La mayoría de los ciberataques contra los ciudadanos no se denuncian ni se miden, lo que genera una brecha crítica en nuestra comprensión de su alcance, sus patrones y su impacto.
Los ataques contra las personas están muy dirigidos, impulsados psicológicamente y abarcan múltiples ámbitos, pero la industria y los responsables de las políticas los tratan como problemas independientes.
Necesitamos un modelo compartido para identificar y seguir estas amenazas, que nos ayude a diseñar una prevención eficaz, mejorar la responsabilidad de las plataformas y reducir el riesgo sistémico para la economía digital.
Cuando una gran marca o una infraestructura nacional crítica sufre un ciberataque, se convierte en titular de los medios nacionales. Los gobiernos se reúnen, los reguladores actúan y la industria de la ciberseguridad se moviliza. Cuando un padre o una madre soltero es estafado y pierde sus ahorros, o cuando se difunden sin consentimiento las imágenes íntimas de un adolescente, la respuesta es fragmentada, lenta y, con demasiada frecuencia, inexistente.
Para muchos, tiene sentido priorizar estos grandes ataques, pero el panorama es más amplio. Los ataques contra las personas se producen a gran escala, y su impacto acumulado, especialmente a largo plazo, probablemente sea catastrófico para la sociedad. ¿Cómo vamos a gestionar nuestras economías y servicios públicos de forma digital si se pierde la confianza en la interacción en línea?
Las personas y las familias se están quedando atrás. En el Reino Unido, casi el 70 % de las víctimas no denuncian ante la policía. Alrededor del 98 % de quienes sí denuncian un delito en línea reciben una decisión de «no se toman más medidas»; su caso se cierra sin ninguna acción significativa; en el 87 % de los casos, el caso se cierra de inmediato. Para la mayoría, denunciar es un callejón sin salida.
Este panorama se repite en todo el mundo. La delincuencia ha cambiado y ha adoptado la tecnología. El sistema de justicia penal y el ámbito de apoyo a las víctimas no lo han hecho.
El impacto es devastador. Las víctimas suelen informar de graves efectos en su salud mental, su confianza en el entorno en línea, su salud física y su capacidad para llevar a cabo su vida diaria. Para demasiadas personas, conduce a la pérdida de la vida.
Una peligrosa brecha de conocimiento
En todo el mundo, cientos de millones de personas son víctimas cada año. Solo tenemos visibilidad de una pequeña fracción de lo que son estos ataques y de cómo funcionan.
La consecuencia es un fallo profundo en la medición. Sin datos precisos sobre el alcance, los patrones y los perfiles de las víctimas, es imposible diseñar una prevención eficaz, asignar los recursos adecuadamente, crear servicios de apoyo o elaborar políticas que reflejen la verdadera carga que soportan los ciudadanos.
Los ciberataques contra las personas no son simplemente versiones más pequeñas de los ataques contra las organizaciones: son categóricamente distintos. Mientras que los ataques corporativos explotan vulnerabilidades técnicas, los ataques contra las personas son abrumadoramente psicológicos. Una llamada de vishing explota la confianza. Una campaña de catfishing manipula el apego emocional. El abuso de imágenes íntimas utiliza la vergüenza como arma. Son problemas humanos que requieren una respuesta centrada en las personas, que los marcos de ciberseguridad actuales no ofrecen.
La inteligencia artificial y otras tecnologías están acelerando la rápida evolución de las técnicas utilizadas para atacar a las personas. No podemos seguir tratando a las personas como un elemento secundario ni dejarlas que respondan solas.
Comprender cómo se desarrollan los ataques contra las personas sigue estando fragmentado entre líneas de ayuda, bancos, investigadores, fuerzas del orden y equipos de seguridad de plataformas, todos trabajando de forma aislada y generando datos que rara vez se comparan o combinan. El resultado: no podemos identificar patrones emergentes, no podemos adaptar los consejos a los distintos perfiles de víctimas, no podemos medir si las intervenciones funcionan y no podemos advertir a las personas antes de que sean víctimas.
Un manual para proteger a los ciudadanos
Para lograr un cambio sustancial en el apoyo y los resultados para las personas que son víctimas de delitos en línea, primero debemos comprender en profundidad la amenaza y demostrar cómo son las respuestas eficaces.
Los marcos de ataque han transformado la forma en que la industria de la ciberseguridad comprende y defiende a los adversarios. Ofrecen un catálogo abierto y estructurado de tácticas y técnicas de los atacantes, utilizado a nivel mundial por empresas, gobiernos y proveedores de seguridad. Al estandarizar la forma en que se describen, detectan y mitigan las amenazas, se han convertido en la base de la defensa basada en la inteligencia sobre amenazas.
Ya es hora de hacer lo mismo por las personas.
Un sólido «marco de ciberataques contra los ciudadanos» analizaría todas las formas en que las personas pueden sufrir daños en línea y cómo se cruzan los distintos tipos de ataque. No solo codificaría los patrones de ataque, las tácticas, técnicas y procedimientos de los autores, sino que también describiría técnicas de respuesta basadas en evidencia y reflejaría el verdadero impacto de estos ataques en las personas y sus vidas.
El marco sería una herramienta compartida que podría impulsar la «seguridad desde el diseño» de las plataformas en línea y las nuevas tecnologías. Orientaría las políticas gubernamentales y guiaría a los servicios de primera línea sobre cómo responder de forma eficaz. Serviría de base para los programas de educación pública pertinentes.
Como industria, si lo hacemos bien, no solo podremos conseguir que caigan menos personas víctimas, sino que también podremos tener un impacto positivo en nuestros esfuerzos continuos por gestionar digitalmente nuestros sistemas críticos.
