Los ciberataques se han convertido en una de las vías más lucrativas para los delincuentes debido en parte al cambio en los hábitos de compra. Si bien el número de ataques y los daños causados han aumentado constantemente, los tipos de ataques cibernéticos han cambiado drásticamente en los últimos cinco años.

Así, en su undécima edición, el ENISA Threat Landscape (ETL) ha identificado como denominador común entre las principales tendencias observadas en los actores de dichas amenazas y sus técnicas de ataque, el ransomware, el malware, la ingeniería social, amenazas contra la confidencialidad de datos, amenazas contra la disponibilidad de los servicios y de las comunicaciones electrónicas, manipulación de la información y ataques a la cadena de suministro.

Más de 10.000 millones de dólares en pérdidas

Sin embargo, tal y como explican desde Armatum, la plataforma del grupo ABAI para la cuantificación económica del impacto por ciberincidentes, existen amenazas como el uso no autorizado de recursos o abuso de sistemas, infracciones a la Ley de Propiedad Intelectual, el fraude interno y el fraude a clientes que no suelen verse reflejados en estas clasificaciones, pero que suponen ilícitos tipificados. Este tipo de amenazas necesitan los sistemas de información como medio para la comisión de sus respectivos delitos que, cuando se concretan en un incidente, suponen un importante impacto negativo para el negocio.

De hecho, tal y como afirman desde KPMG, las pérdidas por fraude notificadas en 2023 ascendieron a más de 10.000 millones de dólares. Esta cifra representa un aumento de casi el 14% con respecto al año anterior. En España, el 38,6% confiesa haber sido víctima de algún tipo de fraude dos o más veces. Sin embargo, en un contexto donde la mayoría de los fraudes permanecen en el anonimato, y solo una pequeña fracción de aquellos que salen a la luz tienen repercusión pública, el 90% de los españoles considera que empresas y AAPP no hacen lo suficiente para protegerles del fraude digital, según pone de manifiesto el estudio ‘Faces of Fraud’, elaborado por SAS.

Pérdidas no solo económicas

“Cualquier fraude digital conlleva pérdidas primarias y pérdidas secundarias. Con Armatum podemos identificarlas, clasificarlas y cuantificarlas económicamente. Entre las pérdidas primarias no solo debemos cuantificar las de tipo económico como la restitución de lo estafado, sino otros costes asociados al análisis forense del incidente, incumplimiento de acuerdos de nivel de servicio, etc. Entre las pérdidas secundarias, es decir, aquellas ocasionadas por terceros, encontramos por ejemplo los costes por servicios de monitorización de crédito, reclamaciones por daños y perjuicios, multas o sanciones si ha mediado negligencia en la gestión de la seguridad, pérdida de posicionamiento comercial en el mercado, devaluación del valor en bolsa y, por supuesto, pérdida de reputación.”, comenta Manuel Carpio, director de ciberseguridad de Armatum.

El robo de datos, la actividad delictiva más habitual

En un contexto donde la más habitual de las actividades delictivas es el robo de datos, Armatum utiliza una IA específicamente para recabar, investigar y derivar los datos estadísticos sobre incidentes, en cada país, y por cada sector de actividad, las 24 horas del día y los 365 días del año.

A partir de este análisis, han identificado los canales más utilizados para cometer fraude digital:

Redes sociales de citas

Que son utilizadas como medio para contactar con la víctima, y que pueden tener diversos desenlaces en su perjuicio, entre otros la estafa, el robo de dinero o de información, la intermediación en otras operaciones delictivas, etc.

Redes de mensajería instantánea

Como por ejemplo Whatsapp, que se utilizan para distribuir los enlaces fraudulentos o la información bancaria para el pago del supuesto servicio, de forma paralela a la plataforma donde se anuncian dichos servicios.

Correo electrónico

Sigue siendo un canal típico para el envío de intentos de phishing, aunque se observa una disminución otras casuísticas como las cartas nigerianas o el fraude del CEO.

El teléfono

Mediante ataques de ingeniería social que, a través de una llamada, en la que se suplanta la identidad de una empresa, organización o persona de confianza, con el fin de obtener información personal y sensible de la víctima.

“Es casi seguro que la Inteligencia Artificial aumentará el volumen y el impacto de los ciberataques en los próximos dos años. Contra la velocidad de los ataques que dirigen las Inteligencias Artificiales malintencionadas solo serán eficaces aquellos sistemas automatizados de detección, contención y respuesta, que sean igual o más veloces. Esto se facilitará con la sustitución del factor humano por Inteligencia Artificial en el triaje de alertas y caracterización de amenazas en Nivel 1, y también como ayuda en niveles superiores de respuesta del centro de operaciones de seguridad (SOC)”, analiza Carpio.