El ciberataque que sufrió Pemex y que fue informado la semana pasada, muestra lo poco que está preparado México en temas de resiliencia cibernética y la falta de cultura de ciberseguridad por parte de las autoridades locales, quienes no saben como actuar frente a una crisis de este tipo y además afirman que no pasó nada, que no se robaron nada, que no hay pérdidas económicas. Mientan a diestra y siniestra, tratando de esconder los problemas por la falta de presupuesto en seguridad informática. Lamentablemente este es un mal en todo el país y en casi todas las empresas nacionales.

Las compañías mexicanas se enfrentan a una nueva era en ciberseguridad en la que una mayor conectividad, un panorama de amenazas en constante evolución y una preparación insuficiente significan una cosa: no se trata de si, sino cuándo, se atacará a una empresa.

Algo importante, muchas veces el ransomware es sólo una distracción para instalar otro tipo de malware que se queda al interior de servidores para robar secretos industriales o información clave de las empresas, sin que los “expertos” en los departamentos de TI los descubran. ¿Saben esto los de Pemex, o todo fue una simulación para evitar las pesquisas que se están haciendo contra los Lozoya, los Romero Deschamps y los directivos involucrados en fraude y desviación de recursos que investiga la actual administración?

Hay quien no ha dicho que ese viernes de hace dos semanas que se comenzaron a dar a conocer las afectaciones por el ciberataque, la Unidad de Inteligencia Financiera (UIF) comenzó un “operativo” en la Torre Ejecutiva de Pemex y otras áreas administrativas para llevarse computadoras (CPU) y analizar sus datos por la investigación que se realiza a la firma del Estado. ¿Coincidencia?

Si bien muchas de las empresas medianas y grandes que operan en México son conscientes de los delitos cibernéticos, cuando se les pregunta qué sistemas y procesos de protección tienen, existe un nivel bastante bajo de conciencia.

Tradicionalmente, el sector financiero ha sido el principal blanco de ataques cibernéticos, pero también es el sector mejor protegido en México, por lo que los delincuentes están dirigiendo su atención a las cadenas minoristas y las empresas familiares, particularmente en el sector manufacturero.

Un ciberataque en 2018 contra el minorista Liverpool, que según los informes le costó a la compañía 100 millones de pesos, confirma esta tendencia. Vale reiterar que el tamaño de una empresa también es irrelevante. Si crees que por ser una pequeña empresa no vas a ser atacado, estás en un error.

Si bien existe una percepción pública de que los delincuentes cibernéticos sólo están buscando datos de tarjetas de crédito, la realidad es mucho más compleja y también depende de quién está atacando.

Las organizaciones criminales apuntan a todo lo que tenga valor comercial. Esto podría incluir información corporativa que se utilizará para el comercio de valores internos, planes de marketing para adelantarse a la competencia, la oferta de una empresa rival en un proceso de licitación o información confidencial sobre precios.

Los crackers patrocinados por el Estado o los gobiernos extranjeros suelen atacar sistemas de infraestructura críticos o industrias clave como el petróleo y el gas, por lo que las empresas de otros sectores tienen un riesgo latente.

También están los ciberactivistas. Si bien Anonymous vulneró el sitio web de la Secretaría de Defensa y amenazó con excluir a miembros del cartel de drogas de los Zetas, los ataques hacktivistas contra compañías privadas en México han sido menos comunes.

Las amenazas tradicionales siguen siendo comunes, pero el uso de ransomware se disparó 113 por ciento en 2014 y se espera que siga aumentando en 2019 a triple dígito. Está sucediendo algo más siniestro. Los días de los robos de datos y la solicitud de pagos están disminuyendo a medida que los piratas informáticos ahora se infiltran en los sistemas y permanecen dentro por varios meses.

El atacante cibernético ahora está en una red durante más de 200 días y, dado que la mayoría de las empresas no tienen sistemas de monitoreo en tiempo real, es imposible saber qué hace el cracker dentro de la red.

El desafío ya no es evitar las amenazas. Las amenazas ya están dentro de la red y ahora sólo hay que protegerse con las mejores tecnologías antes de que se conviertan en un ciberataque en toda la regla.

La seguridad cibernética representa un área de crecimiento real para México y una oportunidad para administradores de sistemas con talento. Todos los expertos coinciden en que el grupo de expertos en seguridad cibernética en el país es actualmente demasiado pequeño.

El crecimiento de la conectividad y la falta de madurez de la seguridad cibernética están convirtiendo a las empresas mexicanas de todos los sectores y tamaños en un objetivo cada vez más atractivo para los ciberatacantes, y lamentablemente a pocos le importa cuidarse, sino, pregúntenle a Pemex.