuente.

Poco menos de la mitad concientizan a sus colaboradores, tres de cada 10 encriptan sus equipos portables y esa misma cantidad designa a un responsable de ciberseguridad. Si bien en este rubro las cifras crecieron respecto a años anteriores, el número sigue siendo bajo.

Otra pregunta refirió a la autoexaminación. “¿Sus sitios web, mails y apps expuestas a Internet han sido sometidas a un hacking ético o escaneo de vulnerabilidades para evaluar su seguridad?”. El 35% contestó que lo hace de forma regular (una vez al año), el 9% parcialmente, mientras que el 13% dijo que no lo realizaban, pero estaban interesados en realizarlo. El 43% dijo: “No y no lo consideramos necesario”.

Una de las cosas que menos hacen las empresas uruguayas (solo dos de cada 10) es establecer un segundo factor de autenticación para el trabajo remoto. Este es un método que ha aflorado en los últimos años en el que a un usuario se le otorga acceso al sistema solo después de que presente dos o más pruebas diferentes de que es quien dice ser.

Qué ataques reportaron

Los encuestadores no solo entrevistaron a expertos en informática de cada empresa. También entrevistaron a dueños y empleados que no tienen un amplio conocimiento sobre el tema. Eso, aseguró De La Fuente, representa un problema a la hora de dar cierta información sobre los ciberataques.

En algunos casos, esos representantes pueden conocer con cabalidad todo lo que sucede en la compañía a nivel de ciberseguridad, y en otros casos probablemente no lo sepan porque no es resorte de ellos.

Esto puede ocasionar, explicó De La Fuente, que en muchísimos casos ocurran ciberataques que no hayan sido reportados para esta encuesta.

De todas formas, se han detectado inconvenientes.

El que más se produjo fue la caída del sistema por ataques externos. Lo reportó el 6% de las compañías consultadas. De ese total, el 2% reportó que le causó daños. Según explicó De La Fuente, la caída del sistema ocurre, en mayor medida, por ataques externos llamados DDOS, sigla que en español significa ataques de denegación de servicio. Sucede cuando un ciberdelincuente hace que muchas computadoras se conecten al mismo tiempo a un sistema y cause que su víctima no lo soporte y se desplome.

El siguiente incidente fue el robo de equipos portables (laptops, smartphones, tablets): el 4% aseguró que padeció este inconveniente. A la mitad de los afectados les reportó algún inconveniente. Es un fenómeno más de crónica policial, pero que también afecta la ciberseguridad de las compañías.

El 2% de las compañías, en tanto, indicó que sufrió un hackeo, que significa el ataque externo con robo de datos sensibles y contraseñas.

Casi ninguna empresa aseguró que sufrió phishing, que hasta ahora había sido el ciberataque más usual en el país. Este incidente, que refiere a la suplantación de identidad de una entidad para robar información o dinero, no llegó ni al 1% de los ataques anunciados por los consultados.

La influencia del ransomware y la fuga de datos

El ransomware fue padecido por el 2% de las empresas y el 1% aseguró que sufrió daños. Esto significa que más de 3.000 compañías uruguayas padecieron costos por este tema, según estimaciones realizadas por Datasec.

Este ciberataque, que refiere al secuestro de datos por parte de un hacker con un pedido de rescate que suele ser dinero, tiene un impacto “operativo muy grande” en el funcionamiento de las empresas cuyas consecuencias dependen del rubro en el que actúa.

“Si soy una estación de servicio y me atacan con un ransomware no puedo facturar. En el peor de los casos me obliga a formatear todas las máquinas y a perder toda la contabilidad”, comentó De La Fuente.

Ese impacto operativo también afecta, incluso cuando la empresa atacada cuenta con respaldos. “Porque puede llevarle días retomar el normal funcionamiento”, comentó.

En el ransomware se estila mucho pagar a los secuestradores de esa información para que devuelvan esa información sensible. “Y hay ejemplos en el mundo de que pagan para volver a obtener la información de forma más rápida para seguir trabajando”, agregó el experto.

Pero si este ciberdelito llega a las computadoras centrales de un sistema de salud, el asunto puede tornarse más preocupante. Porque puede borrar su historial clínico. “Ahí es otra cosa”, acotó el experto. De todas formas, el líder de esta investigación explicó que es “mucho peor” que haya una “fuga” de esos datos, que significa la pérdida de información con referencias sensibles de clientes. Eso le ocurrió al 3% de las compañías uruguayas.

“Hay mucho camino por recorrer”, concluyó.