Se define ciberataque o ataque informático a cualquier maniobra ofensiva que tiene como objetivo tomar el control, desestabilizar o dañar un sistema informático (ya sea computadora, red privada, etc.). Este tipo de ataques tiende a vulnerar sistemas de información, tales como infraestructuras, redes computacionales, bases de datos albergadas en servidores remotos, entre otros, y provienen de fuentes anónimas que roban, alteran o destruyen un blanco específico mediante el hackeo de un sistema vulnerable. Este artículo indaga sobre ejemplos y consecuencias de ciberataques, así como también las coberturas de seguros existentes en Argentina contra este riesgo.
Escribe Dra. Gabriela Álvarez
Internet
Desde 1983, año que se marca como el nacimiento de Internet, hasta nuestros días, son innumerables los cambios que se han producido, no solo en nuestra forma de vida, sino también en la manera de relacionarnos, en la forma de trabajo, en la medida del acceso a la información que es de nuestro interés. Miles de negocios han desaparecido y miles también se han creado nuevos, a partir de esta herramienta que implicó una verdadera revolución.
Internet ha traído a nuestras vidas elementos que antes parecían imposibles, innumerables beneficios, la posibilidad de estar conectados las 24 horas los 365 días del año sin importar la distancia que nos separe, el home working que antes parecía impensado, el acceso a la información que necesitamos en cualquier momento del día, la posibilidad de comprar y realizar operaciones sin moverse de casa, la cuasi eliminación del papel reemplazándolo por medios digitales, entre otros millones de beneficios. Pero como no todo es color de rosa, también ha traído la posibilidad de causar enormes males, cuando su uso no es realizado por personas bienintencionadas.
Ciberataques
Con el uso diario y permanente de dispositivos que tanto empresas como individuos llevamos a cabo conectados a la red, brindando constantemente datos personales, todos estamos expuestos a riesgos que pueden afectar no solo nuestra identidad personal, la reputaciones tanto de personas como de empresas, sino también en aquellos casos de gravedad, pueden significar la interrupción del negocio, con los daños inimaginables que ello puede provocar si hablamos de grandes empresas que cuentan con millones de datos personales de clientes que comenzarán a circular por la web. Estos ataques a la privacidad de individuos o empresas, es lo que se conoce con el nombre de Ciberataque o ataque informático. Podemos definirlo como cualquier maniobra ofensiva que tiene como objetivo tomar el control, desestabilizar o dañar un sistema informático (ya sea computadora, red privada, etc.). Este tipo de ataques tiende a vulnerar sistemas de información, tales como infraestructuras, redes computacionales, bases de datos albergadas en servidores remotos, entre otros, y provienen de fuentes anónimas que roban, alteran o destruyen un blanco específico mediante el hackeo de un sistema vulnerable.
Cuando hablamos de ciberataques imaginamos que estamos viendo una tira cinematográfica de Estados Unidos, pero si vamos a la realidad, estos ataques nos tocan muy de cerca y son muchísimo más comunes de lo que imaginamos. La Argentina es uno de los diez países desde el cual se lanzaron más ataques hacia Latinoamérica durante el segundo trimestre del año 2019, dirigidos principalmente hacia empresas de telecomunicaciones y proveedores de internet, por resultar más interesantes al contar con enormes bancos de datos personales almacenados. Es que las redes y la web están colmadas de datos sobre individuos y empresas de todo tipo, desde datos sensibles y personales, como información bancaria, datos de tarjetas de crédito, domicilios, contactos, hasta comportamientos sociales, como intereses, gustos, elecciones, lugares frecuentados, amistades, y también datos de accesos a diferentes redes sociales, correos electrónicos, páginas web bancarias, de compras, entre otras.
Los ataques cibernéticos son hoy en día el principal riesgo externo al que se enfrentan las empresas a nivel mundial, no solo por los inconvenientes propios que su ocurrencia acarrea, al introducirse en el sistema de la empresa, robar datos, bloquear el acceso al sistema o programa, sino por las pérdidas millonarias que un eventual ataque provocaría en la empresa, tanto en lo que hace a la interrupción del negocio, como en la reputación de la misma, como así también en los terceros involucrados en la ventilación de sus datos personales.
Pueden ser realizados con gran facilidad, debido a la vulnerabilidad de los sistemas informáticos, el avance en el conocimiento de los hackers y la casi inevitable posibilidad del anonimato de su autor.
Básicamente, los principales canales por los que ingresa un ataque informático son:
• Empleados infieles que ventilan información.
• Hackers que vulneran las medidas de seguridad de las empresas.
• Error humano que causa la filtración del código malicioso.
Principales Ejemplos de Ataques Cibernéticos
Para que tengamos una idea del alcance que estos ataques cibernéticos pueden causar, existen dos ejemplos que son claves a la hora de analizar las consecuencias de los mismos.
RANSOMWARE WANNA CRY (MAYO 2017)
Un ransomware es un tipo de programa dañino que restringe el acceso a determinadas partes o archivos del sistema infectado, y pide un rescate a cambio de quitar esta restricción. ?Algunos tipos de ransomware cifran los archivos del sistema operativo inutilizando el dispositivo y coaccionando al usuario a pagar el rescate. El atacante camufla el código malicioso dentro de otro archivo o programa apetecible para el usuario que invite a hacer clic. Algunos ejemplos de estos camuflajes serían:
• Archivos adjuntos en correos electrónicos.
• Videos de páginas de dudoso origen.
• Actualizaciones de sistemas.
• Programas, en principio, fiables como Windows o Adobe Flash.
Luego, una vez que ha penetrado en el ordenador, el ransomware se activa y provoca el bloqueo de todo el sistema operativo, lanza el mensaje de advertencia con la amenaza y el importe del rescate que se ha de pagar para recuperar toda la información. Además, en ocasiones incluyen en la amenaza la dirección IP, la compañía proveedora de Internet y hasta una fotografía captada desde la cámara web. Este virus provocó el cifrado de datos en más de 75 mil ordenadores por todo el mundo afectando, entre otros, a:
• Rusia: red semafórica, metro e incluso el Ministerio del Interior;
• Reino Unido: gran parte de los centros hospitalarios;
• Estados Unidos;
• España: empresas tales como Telefónica, Gas Natural e Iberdrola.
El rescate exigido consistía en un pago de 300 dólares en bitcoins a cambio de descifrar los archivos.
MALWARE NOT PETYA (JUNIO 2017)
M.E.Doc es un popular programa de contabilidad en Ucrania. Todo empezó cuando los servidores dedicados a actualizar el programa fueron comprometidos por un hacker desconocido que insertó un ejecutable de una nueva versión del programa que en realidad incluía el virus en su interior. En cuanto los primeros clientes descargaron la actualización y la instalaron, fueron infectados. A partir de ahí, el programa se expandió por las redes privadas de cada empresa. Una vez en el sistema, NotPetya se comporta cifrando la tabla de particiones para que el usuario no pueda acceder a los archivos; el sistema deja de responder, y sólo muestra una pantalla negra con letras en rojo con un mensaje en el que se pide el ingreso de 300 dólares en bitcoin a una dirección concreta.
Afectó a 65 países de todo el mundo y más de 2000 organizaciones. Ucrania lo declaró como el peor ciberataque en su historia.
Principales consecuencias de los Ataques Informáticos
Los ataques informáticos pueden tener dos tipos de consecuencias, las llamadas menores o triviales y las llamadas severas o mayores.
Dentro de los daños menores, suelen incluirse aquellos ataques a pequeñas computadoras personales, que no causan mucho daño más que la imposibilidad de ejecutar algunas aplicaciones, tales como los virus o la eliminación de información.
Los daños mayores o severos son aquellos que generan pérdidas totales de información como el borrado de discos duros, robo de datos personales de clientes que pueden implicar para la empresa daños millonarios.
Imaginemos que un ataque de esta envergadura puede provocar la interrupción del negocio por imposibilidad de acceder al sistema y evitar la infección de más aplicaciones, la pérdida de la reputación de una empresa de cara a sus clientes y enormes daños a las personas de las cuales se obtuvo la información, que puede hasta ser divulgada en medios de comunicación y redes sociales, con todo lo que ello implica.
Coberturas de Seguros contra Ciberataques en Argentina
La cobertura de riesgos de Ciberataques en Argentina ha sido ampliamente analizada y estudiada por la Superintendencia de Seguros de la Nación. Si bien los ataques ocurridos en el resto del mundo fueron en gran parte el motor que generó la conciencia y la necesidad de contar con una cobertura de este tipo en nuestro país, lo cierto es que al no ser obligatorio en nuestra legislación la denuncia de este tipo de ataques, son pocos los casos que se conocen y que toman relevancia, lo cual no implica que sean pocos los casos ocurridos, sino todo lo contrario. Se estima que un 60% de las empresas en Argentina sufrió algún tipo de incidente relacionado con la seguridad informática. En otros países, la legislación fue la causa directa del crecimiento de estos seguros al instalar una normativa que endurece la protección de los datos personales por parte de las empresas, obligándolas por un lado a preservar la información y tener los controles adecuados y, por otro, a reportar las violaciones de seguridad que puedan afectar a terceros.
Actualmente, en Argentina existen cuatro compañías aseguradoras que brindan la cobertura de seguros contra ciberriesgos. Dichas coberturas apuntan directamente a cubrir a la empresa contra tres tipos de daños:
• Interrupción del negocio: hace referencia a la necesidad en la que se ve envuelta la empresa afectada de detener su actividad, debido a la imposibilidad de acceso a sus archivos encriptados en el ataque, y la necesidad de frenar su propagación hacia el resto de la red. Este riesgo es fácilmente asegurable, puesto que los días que una empresa dejó de trabajar por el ataque cibernético, son fácilmente cuantificables.
• Reputación: esta afectación se da más visiblemente en empresas que basan la matriz de su negocio en el secreto de los datos de sus clientes, tales como entidades bancarias, donde si un virus robara su información y luego ese hecho fuera recogido por diversos medios de comunicación, la confianza en esa empresa se vería sumamente afectada. Es un riesgo difícil de cuantificar y para su análisis se requiere seguramente de un perito especializado. La viralización de datos personales provoca una pérdida de confianza en la empresa por parte de sus clientes.
• Responsabilidad Civil: hace referencia a los daños provocados a los terceros cuyos datos personales fueron ventilados como consecuencia del ataque.
Daños cubiertos en Argentina
Como mencionamos anteriormente, en Argentina existen cuatro aseguradoras que cubren este riesgo y básicamente los riesgos cubiertos incluyen:
• Daño Propio: apunta a las afectaciones que sufre el asegurado como consecuencia del ataque, como gastos por recuperación de la información digital, lucro cesante por interrupción de la actividad empresarial, extorsión cibernética, pérdidas financieras.
• Daños a Terceros: incluye los daños sufridos por los terceros a raíz de la divulgación de sus datos personales provocada por el ataque, como así también, la infección de sus sistemas a partir de un ataque del asegurado. Incluye la responsabilidad por violación de información confidencial o datos personales, responsabilidad por software malicioso o virus informático, publicación en medios digitales, gastos judiciales y de defensa.
• Reputación: apunta a cubrir los gastos en que incurre el asegurado para la contención y remediación del evento, manejo de crisis, gastos forenses, de defensa y contratación de expertos en relaciones públicas, liquidadores especialistas.
Algunas compañías como cobertura adicional a las mencionadas, brindan un servicio de asistencia 24×7, a los fines de solicitar por parte del asegurado asistencia ante la ocurrencia de un siniestro, tratando de esta forma de convertirse en una cobertura integral para el asegurado.