El 84 % de las organizaciones deportivas profesionales sufrió un incidente de ciberseguridad en los últimos 12 meses.
La Copa Mundial conecta estadios, emisoras, sistemas de pago, redes de transporte y millones de aficionados en una única economía digital temporal, con tolerancia cero ante las interrupciones.
Esta economía digital temporal presenta un riesgo significativo para la ciberseguridad, y la forma en que se gestiona encierra lecciones para organizaciones de todo el mundo.
Pensamos en la Copa Mundial de la FIFA en términos de la experiencia que se retransmite por todo el mundo: los equipos, los estadios, el público, los goles. Tras bambalinas, hacer posible todo eso es una economía digital temporal que este año se extiende por tres países, 16 ciudades sede y 104 partidos. Esa economía conecta estadios, ciudades, emisoras, patrocinadores, plataformas de venta de entradas, sistemas de pago, redes de transporte, proveedores de hostelería y millones de aficionados.
Cada partido depende de una cadena asombrosa de sistemas y organizaciones. Las emisoras necesitan señales en directo. Los aficionados necesitan entradas, pagos, aplicaciones, información sobre transporte y acceso a los recintos. Los patrocinadores y proveedores necesitan plataformas que funcionen. Las ciudades necesitan servicios públicos capaces de absorber picos repentinos de demanda. Los operadores de los estadios necesitan que los sistemas de edificios, seguridad, comunicaciones y operaciones funcionen según lo previsto.
Si se combinan la amplitud de la infraestructura, la escala de la ejecución y la interdependencia con el foco mundial, la Copa Mundial se convierte en un caso de estudio sobre resiliencia digital del que deberían tomar nota los líderes mucho más allá del deporte.
Riesgo digital y ciberseguridad en los negocios y el deporte
La mayoría de las organizaciones opera hoy en las mismas condiciones básicas que definen una Copa Mundial: plazos fijos, datos de alto valor, sistemas orientados al cliente, proveedores conectados y muy poca tolerancia a las interrupciones. Un minorista que se prepara para el Black Friday, un banco que gestiona la volatilidad de los mercados o un hospital que organiza el flujo de pacientes se enfrentan a la misma pregunta: ¿puede la empresa seguir operando cuando sus sistemas digitales se ven sometidos a presión? En la Copa Mundial, todos esos factores son simplemente más grandes, más rápidos, más visibles y agravados por la geopolítica.
Ya lo hemos visto en el torneo de este año. Un investigador independiente de seguridad creó un inicio de sesión para agentes de fútbol registrados en la FIFA y averiguó rápidamente una forma de eludir los bloqueos del lado del cliente y obtener acceso al panel de gestión de transmisiones de la FIFA, lo que dejaba al descubierto herramientas conectadas a datos de partidos en directo y a la producción de flujos de vídeo. No se trata de un ataque exótico, sino de un problema básico de control de acceso de los que la mayoría de los equipos de seguridad han experimentado, pero en este caso podría haber permitido a un atacante interferir en las retransmisiones de partidos en directo de todo el mundo. Olympic Destroyer dejó una lección similar en los Juegos Olímpicos de 2018, cuando un malware perturbó los sistemas informáticos durante la ceremonia de inauguración de los Juegos Olímpicos de Invierno.
La última investigación de Darktrace reveló que el 84 % de las organizaciones deportivas profesionales sufrió un incidente de ciberseguridad en los últimos 12 meses, y el 57 % fue atacado más de una vez. Las amenazas resultarán familiares para la mayoría de los equipos de seguridad: suplantación de identidad (phishing), malware, abuso de identidades, riesgo de terceros y controles de acceso débiles. El deporte es una versión más clara y ruidosa de las mismas condiciones a las que se enfrentan muchas organizaciones.
La IA añade ahora otra capa. Los atacantes pueden utilizarla para probar sistemas expuestos, redactar mensajes más convincentes, adaptar estafas a acontecimientos reales y directivos, y avanzar con más rapidez en las primeras fases de un ataque. Según la investigación de Darktrace, el 83 % de los equipos de ciberseguridad del deporte profesional afirma creer que detectó el uso de IA en ciberataques contra ellos en el último año, mientras que el 72 % cree que la IA aumentará el riesgo cibernético en los próximos 12 meses.
El riesgo interno asociado a la IA crece hasta igualar la amenaza externa. Nuestra investigación revela que el 47 % de los profesionales de la ciberseguridad en el deporte se preocupa por los riesgos que introducen los empleados al crear agentes de IA. Esa preocupación es comprensible. A los agentes de IA se les puede dar acceso a sistemas, datos y flujos de trabajo, y luego pedirles que actúen con rapidez, pero carecen del criterio y de la comprensión de las consecuencias que tienen las personas. Las organizaciones deportivas profesionales están equilibrando riesgo y recompensa. Más de una tercera parte está desplegando agentes de IA en las operaciones de los estadios o planea hacerlo, aunque las operaciones de los estadios son el ámbito que los profesionales de la seguridad consideran que causaría el mayor impacto si se viera comprometido.
Las lecciones de la Copa Mundial en materia de ciberseguridad
El reto para las organizaciones, desde la FIFA hasta los servicios financieros, es cómo adaptar la ciberseguridad a este entorno más rápido y más conectado. Pocos equipos de seguridad operan a la escala de una Copa Mundial, pero toda empresa puede extraer de ella tres lecciones prácticas:
1. La resiliencia debe abarcar todo el ecosistema.
Los grandes eventos dependen de emisoras, plataformas en la nube, proveedores de venta de entradas, empresas de pagos, contratistas, agencias públicas e infraestructuras locales. Lo mismo ocurre con la mayoría de las empresas modernas. Los líderes deben saber qué socios tienen acceso a sistemas críticos, qué ocurriría si un socio sufriera una interrupción y cómo seguiría operando la empresa si fallara una conexión clave. En el trabajo propio de Darktrace sobre la Copa Mundial de Catar 2022, vimos hasta dónde pueden llegar las auditorías estrictas a proveedores combinadas con el control de acceso para proteger incluso las cadenas de suministro más complejas.
2. La identidad debe incluir a las personas, las máquinas y, ahora, también a los agentes.
Muchos incidentes cibernéticos comienzan con una contraseña robada, una cuenta con permisos excesivos, una conexión de un tercero de confianza o un sistema que autentica a un usuario pero no logra imponer lo que ese usuario tiene permitido hacer. A medida que los agentes de IA se convierten en actores digitales dentro de las organizaciones, las empresas necesitan más que una lista de usuarios y permisos aprobados. Necesitan visibilidad sobre qué identidades humanas y de IA están activas, a qué pueden acceder y cómo se comportan normalmente. La detección del comportamiento se vuelve crítica. La señal de alerta puede no ser la identidad en sí, sino una acción que no encaja con su función habitual: una solicitud de datos inusual, un cambio inesperado en el sistema o un flujo de trabajo activado en el momento equivocado. Los equipos de seguridad necesitan contexto suficiente para determinar si esa anomalía es inofensiva, arriesgada o urgente, y para investigarla con rapidez.
3. La respuesta debe ponerse a prueba bajo una presión operativa real.
Un plan que funciona sobre el papel puede fallar durante un partido, el lanzamiento de un producto o un periodo de ventas máximas. En esos momentos, las personas trabajan bajo presión, los atacantes pueden estar ya en movimiento y pequeños retrasos pueden permitir que un incidente contenido se extienda. Los equipos humanos siguen teniendo que dirigir la investigación y la remediación, pero no deberían tener que contener manualmente cada conexión arriesgada, acción de cuenta o cambio de sistema mientras un incidente está en curso. Los líderes deben saber qué sistemas son más importantes, quién puede tomar decisiones con rapidez, dónde existen alternativas manuales y dónde la contención autónoma puede sostener la situación mientras las personas realizan el trabajo más profundo.
La Copa Mundial ofrece a los líderes un anticipo de hacia dónde se dirige el riesgo digital: adopción de la IA, proveedores conectados, plazos fijos, escrutinio público y muy poco margen de error, todo ello reunido a escala global bajo presión operativa en tiempo real. La lección es prepararse para esas presiones antes de que converjan. Eso significa saber qué sistemas son más importantes, qué socios pueden afectarlos, qué identidades humanas y de IA pueden acceder a ellos y cómo seguirá operando la empresa si algo falla.
