Felipe Gómez, Fluid Attacks: “Usted cree que no lo están atacando y eso es una sensación de falsa seguridad”

Desde el inicio de la pandemia se aceleró el paso al teletrabajo en las áreas administrativas de las empresas y en la incorporación de sistemas, aplicaciones, servicios y plataformas para garantizar el teletrabajo y la venta en línea a los clientes.

¿Usted se dio un tiempo para revisar que los datos de su compañía, de sus proveedores (como el precio al que le venden) y de sus clientes están seguros?

¿Está resguardada su empresa pese a que probablemente sus colaboradores utilizan redes wifi sin protección o a que pueden estar siendo víctimas de trampas en Internet, como phishing o contenidos que les son atractivos pero incluyen un malware para robo de datos?

De pronto usted piensa que si los sistemas están funcionando es porque están seguros.

“Es una sensación de falsa seguridad”, alertó Felipe Gómez, gerente general de Fluid Attacks, una firma colombiana especialista en seguridad informática que pronto brindará servicios en Costa Rica a través alguna compañía distribuidora.

Las empresas piensan que están seguras porque no ven los ataques.

La ciberseguridad se asemeja mucho a lo que está pasando con la pandemia, pues es usual que creamos que no nos va a pasar nada.

Lo que se está dando es el mismo tipo de ataques que se han dado siempre, como el phishing (correos o sitios electrónicos falsos para que el usuario registre sus contraseñas bancarias) y cadenas maliciosas.

Con el inicio de la pandemia, las empresas han tenido que aplicar tecnologías y plataformas con rapidez, pero sin cuidar la seguridad.

La seguridad se ha visto como un lujo. Esto se ve más en pequeñas empresas (pymes) y emprendimientos de base tecnológica (startups).

¿Cuáles otros tipos de ataques se están viendo?

Como los colaboradores y ejecutivos están en las casas, los ataques se dan sobre las redes wifi en los hogares.

También hay ataques de hackeo social. Como las personas somos el eslabón más débil y estamos con ansiedad por la situación, están recibiendo múltiples mensajes con archivos maliciosos y que tienen fines ilícitos.

¿Se dan intentos de robo de datos?

Hay un incremento del 300%. Los usuarios abrimos ventanas por las que un atacante puede ingresar hacia los datos de las empresas.

El atacante busca datos a través de las debilidades de los sistemas de las empresas y aprovechando las debilidades en las redes domésticas y de las personas.

¿Para las empresas esto tiene riesgos, por sanciones también?

La legislación obliga a las empresas a resguardar la información de las personas y las compañías.

Son datos vulnerables.

No sólo hay el riesgo reputacional. También el riesgo legal y de sanciones. Pero las empresas piensan que esto no ocurre.

Muchas veces no se da cuenta que se tiene el virus, pues están tan bien diseñados que pasan meses extrayendo datos.

No es que a mí no me ha pasado. Más bien es que no se han dado cuenta.

¿Con cuánta frecuencia se producen los ataques?

El año anterior vimos más de 200 empresas y encontramos en total 100.000 vulnerabilidades. Esto en empresas que se preocupan.

El atacante está constantemente buscando esas vulnerabilidades. Tiene todo el tiempo del mundo. No tiene ninguna presión de nada y automatiza la búsqueda de las vulnerabilidades.

Cuando encuentra una, la aprovecha.

¿Qué pueden hacer la empresas?

La mejor forma es ir descubriendo las vulnerabilidades desde el inicio del desarrollo de un sistema, desde el código fuente y cuando se está estructurando una aplicación. No lo haga cuando ya está terminado el sistema, pues ya es tarde y corregir sale más caro.

Cuando se descubren las vulnerabilidades de un sistema o aplicación, como es más caro y riesgoso cambiarlo todo, apenas se corrige el 4% de los problemas.

Cuando se hace en forma temprana y continua, conforme se desarrolla el sistema o aplicación, se resuelve del 85% al 90% de las vulnerabilidades que se van encontrando.

¿Las empresas están haciendo esta corrección continua?

En el sector financiero, en aerolíneas y las empresas desarrolladoras ya tienen revisión continua.

A las startups se enfocan más en lo funcional y las pymes tienen menos recursos, además de la falsa sensación de que todo está bien y que no tienen nada expuesto en Internet.

Lo que deben hacer es que, además del caso de uso, deben tomar en cuenta los criterios de seguridad, manejo de contraseñas y manejo del cifrado, que desde la construcción del sistema se vea que se está desarrollando en forma segura.

¿Y cuándo se adquieren aplicaciones y plataformas por servicio?

Deben exigirle al proveedor una auditoría o revisar la seguridad de la plataforma antes de aceptar.

El principal enemigo de la seguridad es el afán (el apuro).