Ciberfraude cuesta $1 billón en Colombia

Luis Garzón, administrador de cuentas de seguridad de Cisco, habla con El Espectador sobre los efectos del ciberfraude en el país, una problemática que ya está generando pérdidas por $1 billón. Sin embargo, el directivo asegura que la regulación sigue siendo muy blanda para atacar este flagelo.

Cisco habla de $1 billón en pérdidas. ¿Quiénes son el blanco y cuáles son los principales ataques?

La operación digital aumenta cada vez más y las personas dependen más de un elemento digital para su diario vivir, y eso lo aprovechan los criminales. Ya no hablamos tanto de hackers, porque hoy en el país hay bandas organizadas de ciberterrorisimo o ciberdelincuencia cuyo objetivo es el fraude electrónico a través de robo de información confidencial que luego se vende en la internet oscura. Esas pérdidas son estimadas. Muy poca gente sale en el país a hablar de los inconvenientes, porque no tenemos una regulación fuerte en el momento de emitir incidentes de seguridad. Tenemos una ley de delitos informáticos, pero tiene injerencia en el momento en que alguien hace la denuncia, y nadie obliga a que la denuncia se haga. Si una compañía tiene pérdidas por su operación digital queda a su juicio decidir si busca ayuda o si se queda callada y las asume.

Entonces, ¿hacia dónde debería ir la legislación?

La regulación debe estar basada en salvaguardar la infraestructura crítica del país y las personas, aquellos procesos que afectan la vida diaria, y basados en ello debemos tener algo más proactivo para que no sólo se sancione la acción sino que se prevenga el delito. Lo principal es que las personas sepan de esto y que a través de conductos regulares puedan exponer la situación para que al menos se les guarde su reputación, que se sientan acompañadas por alguien y que busquen alternativas de prevención ante esos incidentes. Así como en seguridad se hacen campañas contra el hurto, como no utilizar el celular en la calle y demás, así también podría ser en seguridad informática con énfasis en que el escalón más débil en la cadena es la persona. Sería interesante que las mismas compañías puedan hablar de sus problemas, porque las organizaciones, por ejemplo un banco, lo primero que dicen es: “Si hablo, mis usuarios no me van a usar y voy a tener pérdidas económicas”.

¿Cuánto afecta a las empresas y cuánto a las personas naturales?

Hemos detectado que hay cibercriminales para todo, desde el usuario final, porque es el que menos tiene una conciencia de seguridad digital. Los afecta la clonación de usuarios, extorsión de información en redes sociales y que luego utilicen esa información para hacer un ataque dirigido, y las organizaciones privadas se ven afectadas por usuarios internos y externos. En la parte interna de las empresas han tomado incidencia asuntos como despidos masivos, de cultura laboral, y eso ha generado mucho ataque a la infraestructura de esas organizaciones.

Habla de extorsión por información (“ransomware”) y que los rescates se pagan en bitcoin (moneda virtual). ¿Qué tan popular se está volviendo el “ransomware”, teniendo en cuenta que la moneda por lo menos no lo es?

Muy popular. El tema de bitcoin es un tema de internet, aplica para todo el mundo. Sí se ha visto en los últimos meses actividad de este tipo de código malicioso y las personas caen inocentemente.

¿Cómo es esa modalidad?

Atrapan la información de un equipo a través de mensajes extraños, al abrir información que, por más bonita que se vea, no se debe hacer clic. Hay que pagar por la liberación de la información, pero nadie asegura que pagando la determinada cantidad de bitcoin vayan a liberar la información. Hay que poner en tela de duda la información que nos entra en internet. Lo importante es tener un sistema que nos ayude a prevenir el acceso a esos sitios, a través de las herramientas tradicionales del PC o de terceros. La persona tiene que ser consciente de que el computador por sí solo no es seguro.

Ustedes creen que hay consideraciones de ciberseguridad de cara al posconflicto. ¿A qué se refieren?

El posconflicto generará nuevas amenazas basadas en esos hechos sociales, habrá personas que querrán afectar el proceso de manera digital, que quieren apoyarlo y hacer campañas digitales, pero detrás de eso habrá códigos maliciosos para la información.

Una baja bancarización en el país puede llevar a pensar que estamos menos expuestos a ciberataques en ese sector. ¿Por qué ustedes dicen lo contrario?

La banca colombiana quiere tener un modelo cada vez más digital que físico. Nuestra cultura es todavía escasa en cuanto a tener un banco como entidad confiable para depositar dinero. Así que todas esas modalidades que la banca quiere tener a nivel de movilidad conllevan un riesgo en el sentido de que la operación digital se abre y los controles de seguridad muchas veces quedan como lo último por hacer.

¿Las pymes se están protegiendo, las están atacando?

Tienen algo más de conciencia porque los proveedores de servicios, aparte de dar la conectividad en su red, proporcionan muchos servicios de seguridad. Ellos pasaron a ser el departamento de tecnología de muchas empresas, en el cual depositan la confianza para que siga el negocio.

Participaron en la construcción del nuevo Conpes de seguridad digital. ¿Qué opinan?

Es un gran paso que dio el Gobierno. Venimos participando activamente. Tiene una gran inversión en la conciencia de la operación digital del país, que toda la infraestructura crítica está montada sobre sistemas de operación digital que como país debemos salvaguardar. Se habla mucho de prevención, detección y de automatizar procesos para que la industria no esté expuesta a los riesgos de la masificación de internet. Por ejemplo, buena parte del sector petrolero está basada en sistemas de operación digital. Si alguien quisiera afectar el país haría un ataque cibernético allí y nos dejaría muy mal.

Al Conpes se le criticó por quizá quedarse corto en una visión de derechos humanos y de defender al ciudadano de acciones abusivas por parte del Estado…

Son temas muy de postura política y no entramos en ese detalle. Ayudamos a las entidades de Gobierno para que funcionen mejor. Qué hacen luego con eso, ya es decisión de cada una.