Informe OBS: Estado de la Ciber-Inseguridad
Aumentan los ciberataques a ejecutivos de empresas
- En el índice Global de Ciberseguridad 2024, España se sitúa en las primeras posiciones a nivel global y por encima de la media europea.
- Los ciberataques aumentan un 28% en el primer trimestre de 2024. Especialmente los sufre el sector sanitario.
- El phishing sigue siendo el ataque más habitual: 3.400 millones de correos electrónicos cada día.
- Las organizaciones dedican el 10,9% de su presupuesto en TI a la ciberseguridad, 2.700 dólares de media por empleado y año.
- En 2026 el coste mundial de los ciberdelitos superará los 20 trillones de dólares.
Septiembre 2024. OBS Business School publica el informe Estado de la Ciber-Inseguridad, dirigido por Ramón Miralles, abogado especializado en el sector de las TIC y profesor de la escuela. En él se analizan las tendencias en materia de ciberseguridad, las prioridades de protección y los ciberincidentes más frecuentes.
Durante el primer trimestre de 2024, los ciberataques aumentaron un 28% en todo el mundo. Esta situación se va a agravar, puesto que se espera que 41.000 millones de dispositivos de todo el mundo estén conectados a la red en 2025. Los ciberincidentes no solo impactan en la propia actividad de la organización y provocan pérdidas económicas, sino que influye también en la reputación de la marca de cara a los clientes y al mercado en el que desarrolla su actividad. La preservación de la confianza de los clientes en los servicios digitales, así como poder garantizar el acceso a los servicios y la continuidad del negocio, ya no son cuestiones exclusivamente estratégicas, sino plenamente operativas.
Ataques más comunes en 2024
El phishing a través del correo electrónico sigue siendo el ciberataque más habitual. Cada día se envían alrededor de 3.400 millones de correos electrónicos con contenido malicioso, un tipo de ataque que causa el 90% de las violaciones de seguridad de los datos y es el origen de una buena parte de los ciberincidentes de tipo ransomware. Se estima que, en 2023, se produjeron 1,7 millones de ataques de “ransomware” diarios, el 71% de ellos dirigidos a organizaciones. Cabe destacar que hasta el 60% de las empresas que los sufrieron pagaron el rescate para recuperar los datos y que el sector sanitario es el que tiene que soportar unos mayores costes a causa de ellos.
El informe prevé un incremento de ciberataques y de potenciales amenazas a los perfiles ejecutivos de las organizaciones, y afirma que los ataques impulsados por IA se incrementarán, así como la gravedad de sus consecuencias. El informe habla de ataques “multivectoriales” casi por defecto, es decir, que combinarán diferentes técnicas y que, incluso los propios sistemas de inteligencia artificial, serán objeto de ciberataques, en particular de los denominados “ataques adversarios”, que son los que se producen mediante la introducción de datos engañosos en los modelos de IA para inducirlos a proporcionar resultados distorsionados.
También están cobrando cada vez mayor importancia los ciberataques relacionados con la geopolítica y la desinformación como consecuencia de los conflictos internaciones (armados y comerciales) y de las tensiones políticas internas de los países. En este sentido, las redes sociales seguirán siendo el principal vehículo de transmisión.
Las cifras más relevantes
Aunque su cuantificación no está exenta de dificultades, se calcula que los costes derivados de los ciberincidentes durante este año alcanzan los 4,88 millones de dólares, un 10% más que el año pasado. Sin embargo, en aquellas organizaciones que ya disponen de un despliegue relevante de IA con fines de seguridad, el impacto es mucho menor. Se estima que, para 2026, el coste a nivel mundial de los ciberdelitos supere los 20 trillones de dólares.
Actualmente, las organizaciones dedican a la ciberseguridad alrededor de un 10,9% de su presupuesto de TI, unos 2.700 dólares por empleado de media. Los tres países europeos con mejor nivel de ciberseguridad son Reino Unido (ocupa la segunda posición a nivel mundial), Estonia y España; a la cola se encuentran San Marino, Andorra y Bosnia Herzegovina.
Tendencias en materia de ciber-seguridad
La regulación es en Europa un pilar básico a partir del cual se articula un elevado nivel común de ciberseguridad en toda la Unión. Esta regulación obliga a las organizaciones a mejorar los procesos para gestionar las brechas de seguridad: les obliga a notificar los incidentes de seguridad a las autoridades competentes, e incluso a comunicarlos a los clientes y usuarios que, de un modo u otro, se hayan podido ver afectados. En consecuencia, los seguros de ciberseguridad van a aumentar su presencia en la estrategia de las organizaciones y sus coberturas se van a extender específicamente a directivos y mandos intermedios o responsables de departamentos, poniendo el foco en la ciberresiliencia.
Por otro lado, el despliegue de la IA en las organizaciones supone ya un factor de riesgo que va a ir ganando peso. Sin embargo, el informe afirma que esto no supondrá un cambio en el actual equilibrio de fuerzas, puesto que formará parte de las herramientas de los ciberatacantes, pero también de los ciberdefensores.
Prioridades de protección
Una de las cuestiones que van a cambiar de manera más evidente, puesto que impactará directamente en los usuarios de los sistemas de información, es la adopción de sistemas de autenticación que no van a usar la tradicional combinación de usuario y contraseña; son los llamados sistemas multifactor y biométricos, que, a pesar de ser una buena solución, también generarán tensiones en relación con las normas de privacidad.
Los avances propiciados por la IA y su convergencia con otras tecnologías ya están provocando sustanciales avances en las técnicas aplicadas a los deepfake, vídeos que muestran imágenes falsas (habitualmente del rostro de una persona) creadas con inteligencia artificial que parecen ser reales. Por tanto, será imprescindible que, especialmente en entornos críticos, se desarrollen e implementen medidas de detección.
En cuanto a las infraestructuras de comunicación y móviles, si bien han ido mejorando en materia de ciberseguridad, su protección aún no es la adecuada. Por un lado, la tendencia a disponer de infraestructuras híbridas (combinación de soluciones en la nube y de servidores en la propia empresa) obliga a considerar como prioritaria la adopción de medidas de protección que tengan en cuenta la convivencia e integración de ambos entornos. Para ello, se van a desplegar con fuerza las llamadas plataformas de protección de aplicaciones nativas de la nube (CNAPP), lo que conlleva un necesario rediseño de la seguridad de las aplicaciones.
Por último, habrá que identificar y analizar las amenazas específicas a que está expuesta cada organización y entrar al detalle a fin de gestionar los riesgos reales que estas entrañan. Desde un punto de vista de gobernanza de la ciberseguridad, se deberá recurrir a marcos organizativos que, a alto nivel, den respuesta a las necesidades de ciberseguridad de cada organización, fortaleciendo particularmente la supervisión de la ciber-inseguridad que debe asumir la alta dirección. El objetivo es continuar trabajando para afianzar una cultura de ciberseguridad que alcance a toda la organización.
Contenido elaborado por:
Carmen García-Trevijano
Gabinete de Prensa de OBS Business School