9 de cada 10 empresas españolas sufrieron intentos de ‘ransomware’ en 2022

La seguridad es una cuestión pendiente para muchas compañías. Los ciberdelincuentes mejoran sus técnicas de ataque y consiguen convertir en víctima a parte del tejido empresarial.

En España, el phishing continuó haciendo de las suyas durante 2022. De acuerdo con la última edición anual del informe State of the Phish de Proofpoint, los atacantes consiguen comprometer los sistemas de las organizaciones combinando tácticas antiguas y nuevas. La suplantación de identidad, los ataques BEC de compromiso de correo electrónico y el ransomware se mantienen como técnicas populares, pero crecen otros métodos menos conocidos.

“Si bien el phishing convencional mantiene su éxito, muchos atacantes han cambiado sus técnicas por otras más nuevas, como el phishing AitM o de adversario en el medio que evitan la autenticación multifactor”, relata Ryan Kalember, vicepresidente ejecutivo de estrategia de ciberseguridad en Proofpoint. “Son técnicas que se han utilizado en ataques dirigidos durante años, pero en 2022 hemos visto su despliegue a gran escala”.

“También hemos visto un marcado aumento de campañas de phishing sofisticadas y multicontacto en las que se entablan conversaciones más largas con múltiples identidades”, señala. “Ya sean grupos a favor de Estados o atacantes BEC, hay muchos atacantes dispuestos a actuar a largo plazo”.

Entre las organizaciones españolas que recibieron intentos de phishing por email el año pasado, un 90 % terminó cayendo. Esto es, 9 de cada 10 recibieron al menos un ataque de phishing efectivo. El resultado fue que casi una cuarta parte tuvo que hacer frente a pérdidas financieras frente al 9 % de 2021.

Durante los doce meses analizados se enviaron cientos de miles de mensajes de elusión de autenticación multifactor y phishing TOAD, que incitan a los destinatarios a mantener una conversación por teléfono a través de falsos centros de atención.

Proofpoint desvela que el 89 % de las organizaciones de nuestro país fue objetivo de tentativas de ransomware en algún momento de 2022. El 72 % fue infectado con éxito. Y, al final, únicamente la mitad logró recuperar el acceso a sus datos tras realizar un pago inicial.

Hoy por hoy, la mayoría de las organizaciones que se enfrentan a la acción del ransomware acepta el chantaje de los atacantes y negocia con ellos. Un 64 % pagó al menos un rescate. De hecho, gran parte de las aseguradoras contratadas se mostraron dispuestas a ello.

En cuanto a los ataques BEC, el 90 % de las organizaciones españolas también ha informado de algún intento de este tipo durante 2022. La cifra es 13 puntos porcentuales mayor que la de 2021. En este auge tiene que ver el uso de nuevos idiomas, más allá del inglés, para dirigirse a las víctimas, incluyendo el español.

En los emails fraudulentos, la marca más suplantada por los cibercriminales fue Microsoft, con más de 30 millones de mensajes detectados. Algunos usaban el nombre de la empresa de Redmond y otros hacían referencia a productos famosos como Office y OneDrive. Google, Amazon, DHL, Adobe y DocuSign son otras compañías en el punto de mira.

Al respecto Proofpoint alerta de que la mayoría de empleados tienen lagunas en concienciación sobre seguridad y no entienden bien amenazas como el phishing o el ransomware. El 47 % de los empleados españoles cree que un correo es seguro si hace referencia a una marca conocida y el 71 % piensa que la dirección siempre se corresponde con la página web de la marca.

Además, menos de la mitad de las organizaciones en España incluye a todos los miembros de su plantilla en las formaciones de ciberseguridad (46 %) o hace simulaciones de phishing para prepararlos (48 %).

Un 65 % de las empresas de nuestro país ha encarado pérdidas de datos como consecuencia de una acción interna. Además, el 18 % de los profesionales cambió de trabajo en el último año y, de ellos, más de un tercio se llevó información consigo.

“Las lagunas en concienciación sobre seguridad, así como los comportamientos más laxos de los empleados crean un riesgo sustancial para las organizaciones y sus datos”, observa Fernando Anaya, country manager de Proofpoint. “El correo electrónico sigue como método de ataque preferido por los ciberdelincuentes, pero a medida que aparecen técnicas mucho menos conocidas por los empleados, cobra mayor importancia la necesidad de construir una cultura de seguridad que se extienda por toda la organización”.