Las empresas vascas refuerzan su seguridad ante nuevos ciberataques más sofisticados

Las empresas vascas, además se ven obligadas a blindarse aún más ya que los ataques de hackers se van perfeccionando y han pasado en los últimos meses de limitarse al cifrado de información (normalmente datos confidenciales de sus clientes que obligaba a la empresa a tratar de descifrarla de nuevo para recuperarla) a robarla, descifrarla y publicarla en la 'dark web' (zonas oscuras de la web), exigiendo dinero como extorsión para evitar el filtrado público. Es lo que ha ocurrido en el caso de la empresa vasca de telecomunicaciones.

Una agresividad que supone un problema a las empresas, que pueden enfrentarse, además, a multas por parte de la Agencia de Protección de Datos por falta de «diligencia debida» al quedar en riesgo información sensible de clientes, explican distintas fuentes consultadas por este periódico. Y es que aunque una empresa extreme al máximo sus preocupaciones, la Agencia de Protección de Datos puede interpretar que si hay una fuga de información por un ciberataque es porque la protección de esos datos no es la correcta. La Unión Europea exigirá por ley en dos años un certificado oficial de seguridad a todos las actividades conectadas a la red para poder comercializar productos.

Asimismo, todos los expertos piden a los afectados que no paguen a estos piratas, muchos de ellos de países del Este, como en el último caso, que son de origen ruso, para evitar fomentar nuevas agresiones y financiar involuntariamente a estos delincuentes.

El problema es grave ya que los ataques o intentos de ataques a empresas son «permanentes» en los últimos dos años, y el fenómeno se ha intensificado a raíz de la Guerra de Ucrania hace 16 meses. «No hay avalanchas de ataques pero sí un ritmo constante», señalan distintas fuentes. El tema, además, es tabú. Las empresas tratan por todos los medios de evitar que su nombre salga a la luz pública, aunque en otros casos han decidido hacerlo público, como ocurrió con Iberdrola, que vio como quedaban expuestos datos de 1,3 millones de clientes, o Laboral Kutxa, que neutralizó un ataque desde Lituania. Normalmente sus medidas de prevención han limitado el impacto.

Desde organismos como Ziur, se constata que en los últimos tiempos hay una mayor demanda de formación en las empresas. El sector industrial es el más afectado, aunque la amenaza se cierne sobre todo tipo de organizaciones, desde instituciones públicas, bancos, transporte público o centros hospitalarios. Fue el caso del Hospital Clínic de Barcelona, que el pasado 5 de marzo recibió un ciberataque de tipo 'ransomware'. En este tipo de incursiones, los ciberdelincuentes suelen encriptar los sistemas para, a continuación, pedir dinero, generalmente en criptomonedas porque son más difícil de rastrear, a cambio de librar la información bloqueada y no publicar los datos.

En cualquier caso, expertos como Xabier Mitxelena, del clúster Cybasque, entrevistado esta semana por este periódico, insistía en la necesidad de que las empresas no cedan al chantaje y no pague. Además, alertaba que dar dinero a los piratas informáticos tampoco aseguraba no volver a ser víctima de otra acción similar.

La SPRI (Agencia vasca de Desarrollo dependiente del Gobierno Vasco) y la propia Diputación Foral de Gipuzkoa, a través de Ziur, están ofreciendo proyectos de formación en la materia que cada vez concitan más demanda y para los que hay subvenciones para fomentar que todas las empresas se tomen en serio una situación que los expertos no dudan en calificar de «preocupante».

Un diagnóstico que comparte el Incibe, que registró el año pasado 3.309.302 dispositivos vulnerables en España. Es decir, más de tres millones de puntos de conexión a internet que han sido detectados como potencialmente vulnerables; más de tres millones de puertas entreabiertas para que pasen esos delincuentes. Gipuzkoa cuenta con 41.062 dispositivos vulnerables, por los 155.637 de toda Euskadi, el 4,7% del conjunto estatal.