El 51 por ciento de las compañías españolas ha reconocido haber sido víctima de un ciberataque en el último año, y haber sufrido una media de 84 incidencias de este tipo en ese mismo plazo de tiempo.
La aseguradora Hiscox ha presentado este jueves su informe de Ciberpreparación 2022, cuyos resultados han sido desglosados por el experto en ciberseguridad y colaborador de la firma, Fernando Conde.
El informe ha sido elaborado con una muestra de 5.181 empresas (desde pymes hasta grandes compañías) pertenecientes a ocho países: España, Países Bajos, Francia, Irlanda, Estados Unidos, Alemania, Bélgica y Reino Unido.
El estudio afirma, entre sus principales conclusiones, que la cifra de compañías españolas que reconoce haber sido víctima de un ciberataque se sitúa en el 51 por ciento en 2021.
Este dato coloca a España por encima de la media del conjunto de países analizados, que está en el 48 por ciento, y como el tercero que más incidencias de este tipo ha reportado, con una media de 84 ataques a cada una de ellas.
Conde ha señalado que, del 45 por ciento restante de empresas que afirma no haber sufrido un ciberataque, muchas reconocen no haber monitorizado su negocio para saberlo con certeza, por lo que la cifra total de víctimas puede ser incluso mayor.
El coste medio de estos ciberataques sufridos en España se ha duplicado en 2021, hasta los 105.655 euros. Esta cifra es superior a la registrada por el conjunto de países analizados, que se sítua en los 78.409 euros, lo que ha amenazado la solvencia económica de una de cada cinco de sus compañías.
CIBERATAQUES MÁS COMUNES Y SU VÍA DE ENTRADA
En España, los tres ciberataques más comunes registrados en 2021 fueron los de denegación de servicio (DDoS, por sus siglas en inglés), los de fraude financiero y ataques de ‘ransomware’.
Sus principales puntos de entrada han sido el correo electrónico (41 por ciento), los servidores en la nube y corporativos (38 por ciento) y los teléfonos móviles, tanto personales (29 por ciento) como corporativos (27 por ciento).
Conde ha hecho especial hincapié en el ‘ransomware’, un tipo de programa que restringe al usuario el acceso a ciertas partes o archivos de un sistema infectado y se le pide a cambio una recompensa económica para recuperarlos.
Ese coste medio en España es de 19.400 euros actualmente. A esta cifra se le suma el coste medio de recuperación de la actividad de negocio, que es de otros 10.711 euros.
En el conjunto de países analizados, el 19 por ciento de las compañías ha reconocido haber sido víctima de un ataque de ‘ransomware’ en 2022, cifra superior al 16 por ciento registrado en 2021. De estas, una media del 69 por ciento ha accedido a pagar el rescate de sus datos en lo que va de año.
En este aspecto, el 64 por ciento de las empresas españolas asegura haber pagado el rescate en lo que va de 2022 tras ser víctima del ‘ransomware’ y, el 47 por ciento de estas volvió a sufrir otro ataque como resultado de acceder a las peticiones del secuestrador de sus datos.
Sin embargo, España se desmarca como uno de los países donde las compañías se resisten más a abonar este rescate junto a Reino Unido (63 por ciento), Alemania (48 por ciento) y Francia (62 por ciento) algo que Conde considera “positivo”.
CONSECUENCIAS DE SUFRIR UN CIBERATAQUE
El informe de Hiscox establece que, en la mayoría de ocasiones (38 por ciento), el tiempo de recuperación de la actividad de negocio tras sufrir un ciberataque es inferior a una semana. El 34 por ciento de las veces es de entre 1 y 2 semanas y, el 15 por ciento restante, de las dos semanas en adelante.
La principal consecuencia de sufrir una de estas incidencias es la de perder clientes. De hecho, más del 28 por ciento de las pymes reconoce haberlo hecho.
La reacción de la mayoría de compañías encuestadas (30 por ciento) tras sufrir uno de estos ataques ha sido la de revisar su seguridad y privacidad de forma más exhaustiva.
Además, las empresas que han colaborado con un proveedor de respuestas a incidentes para agilizar la recuperación de su actividad ha escalado desde el 8 hasta el 29 por ciento en 2022.
Conde ha destacado durante su intervención la falta de “madurez” en términos de ciberseguridad en España. En este sentido, el informe apunta que, si bien las empresas que se declaran cibernovatas ha disminuido hasta el 29 por ciento en 2022, la cifra de compañías que afirman ser ciberexpertas ha caído hasta el 2 por ciento.
El experto ha atribuido esta última cifra a la acumulación de ciberataques como los que han explotado la vulnerabilidad Log4j, que permite a los agentes maliciosos ejecutar código Java arbitrario tomando el control de un servidor de destino, y ha puesto en jaque la seguridad de compañías que se consideraban seguras.
En el conjunto de países analizados, el 60 por ciento de las compañías ha reconocido subir datos a la nube sin comprobar previamente su cifrado y protegerse ante posibles ciberataques, lo que refuerza esa falta de concienciación que Conde ha subrayado durante su intervención.
CÓMO INVERTIR EN CIBERSEGURIDAD
Conde ha afirmado que las empresas “deben ser conscientes de cómo gastan su dinero y tienen que ser más inteligentes que los ciberdelincuentes”. En este sentido, las compañías españolas han gastado 17,7 millones de euros en Tecnología de la Información (TI) en 2021. De esa cifra, más de un 20 por ciento se destinó expresamente a la ciberseguridad.
En el conjunto de países analizados, la inversión en ciberseguridad se ha disparado un 250 por ciento desde 2019. Además, su gasto medio ha crecido un 60 por ciento en el último año, hasta los 4,8 millones de euros. Por su parte, el denominado ciberseguro es cada vez una póliza más habitual y el 64 por ciento de las empresas ya lo tienen.
A la hora de invertir en ciberseguridad, Hiscox recomienda en primer lugar abordar las amenazas y vulnerabilidades ya existentes. Posteriormente, mejorar la seguridad del servicio y de las aplicaciones orientadas al cliente y, finalmente, enfocar el presupuesto en la detección de ‘malware’ en los dispositivos de los usuarios finales.
Desde Hiscox también han expuesto “las tres líneas rojas” que recomiendan seguir a sus clientes. En primer lugar, no usar sistemas operativos que no tengan soporte oficial y, por tanto, no reciban ya actualizaciones de su desarrollador.
Por otro lado, aconsejan mantener una política adecuada de copias de seguridad, y que además estas no estén dentro de los propios sistemas que van a ser atacados potencialmente en primer lugar.
Por último, se recomienda actualizar a nivel de seguridad los equipos de trabajo siempre que sea posible para evitar ofrecer facilidades a los ciberatacantes.
