Semanas atrás, en Alemania, la Oficina Federal para la Seguridad en la Tecnología de la Información declaró que la amenaza por ciberataques se encuentra a punto de pasar de “tensa a crítica”. En ese sentido, y tras varios hackeos resonantes, crece entre los Estados más desarrollados la noción de que la seguridad cibernética debe transformarse en la base de todos los proyectos de digitalización.
Argentina tampoco se queda al margen de esta problemática que no distingue fronteras. El año pasado, la Dirección Nacional de Migraciones sufrió un importante ciberataque que dejó expuesta una serie de datos sumamente delicados para la ciudadanía. Más recientemente, un hacker declaró haber accedido a la red del Registro Nacional de las Personas (Renaper), ofreciendo a la venta los datos de identificación de toda la población del país, incluyendo los de algunas celebridades, que fueron difundidos en Twitter.
“Lo del Renaper es particularmente grave, porque muchas plataformas hoy utilizan un código que te dan con el DNI para validar ciertas acciones y en este momento toda esa información es pública por el ataque que sufrieron”, señaló Enrique Dutra, especialista y referente en ciberseguridad que dialogó con El Milenio sobre algunos aspectos claves de esta temática trascendente, aunque paradójicamente subestimada.
Para el especialista, las entidades públicas no están capacitadas para frenar los ciberataques. Foto gentileza quien corresponda.
El Milenio: ¿Cómo responden las empresas ante la amenaza que implica el ciberdelito?
Enrique Dutra: En ocasiones, cuando uno le ofrece a una institución un servicio de ciberseguridad (que es lo que hacemos nosotros desde la consultora Punto Net Soluciones), te dicen que no tiene nada que ver con el negocio y que la empresa, por ejemplo, se dedica a la salud, por ende, la seguridad informática no les “afecta” en nada.
Básicamente, lo que muchos creen es que, como no venden seguridad, entonces no es importante incorporarla. Pero lo que no analizan es que, sin un proceso seguro, no van a poder vender nada. Si sos un hospital, no vas a poder acceder ni a las historias clínicas de tus pacientes en caso de robo o secuestro de los datos. Los clientes que siguen las recomendaciones que les brindamos logran mitigar drásticamente el alcance de los ataques, algo que puede ser realmente grave para las entidades de cualquier rubro.
EM: Desde esta perspectiva, ¿dirías que resulta indispensable que las empresas generen comités de riesgo e incorporen a su estructura herramientas de ciberseguridad?
ED: Sí, por supuesto. Esto es como el Covid 19, en algún momento nos vamos a terminar contagiando, lo importante es que es que, cuando nos agarre, contemos con herramientas de prevención para reducir drásticamente el impacto.
Las empresas van a tener equipos infectados con ransomware, alguna persona descuidada va a abrir un mail y puede infectar la plataforma de la empresa. Lo importante es estar preparado, porque de lo contrario es como salir de viaje con la rueda de auxilio en llantas.
Es fundamental que las empresas armen un comité de riesgo y que formulen un plan de trabajo y de comunicación para capacitar y concientizar internamente a su personal. Hoy ni siquiera nos enteramos cuando las empresas se infectan porque ese tipo de novedades impactan en la imagen de las instituciones.
Yo creo que podemos llegar a incorporar buenos liderazgos en este aspecto, pero lo importante es aprender a comunicar que estos datos realmente tienen un valor. Si tu información es vulnerada, ¿cuánto perdés? Hoy los datos son un activo clave de las organizaciones.
Un ransomware es un programa dañino que encripta (“secuestra”) datos e impide a sus usuarios acceder a ellos, exigiendo un rescate para devolverlos. Foto gentileza quien corresponda.
EM: ¿Qué cambios sentís que se dieron con la pandemia y la expansión de la virtualidad?
ED: En la pandemia los ciberdelincuentes rápidamente se dieron cuenta de que estábamos más encerrados, más lejos entre nosotros, pero más cerca de la tecnología. Básicamente, el lobo vio más ovejas en el rebaño. Se puso de moda lo que llamamos “ingeniería social”, una técnica de engaño que consiste en hacerse pasar por otro para obtener algún poder sobre una persona.
Con el correr de la pandemia muchas compañías comenzaron a ser golpeadas por los códigos ransom, que cifran o encriptan tu información y desembocan en una extorsión, pidiéndote bitcoins para liberarla. Recién ahí las empresas comenzaron a preocuparse por la situación, porque el secuestro de datos puede significar la pérdida de miles de dólares.
EM: ¿En qué escenarios aparecen los códigos ransom?
ED: Normalmente lo que llamamos “vectores” de ataque, que configuran los tipos de ataque, se implementan de dos formas. Una es un correo electrónico de engaño, lo que en el sector llamamos fishing, y la otra opción es un ataque dirigido, con alguien que directamente apunta a un objetivo para cifrar la información que hay en la PC o el celular.
El año pasado esto se dio mucho a través del mailing, particularmente con la digitalización de procesos como el Ingreso Familiar de Emergencia que implementó el gobierno. El contexto era el ideal para el ciberdelito, todo el mundo encerrado pasándola mal y te llega un mail diciendo que si te registrás ahí, vas a tener acceso a un bono de diez mil pesos. ¿Qué va a hacer la gente? Bueno, muchos accedieron, les infectaron las máquinas y los extorsionaron. Juegan con las sensaciones y emociones de las personas y la pandemia claramente exacerbó el escenario positivo para los delincuentes.
Desde Punto NET Soluciones, Dutra brinda soporte y consultoría en seguridad informática. Foto gentileza quien corresponda.
EM: ¿Se puede regular desde el Estado la falta de trazabilidad sobre las criptomonedas?
ED: La falta de trazabilidad de las criptomonedas resulta sumamente favorable a los ciberdelincuentes. Hoy las transferencias que se realizan desde ese plano son muy difíciles de identificar. El bitcoin cuenta con un sitio web, podés trazar el camino del monedero, pero no sabés de quién es. De modo que la solución sería una legislación universal articulada por todos los países del mundo, sino estamos complicados.
En la actualidad podés comprar un libro en Amazon con bitcoins. Entonces, para pelear contra el ciberdelito, esas plataformas deberían pedirte ciertas normas de compra, para verificar a quién pertenece el monedero. Si las transacciones no están atadas a individuos, la estafa se vuelve moneda corriente.
EM: ¿Cuáles son los puntos más importantes a la hora de cuidar la seguridad de nuestros datos a nivel doméstico?
ED: En el cuidado cotidiano es importante tener en cuenta tres puntos. Uno es tener un sistema operativo actualizable. Otro es tener un instalado un antivirus capaz de hacer un análisis exhaustivo de comportamiento y bloquear las nuevas amenazas que enfrenta tu dispositivo. Si tu antivirus no realiza un análisis de comportamiento, está comparando los datos que le llegan con información vieja y desactualizada.
Otro detalle elemental es utilizar las protecciones que vienen ya incorporadas en la computadora y el teléfono móvil. También resulta indispensable ser muy desconfiado con los correos electrónicos, jamás tenemos que pasar códigos o claves sobre mails que nos envían.
Para pequeñas pymes o emprendedores, la nube es una muy buena herramienta de back up y almacenamiento, pero lo que recomendamos es que quienes la utilicen activen el sistema de doble autenticación, es decir, sumar al usuario y contraseña, el pedido de un código. De hecho, Google anunció que en poco tiempo va a comenzar a exigir un doble factor de autenticación a todas las cuentas de Gmail.
EM: ¿Pensás que es determinante difundir el conocimiento de estas cuestiones a nivel social para enfrentar el ciberdelito?
ED: Yo creo que es el camino. A todos los usuarios les brindaron plataformas para que puedan resolver sus trámites desde sus hogares, pero nadie los preparó para enfrentar esta amenaza. Hoy me parece fundamental trabajar sobre la concientización, porque si nuestras comunidades de ciberseguridad y la información con la que cuenta la sociedad respecto al tema no crece, el panorama se vuelve cada vez más complejo.