Te llamamos
Indica tu número de teléfono y nos pondremos en contacto contigo con la mayor brevedad que nos sea posible.
Realidad de pymes y micropymes ataques informaticos
Fecha: 11 de Marzo de 2023
Ataques informaticos y problemas de seguridad reales
ATAQUES INFORMATICOS A PYMES Y MICRO PYMES. MI EXPERIENCIA PERSONAL
La intención de este artículo es detallar la realidad de lo que estamos viviendo en las empresas desde el punto de vista de los casos reales que me voy encontrando día a día. He conocido clientes con empresas paradas, datos no recuperables , sistemas informaticos horrorosos... He visto a empresas tener que empezar de cero , a otras pagar un rescate a un ciberdelincuente como último recurso y no recibir nada a cambio, a otras muchas no hacer nada confiando en la suerte de que "a mí ésto no me va a pasar" y afortunadamente, a muchas otras coger el toro por los cuernos y tomarse en serio ésto de la ciberseguridad.
No pondré ninguna palabra técnica como malware, ramsonware, Man in the middle (sólo éstas del ejemplo, lo prometo), lo que pretendo es que ésto lo entienda cualquier persona que no tenga conocimientos de informática.
PROBLEMAS REALES.
CASO NUMERO 1
Una mañana llegáis al trabajo y os encontráis un ordenador o varios o todos, con información que no se puede leer. Tal vez una nota en la pantalla de que os han secuestrado los datos y os piden un importe elevado para recuperarlos. Este problema gravisímo os paraliza la empresa.
¿Tiene solución? A veces. Si tenéis un buen sistema de copias se puede volver a poner todo en marcha, si no lo tenéis tendréis pérdidas irrecuperables.
CASO NUMERO 2
Este es similar al anterior pero más grave: Una mañana llegáis al trabajo y os encontráis un ordenador o varios o todos, con información que no se puede leer. Tal vez con la nota en la pantalla de que os han secuestrado los datos y os piden un importe elevado para recuperarlos, pero además os amenazan con publicar estos datos. Este problema gravísimo os paraliza la empresa.
¿Tiene solución? Esto es más grave aún. Repito, si tenéis un buen sistema de copias se puede poner todo en marcha nuevamente, si no lo tenéis tendréis pérdidas irrecuperables. El segundo problema es... ¿Tienen vuestros datos realmente o sólo es una amenaza?. Técnicamente pueden tenerlos. ¿a qué multas me expongo si los publican? ¡¡Gordísimas!!
CASO NUMERO 3
Tenéis una factura pendiente de cobro y se la reclamáis a un cliente. El cliente detalla que ya os ha realizado la transferencia. Os envía el justificante y resulta que lo ha hecho en otro número de cuenta que no es vuestro. Incluso os enseña un email donde supuestamente le pedís que la factura la abone en ese número de cuenta.
¿Tiene solución?. Este caso es muy frecuente. Aquí entramos en temas legales que no voy a valorar, lo que sí voy a explicar es lo fácil que es a engañar a un usuario que nada o poco sabe de informática. Incluso a un buen usuario se le puede engañar haciendo un buen ataque dirigido.
¿Cómo lo hacen?. Se hacen con el correo del remitente o con el correo del destinatario. Muchas veces con sólo saber la contraseña del correo pueden acceder cómodamente desde su casa. Te analizan bien , te ven con quién te escribes , qué facturas mandas, recibes, etc. Y cuando quieren , manipulan el correo con el pdf adjunto cambiando el número de cuenta , a veces ni siquiera eso , simplemente , te escriben y te redactan el nuevo número.
CASO NUMERO 4
Es exactamente al contrario. Teneis una factura que ya habéis pagado y vuestro proveedor os reclama el cobro pues no la ha cobrado. Le enseñáis el justificante de la transferencia y la factura recibida con el número de cuenta a donde pagasteis. Podéis haber recibido o no el email del cambio de número de cuenta del caso anterior; sólo es un ejemplo de cómo suelen operar los ciberdelincuentes.
¿Qué pasa ahora? Temas legales, no voy a comentar. Como he explicado anteriormente, he visto el hackeo de la cuenta en remitente y he visto el hackeo en el destinatario. En funcion de dónde sea cambian ciertos patrones, pero el objetivo es el mismo, hacerse con un dinero .
Reflexión personal. ¿Por qué los bancos permiten que alguien haga una transferencia de x mil euros a una cuenta que no pertenece al destinatario de esa transferencia? ¿Qué hacemos, qué recomiendo yo?
Desde luego, "no escribir el número de cuenta en una factura", "cotejar telefónicamente, tanto para cobrar como para pagar, facturas por transferencia", una buena práctica sería pedir un certificado bancario cuando haya algún cambio que no esperábamos .... no sé, pero pagar una factura grande basándonos en un mensaje, desde luego, no es buena práctica.
CASO NUMERO 5
Os llaman telefónicamente, dicen que llaman desde Microsoft u otro organismo grande, y que tenemos un problema de seguridad grave, y que estamos comprometiendo la seguridad de no sé dónde. Quieren conectarse a nuestro ordenador para arreglar el problema y les damos acceso. ¿Qué pasa luego? Nos paralizan el ordenador, sistema informático, etc.
¿Qué han hecho? Todo lo que hayan querido. Les estamos abriendo las puertas de nuestra casa.
OTROS EJEMPLOS BREVES
Robos de cuentas de correo varias, robos de cuentas en redes sociales, compras hechas con tarjetas de crédito de nuestra propiedad, cargos en cuenta de compras que no reconocemos, suscripciones a sitios que no sabemos cómo dar de baja, robos de identidad, robos de dominios de correo, fuga de informacion de la empresa, envío de mensajes maliciosos en nuestro nombre, hackeos de cuentas de Amazon, Netflix, HBO o similar, webs con contenido maligno. Y mucho mas.
¿A las empresas, a las personas en general, ésto les importa? Sólo cuando el problema es muy grave. En este mundo que vivimos sólo interesa "cuánto me va a costar". Recuerdo una anécdota hace bastantes años, creo que en el 2012 cuando hice una auditoria técnica de protección de datos a una empresa, era un taller de reparación de vehículos; su web estaba hackeada y redirigida directamente a un portal porno que además del contenido que no era el que correspondía, era una página que descargaba malware sólo con acceder a la misma. Lo primero que hice fue informar al empresario de la gravedad del asunto y de que avisara urgentemente a quien correspondiera para arreglar aquel problema, pues estaba incurriendo en un problema de seguridad grave. Este crack le quitó importancia diciendo que esa web ya no la utilizaba y que "ya pagaba suficientes impuestos, que si alguien se infectaba que se fastidiase". Fue la última vez que traté con él, me considero un buen profesional y lo intento demostrar a diario, pero hay cosas que yo no puedo arreglar y no saqué el master de arreglo de zotes. Por cierto, estuvo esa página más de un año infectando a quien la visitase.
Nuestro sector, las personas que nos dedicamos a proteger los sistemas informáticos, no nos queda otra que intentar formar y concienciar a nuestros clientes, amigos, familiares, a todas las personas que podamos, de la importancia de la seguridad informática, de los riesgos que corremos, de cómo protegernos, de cómo proteger los datos que manejamos y de proteger a los demás en la medida que nos toque. También tenemos que intentar que la ciberseguridad no suponga un problema de tiempo, molestia y usabilidad en los usuarios, tenemos que poner las cosas lo más facil posibles.
Por otro lado, los usuarios finales, empresarios o empleados de una empresa, o particulares desde su ordenador o dispositivo móvil, deben de ser conscientes del problema que pueden tener o acarrear a terceros por un uso indebido de las tecnologías. Los empresarios deben formar a sus empleados en ciberseguridad, deben tomar medidas de seguridad de defensa informática, deben invertir en seguridad y en recuperación de desastres .
Prometí no usar términos técnicos, pero no puedo dejar de nombrar ciertos términos preocupantes
RAMSONWARE, MALWARE, ROOTKIT, SPYWARE, PHISHING, ADWARE, SMISHING, WHALING, VISHING ....... y mucho más.
Un poco de humor para acabar. Vamos a contar mentiras, tralará...
. "Lo tengo todo en la nube, estoy cubierto"
. "Tengo un antivirus, mi informático dice que estoy bien"
. "Yo tengo un MAC, en los MAC no entran virus". ¡¡Ojito a ésto!!
. "No tengo datos de ningún tipo. A mí ésto no me afecta"
. "Soy una empresa pequeña, si se me borra todo da igual"
. "Yo pago a una asesoría, que se arreglen ellos que para eso les pago"
. "La culpa es del gobierno, o de los políticos en general, o de todos los demás. Yo no tengo responsabilidad alguna"
. "Mi cuñado es ingeniero informático y me ha dicho que no hace falta nada, que con activar dos reglas en el firewall es suficiente. Es un crack. Válido también para el hijo de un compañero que está trabajando fuera, otro crack , en dos clicks arreglado. Todo esto sin analizar nada.
MI VISION A CORTO PLAZO.
Esta frase no es mía pero estoy de acuerdo con ella, "existen dos tipos de empresas, las que han sufrido un ataque y las que lo sufrirán en un futuro". Tenemos que defendernos para que no nos roben y debemos estar preparados para cuando nos roben.
Andrés Abejón
