El número de ciberataques y los daños causados han aumentado constantemente, pero los tipos de ataques cibernéticos han cambiado drásticamente en los últimos cinco años. Así, en su undécima edición, el ENISA Threat Landscape (ETL) ha identificado como denominador común entre las principales tendencias observadas en los actores de dichas amenazas y sus técnicas de ataque, el ransomware, el malware, la ingeniería social, amenazas contra la confidencialidad de datos, amenazas contra la disponibilidad de los servicios y de las comunicaciones electrónicas, manipulación de la información y ataques a la cadena de suministro.
Sin embargo, tal y como explican desde Armatum, existen amenazas como el uso no autorizado de recursos o abuso de sistemas, infracciones a la Ley de Propiedad Intelectual, el fraude interno y el fraude a clientes que no suelen verse reflejados en estas clasificaciones pero suponen ilícitos tipificados y necesitan los sistemas de información como medio para la comisión de sus respectivos delitos que, cuando se concretan en un incidente, suponen un importante impacto negativo para el negocio. Según KPMG, las pérdidas por fraude notificadas en 2023 ascendieron a más de 10.000 millones de dólares, lo que representa un aumento de casi el 14% con respecto a las pérdidas por fraude notificadas en 2022.
En España, el 38,6% confiesa haber sido víctima de algún tipo de fraude dos o más veces. Sin embargo, en un contexto donde la mayoría de los fraudes permanecen en el anonimato, y solo una pequeña fracción de aquellos que salen a la luz tiene repercusión pública, el 90% de los españoles considera que empresas y AAPP no hacen lo suficiente para protegerles del fraude digital, según pone de manifiesto el estudio ‘Faces of Fraud’, elaborado por SAS.
“Cualquier fraude digital conlleva pérdidas primarias y pérdidas secundarias. Con Armatum podemos identificarlas, clasificarlas y cuantificarlas económicamente. Entre las pérdidas primarias, aquellas producidas directamente a la víctima por el agente de la amenaza, no solo debemos cuantificar las de tipo económico como la restitución de lo estafado, sino otros costes asociados al análisis forense del incidente, incumplimiento de acuerdos de nivel de servicio, etc. Entre las pérdidas secundarias, es decir, aquellas ocasionadas por terceros, encontramos por ejemplo los costes por servicios de monitorización de crédito, reclamaciones por daños y perjuicios, multas o sanciones si ha mediado negligencia en la gestión de la seguridad, pérdida de posicionamiento comercial en el mercado, devaluación del valor en bolsa y, por supuesto, pérdida de reputación”, comenta Manuel Carpio, director de ciberseguridad de Armatum.
El robo de datos, la actividad delictiva más habitual
En un contexto donde la más habitual de las actividades delictivas es el robo de datos, seguida por el robo de contraseñas, la suplantación de identidad en la contratación de servicios, las estafas y los secuestros digitales, Armatum utiliza una IA específicamente para recabar, investigar y derivar los datos estadísticos sobre incidentes, en cada país, y por cada sector de actividad, las 24 horas del día y los 365 días del año. A partir de este análisis, han identificado los canales más utilizados para cometer fraude digital:
Las redes sociales de citas, que son utilizadas como medio para contactar con la víctima, y que pueden tener diversos desenlaces en su perjuicio, entre otros la estafa, el robo de dinero o de información, la intermediación en otras operaciones delictivas, etc.
Las redes de mensajería instantánea como Whatsapp, que se utilizan para distribuir los enlaces fraudulentos o la información bancaria para el pago del supuesto servicio, de forma paralela a la plataforma donde se anuncian dichos servicios. El correo electrónico sigue siendo un canal típico para el envío de intentos de phishing, aunque se observa una disminución otras casuísticas como las cartas nigerianas o el fraude del CEO.
El teléfono, mediante ataques de ingeniería social que, a través de una llamada, en la que se suplanta la identidad de una empresa, organización o persona de confianza, con el fin de obtener información personal y sensible de la víctima. “Es casi seguro que la Inteligencia Artificial aumentará el volumen y el impacto de los ciberataques en los próximos dos años. Contra la velocidad de los ataques dirigidos por Inteligencias Artificiales malintencionadas solo serán eficaces aquellos sistemas automatizados de detección, contención y respuesta, que sean igual o más veloces. Esto se facilitará con la sustitución del factor humano por Inteligencia Artificial en el triaje de alertas y caracterización de amenazas en Nivel 1, y también como ayuda en niveles superiores de respuesta del centro de operaciones de seguridad (SOC)”, analiza Carpio.
