Se estima que la ciberdelincuencia cuesta a la economía mundial más de 400.000 millones de dólares estadounidenses al año, y se espera que estos costes sigan aumentando.
La industria financiera es la que corre mayor riesgo, ya que sus activos son los más fáciles de monetizar. Estas instituciones financieras conectadas a escala mundial han destinado enormes recursos a reforzar sus infraestructuras de información, que incluyen personal, servicios y mecanismos de seguridad, y controles físicos.
Una encuesta reciente a profesionales de TI que trabajan en el sector financiero reveló que «solo el 16 % se sentía muy preparado para hacer frente a intrusiones dirigidas a cuentas financieras».
A pesar de sus mayores esfuerzos, las operaciones bancarias de todo el mundo han sufrido recientemente una brecha causada por una única operación de ciberdelincuencia organizada, por un valor estimado de 1.000 millones de dólares estadounidenses.
Así pues, pese a los ingentes recursos destinados a prevenir las brechas, ¿por qué siguen produciéndose?
El eslabón más débil: las personas
En la empresa actual, altamente integrada y dependiente de lo digital, basta con que alguien abra voluntariamente una única vía digital de acceso a una organización para crear una oportunidad para cualquiera que sea lo bastante agresivo y emprendedor como para cometer ciberdelitos.
No importa cuán seguros crea estar los sistemas de una organización frente a los ciberataques: basta con que un solo empleado actúe —accidental o intencionadamente— para vulnerar esa seguridad.
El acceso del personal al correo electrónico, la web y los sistemas de teletrabajo abre la puerta a códigos maliciosos que luego proporcionan a terceros acceso interno.
Incluso algo tan sencillo como una memoria USB encontrada en el estacionamiento puede ser portadora de sofisticados rootkits y herramientas de administración remota (RAT), que pueden utilizarse para obtener acceso remoto y ocultar código malicioso.
Esto permite al atacante hacerse con el control del sistema, que puede utilizarse para obtener acceso. A partir de ahí, basta con supervisar las actividades internas usando las credenciales de personas dentro de la organización hasta adquirir suficiente conocimiento de los procesos.
Entonces, los ciberdelincuentes pueden empezar a transferir registros clave, bases de datos completas e incluso saldos de cuentas. Esto resulta aún más fácil cuando se asigna a empleados clave acceso y derechos de uso para realizar determinadas transacciones, y esas son precisamente las credenciales que han sido secuestradas.
La ciberdelincuencia no conoce fronteras ni tiene rostro
La propia naturaleza de internet como red mundial permite las comunicaciones internacionales y conecta a personas y cadenas de suministro en casi cualquier lugar del mundo.
Esto permite a los delincuentes acceder a los sistemas de las empresas desde casi cualquier jurisdicción. Como la aplicación de la ley es una tarea de soberanía nacional, las investigaciones que abarcan varias jurisdicciones requieren la colaboración entre países.
A pesar de los acuerdos internacionales de cooperación contra la ciberdelincuencia, como el Convenio sobre la Ciberdelincuencia del Consejo de Europa, la naturaleza móvil de los ciberataques exige competencias especializadas, rapidez de respuesta y recursos humanos para rastrear y detener a los sospechosos.
Cuando se reúnen estos recursos, el anonimato y el ocultamiento que ofrece internet dificultan probar que una persona determinada utilizó efectivamente un sistema concreto para infringir la ley.
Riesgos frente a beneficios con costes mínimos
La existencia de herramientas y vulnerabilidades de piratería informática se remonta a décadas atrás.
Sin embargo, los importantes beneficios económicos de la ciberdelincuencia han dado lugar a un servicio de apoyo: malware por encargo.
El delito es rentable y, por una suma relativamente modesta, los kits de herramientas de uso autónomo y los servicios de personalización —disponibles a través de internet— pueden generar importantes beneficios económicos. En otras palabras, estos servicios pueden crear malware a medida para cualquier propósito que se requiera.
El análisis de coste-beneficio para ganar dinero resulta sencillo cuando se combina con un método de entrega bien planificado y un sistema de blanqueo de capitales.
Con la llegada de monedas digitales como Bitcoin, el dinero robado puede convertirse y transferirse fácilmente a cualquier lugar del mundo.
Delincuencia organizada
La ciberdelincuencia se ha convertido en un gran negocio. Impulsada por los beneficios, la delincuencia organizada ha ampliado claramente sus conocimientos técnicos para garantizar la explotación generalizada de redes abiertas y ocultas.
Al aprovechar las habilidades de otras personas y tener la capacidad de controlar a quienes dirigen las operaciones de ciberdelincuencia, la delincuencia organizada ha ampliado con confianza su actividad empresarial, imitando prácticas comerciales legítimas para obtener beneficios económicos mediante la alineación estratégica de recursos.
Mientras que antes los refugios seguros, los Estados débiles y una legislación obsoleta proporcionaban el santuario necesario para la ciberdelincuencia, hoy en día la anonimización y el cifrado protegen estas actividades.
Características como estas han alterado la estructura organizativa de la delincuencia organizada. Las relaciones han dejado atrás las estructuras jerárquicas reconocibles y han dado paso a empresas delictivas transitorias y motivadas por transacciones.
Las mejores oportunidades para la ciberdelincuencia también han facilitado el blanqueo de fondos ilícitos. A medida que la delincuencia organizada se ha enriquecido y fortalecido, el proceso delictivo encubierto y facilitado por medios cibernéticos ha ayudado a los ciberdelincuentes a blanquear fondos de origen ilícito al margen de la supervisión y regulación de la economía legítima.
Reflexiones para el futuro
Es posible desarticular la ciberdelincuencia, pero, como ocurre con tantos problemas actuales, no hay una solución sencilla. Está claro que lo que estamos haciendo para combatirla no está funcionando.
Por lo tanto, las respuestas futuras deben ser universales y, aunque existen una comunicación reforzada y un compromiso internacional, estos deben mantenerse firmes.
Los componentes de la ciberdelincuencia son diversos y abarcan a víctimas de todo el mundo.
Aunque existen prácticas para contrarrestar las múltiples facetas de la ciberdelincuencia, el éxito es limitado. Contar con pruebas de lo que funciona y lo que no sin duda respaldaría las actividades de prevención.
Al crear un panorama integral de la ciberdelincuencia, podría ser posible elaborar evaluaciones oportunas y precisas sobre el terreno, que ayudarían a orientar el debate transnacional.
Entonces, y solo entonces, podremos empezar a pensar de forma innovadora y concebir nuevas ideas para abordar problemas del mundo real relacionados con la ciberdelincuencia y motivados por ella, a fin de contribuir al desarrollo de una nueva campaña contra la ciberdelincuencia.
Este artículo se publicó originalmente en The Conversation. Lea el artículo original. La publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Para mantenerse al día con la Agenda, suscríbase a nuestro boletín semanal.
Autor: El Dr. Nicholas Gilmour es profesor asociado de la Policía de Nueva Zelanda en la Universidad Massey de Wellington, donde se encarga de impartir asignaturas de máster sobre inteligencia, delincuencia y seguridad, y ciencias forenses. El Dr. Andrew M. Colarik es profesor titular del Centro de Estudios de Defensa y Seguridad de la Universidad Massey.
Imagen: Se sostiene una lupa delante de la pantalla de un ordenador. REUTERS/Pawel Kopczynski.
