- Los programas que se usan para facturar o vender ‘online‘ son la nueva puerta trasera
- La IA convierte cada fallo en una cuenta atrás para los negocios
- Europa endurece las reglas y el coste de ignorarlas no es solo tecnológico
- Qué pueden hacer ahora los autónomos y pymes
El mensaje que los expertos han repetido durante años –“no abras correos sospechosos”– sigue siendo válido; pero ya no es suficiente. Los ciberdelincuentes prefieren “colarse” por un programa desactualizado, antes que mandar un correo fraudulento. Y usan la IA para lograrlo: la propia Microsoft ha tenido que corregir este mes más de 200 fallos de seguridad en Windows. Es la mayor actualización de este tipo de su historia.
Y la situación en España es, si cabe, más preocupante. Según el último Balance de Ciberseguridad del Incibe, el organismo gestionó el año pasado 122.223 incidentes de este tipo, un 26% más que el anterior. Además, el coste medio de un incidente digital grave para un pequeño negocio oscila entre 35.000 y 75.000 euros.
“No abrir correos sospechosos sigue siendo un buen consejo, pero nos quedaremos cortos si solo prestamos atención a eso”, explicó a este diario Carlos Pérez, experto web de Ibergy. “Ahora, puedes tener todo el cuidado del mundo con el email y que te entren igual por el ordenador, simplemente porque llevas meses sin actualizar el programa de gestión o el Word”.
Los programas que se usan para facturar o vender ‘online‘ son la nueva puerta trasera
El riesgo no afecta solo a los programas que usan las grandes empresas, sino que llega a través de la aplicación que el autónomo abre cada mañana para emitir facturas, del plugin que gestiona el carrito de compra de su tienda online o del módulo de supervisión de recursos humanos que alguien instaló hace tres años y nunca se volvió a tocar.
En nuestro país, miles de autónomos y pequeñas empresas utilizan programas de facturación, contabilidad y gestión que concentran información fiscal, bancaria y de clientes. Cuando cualquiera de estas aplicaciones presenta una vulnerabilidad sin corregir o permanece sin actualizar, el riesgo aumenta de forma considerable. “En ese caso, ni siquiera un cortafuegos basta para evitar que el atacante acceda a través de la propia aplicación”.
El panorama en el comercio electrónico es, si cabe, más grave. Wordfence, la principal firma de seguridad para WordPress, detectó 87 vulnerabilidades en plugins y temas de esta plataforma en una sola semana del pasado abril. Cuatro de ellas superaban una puntuación de 9 sobre 10 en la escala de criticidad.
Entre los afectados: Elementor, con más de 10 millones de instalaciones activas en todo el mundo; W3 Total Cache, presente en 900.000 sitios; o WooCommerce. De hecho, la solución de comercio electrónico que utilizan decenas de miles de tiendas online en España detectó a principios de este año una vulnerabilidad que permitía a un atacante tener acceso completo a toda la tienda.
“Muchos piensan que con tener la licencia del antivirus pagada ya está todo solucionado”, señaló Pérez. Pero con un fallo en un programa o en la página web, “que son más comunes de lo que se cree y aparecen con más rapidez gracias a la IA, puede ser peor que ‘picar’ entrando en un mensaje fraudulento”.
La IA convierte cada fallo en una cuenta atrás para los negocios
Lo que ha cambiado de forma radical en los últimos dos años no es la naturaleza de las vulnerabilidades. Es la velocidad a la que los atacantes las encuentran y las explotan. Los expertos coinciden en que la IA no está inventando nuevos tipos de ataque. Lo que está haciendo es eliminar el tiempo que separaba antes el descubrimiento de una vulnerabilidad de su explotación masiva.
Herramientas basadas en IA permiten analizar grandes volúmenes de código, comparar versiones de aplicaciones e identificar automáticamente configuraciones vulnerables en miles de servidores conectados a internet.
“Y eso significa que ciertos tipos de ataques que antes no salían a cuenta son perfectamente rentables ahora para los delincuentes”, resumió Pérez. Quien añadió que eso explica también el volumen sin precedentes de vulnerabilidades que los fabricantes están publicando, como el mencionado caso de Microsoft.
Europa endurece las reglas y el coste de ignorarlas no es solo tecnológico
Mientras la presión de los atacantes no deja de crecer, también aumentan las obligaciones para las empresas. La Unión Europea está endureciendo las exigencias en materia de ciberseguridad para fabricantes, proveedores tecnológicos y negocios cada vez más amplios.
Además, en España, una pyme que sufra un incidente que afecte a datos personales debe comunicarlo a la Agencia Española de Protección de Datos en un máximo de 72 horas. El coste de no actuar ya no se limita al ataque informático: también puede traducirse en responsabilidades y sanciones.
Seguir con Windows 7 es una invitación
Una parte del tejido empresarial sigue operando sobre sistemas operativos que llevan años sin recibir actualizaciones de seguridad. Como Windows 7, cuyo soporte finalizó hace bastantes años, y que continúa presente en numerosos pequeños negocios, bien por razones económicas o porque determinadas aplicaciones de gestión, en especial algunas versiones antiguas de programas de contabilidad locales, solo funcionan sobre entornos ya obsoletos.
“Que los sistemas anticuados son un riesgo no es ninguna novedad; eso ya lo sabíamos. Lo que ha cambiado es que antes te podías sentir un poco en tierra de nadie y con la idea de pasar desapercibido. Ahora te localizan y te atacan mucho más rápido y con mucho menos esfuerzo,” advirtió el experto de Ibergy.
Qué pueden hacer ahora los autónomos y pymes
El modelo que han seguido muchos pequeños negocios durante años –llamar al informático cuando algo falla– ha quedado técnicamente obsoleto. No porque ese informático no sea necesario, sino porque los plazos en los que se producen los ataques ya no permiten gestionar la seguridad de forma reactiva.
Los expertos señalan una serie de medidas que cualquier negocio puede implementar, con independencia de su tamaño y presupuesto:
- • Activar las actualizaciones automáticas en todos los programas, incluidos los de contabilidad, gestión y los plugins de las tiendas online.
- • Revisar y eliminar el software que ya no se utiliza.
- • Sustituir los sistemas sin soporte lo antes posible.
- • Verificar que las copias de seguridad funcionan realmente antes de necesitarlas.
“Actualizar los programas tiene que ser una tarea del día a día del negocio, igual que presentar el IVA. Y no algo que haces cuando te acuerdas o cuando ya ha ocurrido un problema”, concluyó Carlos Pérez.
