¿Cuáles son los ataques informáticos más frecuentes que sufren las empresas?

359
que virus afectan a las empresas

En la actualidad, el mundo empresarial no se entiende exclusivamente fuera de la red. No hace tantos años era impensable para muchos confiar los datos de nuestra tarjeta de crédito a un navegador, ni siquiera de manera temporal.

El usuario medio se siente ya cómodo comprando y demandando servicios online y no solo eventualmente, sino con habitual frecuencia, y se atreve a dejar registrados todos sus datos por pura comodidad.

Dentro de poco será impensable algo tan simple como realizar la reserva de una habitación de hotel por vía telefónica. Todo está a unos cuantos clics de alcance.

Instaurado el comercio electrónico en nuestras vidas, surgen nuevas formas de vulnerar la seguridad informática de una empresa. Hay gente que dedica mucho tiempo y esfuerzo con tal de salirse con la suya. Lo que parece ciencia ficción ya no lo es tanto: si no hay cajas fuertes que abrir para sustraer un suculento botín, ¿cuál es el siguiente paso? Al igual que una tienda física debe cumplir con unas reglas mínimas para garantizar su seguridad, una tienda online no está exenta de problemáticas similares. Solo cambia el contexto: Internet.

Se enumeran a continuación los ataques cibernéticos más frecuentes que las empresas pueden sufrir y de qué forma o formas se pueden paliar, prevenir o solucionar.

Ataques DDoS o Denegación de Servicio

Este tipo de ataque consiste en denegar el acceso a una web o servidor a su legítimo propietario. También puede provocar una pérdida sustanciosa de datos.

Habitualmente consiste en sobrecargar los puertos con un volumen excesivo de flujos de información usando una botnet (agrupación de equipos infectados bajo control dispuestos a bombardear un sistema), causando pérdida de la conectividad de ese espacio.

Imaginemos que una tienda ofrece una gama de productos rebajados en un momento crítico y que alguien de entre la competencia se considera por ello totalmente fuera de juego. ¿No sería beneficioso para ese competidor que ese comercio en línea sufriera una sobrecarga temporal de manera que le dé tiempo a encauzar una estrategia más adecuada?

En general, estos tipos de ataque han ido aumentando desde 2014 debido sobre todo a la masificación de las redes y equipos con configuraciones bajas en seguridad y a la mayor facilidad con la que se pueden orquestar.

Entre algunas de las medidas básicas que se pueden tomar para evitar un ataque DDoS contamos con deshabilitar la respuesta de ICMP en el cortafuegos y actualizar de manera periódica tanto el sistema operativo (cuanto más antigua sea la versión en uso, más vulnerable será) como el cortafuegos con la opción de ataques DoS.

Con frecuencia estos ataques se dirigen desde redes localizadas en países concretos como Rusia o China y una opción es bloquear las conexiones entrantes que procedan de allí.

De cualquier modo, siempre es conveniente hablar con el proveedor al respecto para que asesore en caso de incidencia.

Phishing

El phishing no es un ataque directo contra una web o sus servidores, sino una manera de desviar el flujo de clientes, ingresos o búsquedas hacia un portal falso con fines deshonestos. Cuanto más conocida sea una tienda, portal o servicio online, mayor será el riesgo de convertirse en una víctima de este tipo de ataque. También es particularmente frecuente en sitios que ofrecen servicios financieros o en los que destaquen por mantener un flujo constante de crédito.

El phishing consiste en crear una réplica fraudulenta del negocio con la que atraer a usuarios incautos. Los delincuentes pueden acudir a anunciarse en la red e incluso pagar por aparecer primero en los buscadores con esta imitación.

Si estos anuncios falsos aparecen en un buscador, es necesario acudir de inmediato a comunicarlo al buscador responsable de ese contenido y si el ataque tiene como objetivo a la propia empresa, no dudar en dirigirse a la Guardia Civil y a presentar la denuncia correspondiente.

En Estados Unidos hay una organización que se dedica exclusivamente a estos casos y en principio basta con enviarles un aviso al correo phishing-report@us-cert.gov para dar a conocer estos casos fraudulentos.

Robo de información

Los ataques enfocados hacia el robo de información como objetivo son especialmente preocupantes porque, independientemente del impacto económico directo que puedan causar a un negocio, suelen traer consigo consecuencias legales muy costosas.

Hay varios motivos por los que un atacante puede querer sustraer información de los registros. Bien para vender esos datos en el mercado negro, robar usando los datos de las tarjetas de crédito o suplantar la identidad de alguien.

Si en el caso del fishing son más vulnerables empresas u organizaciones muy conocidas, los robos de información se producen a cualquier banco de datos que no se encuentre lo suficientemente protegido.

El problema es particularmente grave si en un juicio se demuestra que los datos recabados de terceros no se encontraban protegidos o lo estaban pero con medidas insuficientes. Hablamos de multas de entre 60.000 y 300.000 euros.

¿Cómo evitar fugas de datos en la empresa?

La Agencia Española de Protección de Datos obliga al cumplimiento de una serie de medidas para garantizar la seguridad de los datos, evitando pérdidas, sustracciones, alteraciones y acceso no autorizado. Es muy importante tener esto en cuenta de cara a la apertura de un comercio en línea, por ejemplo.

La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) estipula en su Artículo 44, punto 3 (infracciones graves), letra h:

Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.

Estas medidas que menciona el artículo 44 se desarrollan en el Título VII del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre.

El desconocimiento de esta norma no exime por supuesto de su cumplimiento. Esto quiere decir que toda aquella persona con acceso a datos de carácter personal tiene que atenerse a lo dispuesto en la LOPD y su reglamento. En el artículo 88 se concretan las medidas para la elaboración de un documento de seguridad. En este documento se verán reflejadas las medidas de seguridad de índole técnica y organizativa que se llevan a cabo para cumplir con la ley en cuestión.

Por todo lo expuesto anteriormente, se recomienda encarecidamente a las empresas hacer todo lo posible por asegurarse en el ámbito de la protección de datos acudiendo por ejemplo a una consultoría especializada sobre la materia que asesore acerca de asuntos legales, recomendaciones de seguridad y demás aspectos relacionados con la lopd y el reglamento.

Otros ataques

Hay otras formas de burlar la seguridad de empresas cuyos datos se encuentran alojados de manera informática. Entre las más comunes y no menos peligrosas se encuentra la práctica del chargeback o las brechas en la web.

Chargeback

El chargeback consiste en obligar al banco a sustraer un cobro realizado, bien porque el pago se realizó con una tarjeta fraudulenta o bien porque, de forma voluntaria, el estafador solicite una devolución después de haber recibido su pedido argumentando que el cobro se realizó en contra de su voluntad.

Paypal y proveedores similares pueden revertir pagos hasta 6 meses después de haberse realizado los mismos. Esto puede suceder si se demuestra, por ejemplo, que la tarjeta de crédito fue robada, que se realizó el cargo también de manera no deseada o por cualquier otra cuestión.

Es importante para evitar este tipo de estafas mantenerse atento a que no existan irregularidades en una compra. Por ejemplo, un primer pedido desmesurado de un cliente nuevo o recién registrado en la base de datos, sobre todo si se pide también el envío al extranjero, etc. No existe una ciencia exacta pero, con la costumbre, en un negocio se aprende a diferenciar de algún modo cuando algo se muestra sospechoso.

Brechas en la web

Otro tipo de fraude bastante común es encontrar una brecha en la web, ya sea por un fallo de programación o de organización a la hora de vender un producto. Es muy importante poner a prueba la web con cierta periodicidad y revisar su código de la mano de un experto informático.

Los estafadores pueden acceder a cambiar el código para variar precios, adquirir cupones de descuento o cualquier otra argucia imaginable. Además, a efectos legales es verdaderamente difícil probar que estas intrusiones hayan sido intencionadas y con demasiada frecuencia será el comercio el que deba asumir el coste.

Para evitar estos ataques y manipulaciones es conveniente no dejar el diseño del portal web (y, posteriormente, su seguridad) en manos de un amateur. Es la empresa la que va a tener que asumir los gastos en la mayoría de las ocasiones y, dadas las circunstancias económicas y sociales actuales, esto puede suponer, en muchos casos, la quiebra del negocio en cuestión. Además, hablamos de unos gastos sobre todo iniciales que van a servir de pilar para asegurar un futuro sin inconvenientes mayores.

Por supuesto, hablando siempre en términos económicos, se trata de una cuestión de decidir hasta qué punto se está dispuesto a asumir riesgos. Quizás si es un proyecto menor o a corto plazo puede ser viable prescindir de medidas más sólidas, pero si hablamos de la búsqueda de una continuidad, no se deben tomar a la ligera estas cuestiones.

¿Cuáles son los ataques informáticos más frecuentes que sufren las empresas?
4.4 (88%) 5 votos
Compartir