La tecnología ha transformado por completo nuestra manera de trabajar y también la de hacer negocios. Hoy, gran parte de la actividad de las empresas se encuentra en nubes, servidores, ordenadores y dispositivos móviles conectados. Por eso el término ciberseguridad está cada vez más presente en las compañías.
No es para menos: el porcentaje de empresas que han declarado haber sufrido un ciberataque pasó del 38 % en 2020 al 43 % en 2021, según el Informe de Ciberpreparación de Hiscox 2021. Teniendo en cuenta que el 28 % de esos ciberataques se producen por spoofing —suplantación de identidad— o robo de datos a empleados —phishing—, convertir a esos trabajadores en el primer cortafuegos de la empresa parece una buena estrategia.
Te damos cinco claves para conseguirlo.
Explicar a los trabajadores los trucos más comunes que utilizan los ciberdelincuentes para ganarse su confianza y/o acceder a la información que necesitan puede ser el punto de partida. Entre estas técnicas destacan las suplantaciones de identidad para hacerse pasar por un proveedor o un superior a través de mensajes o llamadas telefónicas.
Esta es la base de estafas como el fraude del CEO, el fraude de facturas o algunos de los ataques de ramsomware (secuestro de información para pedir un rescate). Si los trabajadores las conocen, les resultará mucho más sencillo distinguir una petición legítima de otra que no lo es.
Otro de los ganchos que prueban los ciberdelincuentes para abrir las puertas de una empresa son los enlaces maliciosos o los documentos adjuntos que ocultan algún troyano. Se suelen enviar a través de correo electrónico, pero también de aplicaciones de mensajería instantánea.
Aunque existen herramientas como los antivirus, los cortafuegos o el software de protección de correo electrónico que han sido especialmente diseñadas para contrarrestar estas amenazas, la intuición de un ser humano puede ser incluso más efectiva si ha sido correctamente entrenada. Se trata de no confiar a ciegas en la labor de este tipo de software, que puede llegar a fallar en la detección.
Entre los hábitos que se pueden promover en los empleados se encuentra la comprobación de enlaces o archivos sospechosos antes de abrirlos. Basta con pasar el ratón por encima de un enlace para ver si se corresponde con el texto que lo enlaza o con avisar al departamento correspondiente dentro de la empresa para que realice la verificación oportuna.
Otra comprobación que se puede recomendar es analizar siempre el remitente, pero no fijándose únicamente en el nombre, sino en la dirección de correo que envía el mensaje. El ciberdelincuente puede despistarnos cambiando una letra o añadiendo una palabra. Aunque parezca real, puede ser ilegítimo.
Muchas veces, una formación teórica puede no ser suficiente para aumentar la ciberseguridad en la empresa. Por eso, desde la empresa especializada en seguridad informática Kaspersky recomiendan hacer ejercicios con los empleados para que pongan en práctica sus conocimientos y se preparen para posibles incidentes reales.
De este modo, proponen enviar correos electrónicos de phishing controlados por la propia empresa de prueba. En función de los resultados, esta práctica resultará útil también para comprobar qué personas o áreas de la empresa necesitan un refuerzo sobre lo aprendido.
En este tipo de entrenamientos sería interesante incluir como temáticas situaciones de actualidad (COVID, guerra de Ucrania…), ya que los ciberdelincuentes suelen utilizarlos muy a menudo para incrementar las posibilidades de que se clique en los enlaces.
Las técnicas de los ciberdelincuentes se sofistican cada vez más y, con ellas, las relacionadas con la suplantación de identidad. Tanto es así, que el FBI ha declarado el uso de deepfake —vídeos o audios que manipulan la realidad— como una amenaza importante para las empresas, con un gran potencial para causar daños reputacionales y financieros.
En este sentido, lo mejor es alentar al personal de la empresa a que desconfíe ante cualquier requerimiento urgente fuera de lo normal y que se ponga en contacto con la persona que supuestamente ha hecho la petición para comprobar sus intenciones. A poder ser, a través de un canal distinto al utilizado para realizar la petición. Si, además, son capaces de detectar imperfecciones en los vídeos, como incoherencias en los gestos o pestañeos poco frecuentes, lo tendrán más fácil para evitar engaños.
En ocasiones, los ataques se centran en daños reputacionales mediante el uso fraudulento de los perfiles de las compañías en redes sociales. En estos casos, promover el uso de contraseñas seguras, fomentar el uso de gestores de contraseñas e incluso de técnicas de autenticación en dos pasos pueden evitar muchos disgustos a una empresa.
Aunque tenemos ciertas vulnerabilidades, los seres humanos contamos con una herramienta única que ni las máquinas más sofisticadas han logrado replicar: nuestra intuición y nuestro sentido común. Si la entrenamos adecuadamente y la complementamos con conocimientos, nos ayudará a evitar muchos problemas. Esa es la razón por la que un empleado puede convertirse en el mejor cortafuegos de una empresa.
