Los ciberataques pueden salir muy caros y no solo en términos económicos. En 2019, el 53% de las empresas españolas sufrieron un ataque digital por cuyo rescate pedían una media de 260.000 euros. De ellas, el 4% reconoce haber pagado por tal de recuperar el control de sus sistemas, según la encuesta ‘El estado del ransomware en 2020’ de Sophos. Un rescate que no sabemos si pagó Garmin el pasado julio.

El fabricante americano de GPS y wearables vio afectados sus servicios de monitorización de actividades en todo el mundo tras un ataque perpetuado por cibercriminales. ‘Piratas’ que, a cambio de devolver el control de la empresa, pedían 10 millones de euros. Otro caso sonado fue la extorsión que vivió la EMT de Valencia en 2019 cuando protagonizó una rocambolesca estafa de cuatro millones de euros por medio de la ciberestafa del CEO. Diferente fue el reciente ciberataque frustrado a Tesla gracias a la intervención de sus ingenieros y del FBI. Un asalto que el propio Elon Musk calificaba de “serio”.

El robo de credenciales, la extorsión, el chantaje o el control de los dispositivos son los ataques cibernéticos más comunes que, como consecuencia, dejan tras de sí una doble víctima: la empresa y el cliente. El mismo que se ve desamparado cuando del robo de su información privada se trata. Ante este escenario, ¿cómo se recupera la confianza perdida? Eso mismo debió pensar British Airways en 2018 cuando detectó el robo de los datos personales y de la información bancaria de 400.000 usuarios. Una preocupación que también compartiría Zoom hace unos meses cuando reconoció un ciberataque y su consiguiente fuga de información en plena pandemia, justo cuando el teletrabajo la elevaba a herramienta esencial. 

Casos concretos que demuestran una cosa: en ocasiones, un ciberataque puede tener un coste tangible, pero muchas otras veces, aun sin pagar un rescate, la factura derivada puede ser peor. En juego está la imagen, la reputación y la desconfianza de los clientes. Son los costes ocultos.

Actuar con profesionalidad y rapidez

El mismo estudio de Sophos mencionado anteriormente sostiene que el 42% de las empresas encuestadas espera sufrir un ciberataque en el futuro. Claramente es una tendencia al alza y cada vez más generalizada. Por ello, es fundamental contar con un plan estratégico de ciberseguridad, definido junto a especialistas, desarrolladores y partners que velen por la protección de la estructura digital de toda empresa.

Ese plan estratégico debe ser compartido y conocido por la compañía en su conjunto, con una comunicación tanto en cascada, vertical, como horizontal. Crear una cibercultura de empresa es la piedra angular a partir de la cual actuar. Solo así se puede transmitir una imagen de control y profesionalidad al mercado en general y a los clientes en particular.

Si el ciberataque es una realidad, lo principal es realizar una evaluación inicial del incidente. Como indican desde INCIBE, esto incluye revisar los sistemas de la organización encargados de identificar accesos no autorizados como los IDS, cortafuegos, logs, etc., así como detectar a grandes rasgos el tipo de incidente y la gravedad del mismo. Después hay que comunicarlo. “Es importante que únicamente tengan conocimiento de lo sucedido aquellas personas o departamentos que puedan ser de ayuda en la solución”, señalan desde el instituto público. La tercera fase se centra en actuar de forma rápida y eficaz ya que así se puede reducir considerablemente los efectos de un incidente. Cada ataque tiene una naturaleza diferente, aunque seguir las siguientes prioridades detalladas por el organismo público es fundamental.

Solo así, invirtiendo tiempo y presupuesto en la ciberseguridad de la empresa definiendo un plan de contingencia e inculcando una cibercultura de empresa, cualquier compañía estará preparada ante un desafío cada vez más común. Saber cómo prevenir los ciberataques y actuar en caso de incidencia es lo que determinará que los clientes sigan confiando, o no.