Crecimiento exponencial de ataques vía correo electrónico impulsa la necesidad de una ley

Los ciberataques que no son regulados ni vigilados por una figura central ocasionaron pérdidas de más de 2 mil 900 millones de dólares en 2023, lo que llevó a los directivos de Silent4Business a pedir la creación urgente de una ley para detener el aumento alarmante de la información comprometida a través del correo electrónico empresarial (BEC).

“Las cifras del FBI son claras, en 2023 se reportaron 21 mil 489 casos de ataques BEC con pérdidas de casi 3 mil millones de dólares”, resaltó Héctor Reyes, gerente de Operaciones en una compañía especializada en resguardo de software y hardware. Además, añadió que durante el primer trimestre del año pasado se experimentó un aumento del 464% en el robo de datos vía e-mail, en la modalidad de phishing. También indicó que datos de Cisco Talos Incident revelaron que el compromiso del correo electrónico empresarial fue la principal ciberamenaza detectada en los tres primeros meses de 2024.

Desde años anteriores se observó una tendencia creciente en los ataques BEC, según lo mencionado en el informe de delitos en internet de Proofpoint. En 2021, las denuncias aumentaron un 3%, y en 2022, un 9%. Además, el 75% de los encuestados hace dos años afirmó que sus lugares de trabajo ya fueron atacados al menos una vez.

“Aunque al momento la Guardia Nacional ha puesto en marcha el Centro de Respuesta a Incidentes Cibernéticos, mejor conocido como CERT-MX, con enfoque en atender los incidentes en cuanto a seguridad de la información, su protocolo es general, aunado a que no existen cifras o indicadores que reflejen su efectividad, por lo que es necesario delinear una Ley de Ciberseguridad que nos permita, tanto al sector público y privado, seguir una estrategia nacional y que los esfuerzos no terminen en acciones aisladas”, explicó Reyes.

A diferencia del ransomware, las fugas por BEC tienden a ser más significativas, como señaló el especialista, porque buscan defraudar a quienes gestionan las transferencias de fondos, es prácticamente imposible recuperar el dinero a través de un rescate, hay menos visibilidad en la etapa inicial ya que comienza con correos que aparentan ser legítimos, y afectan la reputación y relaciones comerciales de la empresa.

“Desde la óptica de Silent4Business la implementación de medidas técnicas de seguridad como la autentificación, filtrado de correos, antivirus, segmentación de la red y controles de acceso, deben estar apalancados de capacitaciones, pruebas para evitar correos maliciosos y líneas de comunicaciones abiertas para que los empleados informen de actividades inusuales sin temor a represalias. Asimismo, es indispensable aplicar controles adicionales como la verificación de pagos, el establecimiento de políticas de contraseñas seguras y complejas, sin dejar de lado copias y recuperación de datos”, aseguró Héctor Reyes.

Además de ofrecer asesoramientos sobre las mejores prácticas y políticas de seguridad, el gerente de operaciones explicó que contar con un proveedor externo permite una vigilancia continua a través de monitoreos permanentes. Esta capacidad se complementa con el uso de tecnología de última generación y experiencia especializada para identificar patrones o señales que podrían pasar desapercibidos internamente.