En cualquier entorno y en cualquier equipo de trabajo es imprescindible conocer la «jerga» para poder tener éxito en nuestros proyectos. Lo mismo tiene que ocurrir con la ciberseguridad, también en la pyme. Tú y tu equipo tenéis que llevar el barco a su destino. Hay que proteger la carga (nuestros productos) y a los pasajeros (nuestro equipo y nuestros clientes) de todo tipo de situaciones, accidentes, borrascas, temporales… o piratas.
Es mucho mejor saber de qué hablamos y a qué nos enfrentamos, para poder entendernos, hablar con nuestros técnicos y con nuestros proveedores.
Pensar que no nos va a tocar no nos va a librar del ataque. Algunos inconscientes nos dirán lo contrario, pero sí, es cierto, las pymes estamos en el punto de mira de los ciberdelincuentes. Seamos conscientes: somos «capturas» más fáciles que las grandes empresas, somos más confiados y solemos estar menos protegidas, pero tenemos datos, información de empresa y de usuarios que son el centro de nuestro negocio… pero también tenemos competencia… no siempre «sana» y somos un elemento fácil de atacar… y de extorsionar.
Los piratas del ciberespacio no llevan parche ni pata de palo, pero sí tienen mentalidad pirata… el botín es lo importante, caiga quien caiga. En casi todos los casos que se dan contra las pymes persiguen robar datos que se pueden explotar (tarjetas de crédito, contraseñas y accesos con los que suplantar la identidad de tus empleados o tus clientes, o simplemente la posibilidad de pedirte un rescate después de cifrar tu información).
Las técnicas de ataque evolucionan continuamente, pero al menos tendremos que estar avisados de las que conocemos. Seguro que algunas de estas te suenan:
- Infección con malware. Este es el nombre global que damos a cualquier software malicioso que se instala en nuestro ordenador con intención de causar daños o conseguir acceder a otros recursos. Seguro que has oído hablar muchas veces de virus, troyanos, gusanos, spyware, adware y ransomware (del que hablábamos la semana pasada)
Para hacernos llegar el malware, el ciberdelincuente utiliza técnicas de ingeniería social. ¿Qué es esto? Pues algo tan sencillo como que nos engañan… así de fácil… así de duro. Nos engañan para hacernos creer que estamos descargando algo bueno, interesante… y picamos.
Para protegernos de estos ataques es bueno contar con programas mínimos de protección (antivirus y firewall por lo menos) y además, concienciar a todo nuestro equipo de que no se descarguen nada que no sepan qué es con seguridad y no usen pendrives o cualquier otro dispositivo en sistemas no seguros para luego usarlos también en la empresa.
- Ataques para conseguir tus contraseñas. Lo que persiguen es conseguir las contraseñas con las que acceder a tus servicios internos, tus bases de datos, tu información, tu negocio.
Hay muchas maneras de llevar a cabo este ataque. Desde fuerza bruta (probando todos los posibles casos), por diccionario (utilizando todas las combinaciones de palabras de diccionario), o siendo más sofisticados, mediante un programa que registra todo lo que tecleas (llamados keylogger).
- Phishing, … para los que saben inglés, el nombre es muy gráfico … algo así como ir a pescar. El ciberdelincuente crea un sitio web que parece legítimo (un banco, una tienda,…) y envían el enlace por email, whatsapp, o cualquier otra herramienta, para que «piques» y metas tus datos, capturando así tus credenciales.
- También se puede llevar a cabo un ataque desde dentro… por desgracia estas cosas también ocurren. Pueden ser ex-empleados descontentos a los que aún no se ha eliminado las cuentas que tenían, o empleados que están disgustados y tienen permisos de administración. También pueden darse por suplantaciones de personal (muy habitual hacerse pasar por personal de soporte técnico).
- Si nuestra red o nuestra página web no están accesibles, puede que estemos sufriendo un ataque de denegación de servicio (DDoS). Lo que hace el atacante es lanzar muchas peticiones, desde muchos sitios a la vez, a nuestros servicios… y estos se bloquean.
Estas y otras técnicas de ataque están en el maletín de herramientas del ciberdelincuente para llegar a nuestros sistemas o interceptar nuestras comunicaciones sacando provecho de las vulnerabilidades que estos tengan y de nuestra negligencia e ignorancia.
Toda precaución es poca. ¿Qué podemos hacer las pymes para defendernos y estar preparadas? Ahí van algunos consejos…
- Conciencia a tu equipo. El conocimiento y la responsabilidad siempre es la mejor arma
- Supervisa el comportamiento de los usuarios. Concede a cada uno todo el acceso que necesite para su trabajo, pero sólo ese.
- Mantén tu software actualizado. En cada actualización se corrigen vulnerabilidades que los ciberdelincuentes están dispuestos a explotar.
- Planifica la recuperación ante una posible situación de emergencia
- Practica el plan… no vaya a ser que no funcione!
- Plantéate la contratación de una póliza de ciber-riesgo. Es una opción interesante a conocer que puede darte coberturas que tu equipo de informática a lo mejor no puede darte.
Si conocemos las debilidades de nuestro negocio, nuestras vulnerabilidades, y cómo pueden atacarnos, sabremos mejor cómo protegernos. Y si además aplicamos algunas medidas sencillas, podremos dedicarnos más tranquilamente a nuestro negocio.