Batalla contra la ciberdelincuencia

El mercado de los ciberseguros rondaba los US$13.000 millones en 2023 -casi el doble de los US$7.000 millones de 2020. Este crecimiento no muestra signos de desaceleración. Se prevé un crecimiento de hasta US$22.500 millones para 2025. Si bien un mercado en expansión puede parecer positivo, este crecimiento está fuertemente impulsado por un aumento en la frecuencia y en la gravedad de los delitos cibernéticos.

Según el último informe del FBI sobre delitos en Internet, el año pasado las empresas y los particulares estadounidenses perdieron más de USD12.500 millones a causa de los ciberataques, lo que supone un crecimiento interanual constante del 22%. Esta cifra puede parecer relativamente insignificante, sin embargo, no representa más que a un derivado de las pérdidas monetarias directas declaradas a partir de las denuncias recibidas por el Centro de Denuncias de Delitos en Internet (IC3) del FBI en 2023.

La mayor parte de las organizaciones y de los  individuos no denuncian los ciberincidentes a las fuerzas de seguridad por un conjunto de buenas y de malas razones, que van desde la preocupación por la reputación hasta la pérdida de confianza en la capacidad real de las fuerzas de seguridad en la identificación y en la persecución de los delincuentes cibernéticos. .

Cabe destacar que para las organizaciones y para empresas que an sido victimas de un ciberataque, el ocultamiento de la violación de datos puede resultar una idea muy e costosa: la pronta denuncia al FBI y la posterior colaboración con las autoridades competentes puede servir de escudo en eventuales investigaciones reguladoras, e incluso en la defensa de demandas privadas y de acciones colectivas.

Volviendo a las cifras, recopilando todos los incidentes cibernéticos a partir de 2023 -denunciados o no- y añadiendo a la fórmula de cálculo de daños una paleta completa de pérdidas indirectas, como la depreciación de la propiedad intelectual robada o el daño causado al valor de la marca, esta cifra está a punto de multiplicarse por diez en el escenario más conservador.

Por el momento, mientras todas los sectores del gobierno estadounidense se esfuerzan e la supresión del vertiginoso aumento de la ciberdelincuencia, los piratas cibernéticos prevalecen en la espiral de la batalla. Este artículo explicará brevemente la situación actual del sector de los delitos cibernéticos y arrojará algo de luz sobre 5 de las  causas fundamentales de su asombroso éxito, que puede parecer imposible de detener..

1. La ciberdelincuencia moderna es una industria madura y extraordinariamente bien organizada, con una división eficaz del trabajo. A diferencia de la mayor parte de las nuevas empresas de ciberseguridad, respaldadas por inversores de riesgo con mucho dinero y dispuestos a asumir riesgos, las bandas de ciberdelincuentes se permiten perder dinero en un crecimiento poco rentable o en experimentos inciertos, viéndose obligadas a alcanzar el punto de equilibrio desde el primer día o a hundirse en el olvido.
   Los ciberdelincuentes convergen hacia una eficiente segmentación del mercado y hacia una estrecha especialización de gran eficacia. Por ejemplo, los ataques de ransomware -aunque la responsabilidad última recaiga en un único ciberdelincuente- suelen basarse en una colaboración bien pensada entre varios grupos de delincuentes informáticos, que actúan en perfecta coordinación y sinergia.
   Por ejemplo, las campañas iniciales de phishing o el ataque masivo a sitios web populares, para alojar malware e infectar a las víctimas, fueron llevadas a cabo por un grupo con un dominio ingenioso de todos los procesos subyacentes. Sin embargo, el propio malware probablemente procedía de otro grupo, con años de experiencia y de conocimientos de primera categoría en la investigación y en la explotación de vulnerabilidades.
   En cuanto al ransomware -que se instala en los dispositivos comprometidos con la explosión exitosa una vulnerabilidad conocida pero no parcheada o una de las denominadas «de día cero» a través del malware  -, suele proceder de otro grupo, experto en la creación de ransomware, que incluye la evasión de los controles de seguridad del sistema operativo (SO), la exfiltración sigilosa de datos, el posterior cifrado de los datos de las víctimas y la gestión de la clave de descifrado.
   Ocasionalmente, las comunicaciones con las víctimas son gestionadas por otro grupo independiente, que actúa como proveedor de servicios para otras bandas, con avanzadas habilidades de negociación y  gran fluidez en el idioma de la víctima, ya sea francés o japonés.
   Por último, el blanqueo del rescate, que suele pagarse en criptomonedas cas irrastreables, corre a cargo de otro grupo experto en esquemas de evasión del blanqueo de capitales (AML) y en técnicas de cobro. Paradigmáticamente, cada actor de este sindicato de ciberdelincuentes impecablemente orquestado perfecciona continuamente sus habilidades, obteniendo el mejor rendimiento posible de la inversión (ROI) a través de una especialización especialmente enfocada.

   Dicho esto, algunas bandas de ciberdelincuentes han crecido hasta el punto de poder gestionar internamente casi toda la cadena del cibercrimen, si bien son una excepción a la regla en el mercado granular  de la ciberdelincuencia.

2. A pesar de los impresionantes avances de las fuerzas de seguridad en la colaboración transfronteriza en el combate de la ciberdelincuencia internacional, la batalla se asemeja más a una lucha contra la hidra inmortal de la leyenda griega: una vez cortada una cabeza, surgen dos nuevas.
   Tras varias detenciones, deportaciones y acusaciones de alto nivel a líderes de la ciberdelincuencia, que viajaban despreocupadamente por países occidentales derrochando dinero y disfrutando de todas las comodidades de la vida, los atacantes se convirtieron en personas  prudentes, e, incluso, paranoicas en sus hábitos para evitar las detenciones.
   Adicionalmente, la crisis geopolítica actual y los conflictos armados en todo el mundo, provocan la imposibilidad fáctica de colaboración judicial entre muchos países, incluyendo a algunos aliados antiguos. No obstante y previamente, algunas jurisdicciones fueron injustamente selectivas en sus esfuerzos de colaboración policial transfronteriza, prefiriendo la elección de sus socios extranjeros.
   Resulta impactante que el Convenio de Budapest sobre la Ciberdelincuencia -el tratado internacional más importante destinado a la investigación, a la persecución y al castigo eficaz de la  ciberdelincuencia multijurisdiccional- solo haya sido firmado por 72 países en mayo de 2024.
   Otros países, cuya participación es crucial para el funcionamiento fluido y eficiente del convenio -incluidos China, India y Rusia, entre otros- aún no lo han firmado. Cabe destacar que el Segundo Protocolo del Convenio, diseñado para la mejora de las investigaciones transfronterizas y de la recopilación sin trabas de pruebas digitales en el extranjero, sólo haya sido firmado por 43 países.
   En última instancia, algunos países se convirtieron en refugios seguros para los ciberdelincuentes leales a sus gobiernos, contando con una impunidad virtual al no poder ser procesados ni extraditados en sus Estados de origen. Cabe mencionar que, a pesar de los  progresos tangibles  realizados por los legisladores y por los jueces durante los últimos años, la ciberdelincuencia es castigada con gran indulgencia, socavando el efecto disuasorio del castigo.
   Por ejemplo, el robo de USD93 millones a través de un ciberataque puede resultar en  9 años de cárcel, provocando, paralelamente, una avalancha de comentarios de la defensa sobre el castigo excesivamente severo y desproporcionadamente duro para ese tipo de delito. Mientras que una apropiación indebida de la misma cantidad en un esquema clásico de fraude de guante blanco puede resultar en varias décadas de prisión.

3. Las fuerzas del orden se ven superadas por los ciberdelincuentes y sobrecargadas por el número creciente de casos complejos. Según el director del FBI, Christopher Wray, los hackers procedentes únicamente de China, superan en número a todos los ciberagentes del FBI en una proporción de al menos 50 a 1.
   El estado actual del capital humano en las agencias policiales occidentales, incluidas algunas de las más poderosas como el FBI, es poco envidiable. Las agencias deben competir por el escaso talento cibernético con el acaudalado sector privado, que puede ofrecer un salario considerablemente mejor, un trabajo menos estresante y muchas otras ventajas de las que no disponen los agentes federales.
   La situación en los países en desarrollo es mucho peor, ya que los estados más pobres simplemente no cuentan con los recursos para la investigación de los delitos digitales, salvo aquellos más dañinos o más devastadores (con poco o con ningún éxito).
   La retención de los cibertalentos es otra tarea compleja: no son pocos los jóvenes profesionales que empiezan a trabajar arduamente por un sueldo comparativamente modesto para un gobierno, para luego incorporarse al sector privado con un excelente currículum y un salario que ninguna agencia estatal puede permitirse pagar.

4. La industria de la ciberdelincuencia ofrece oportunidades mucho más atractivas a los recién llegados, desde estudiantes universitarios de primer año hasta empleados de primer año en la industria de la ciberseguridad. Incluso sin conocimientos técnicos avanzados, trabajar para una banda de delincuentes cibernéticos se traduce en una cantidad equiparable a un salario mensual ganado legalmente, en sólo un par de días, especialmente para aquellos reclutados en países en desarrollo.
   Los cibercriminales profesionales y las ciberbandas organizadas ofrecen planes de compensación sumamente atractivos, que pueden incluir, por ejemplo, primas por cada víctima comprometida, adicionalmente a bonificaciones especiales para aquellos con mejor desempeño.
   Lamentablemente, pocos empleadores de sectores económicos legales pueden ofrecer condiciones similares. Peor aún, los miembros de las bandas recién reclutados ven y admiran el lujo en el estilo de vida de sus jefes, que compran automóviles de alta gama y/o jets privados. Pocos profesionales de la ciberseguridad -incluyendo a los ejecutivos y a los expertos de alto nivel- podrán aspirar a conseguir un estilo de vida similar, incluso con sus salarios altamente competitivos.
   Otra faceta oscura es que, una vez convertido en ciberdelincuente, la salida es muy dificultosa. Cuanto más tiempo se permanece en este negocio, más onerosa resulta la salida. La integración en la sociedad civil y la vuelta a un estilo de vida legal son complejas desde el punto de vista emocional.. Para profundizar aún más este dilema, los cómplices ejercen una fuerte presión sobre quienes deseen abandonar el negocio, mediante, entre otras cosas, amenazas de denunciarlos a las fuerzas del orden.
   Para los delincuentes jóvenes, esto es problemático, ya que suelen contar con un acceso muy  limitado a cualquier información «corporativa» incriminatoria, incluidas las identidades de los jerarcas, mientras que revelan imprudentemente casi todo sobre sí mismos.
   Ante encontrarse entre la espada y la pared, gran parte  preferirá quedarse y continuar recibiendo una remuneración decente, no pagar impuestos y disfrutar de la sensación adictiva, aunque tóxica y autodestructiva, de estar por encima de la ley.

5.  Las nuevas generaciones de profesionales de la ciberseguridad se ven indirectamente afectadas por una educación insuficiente y deficiente y por la falta de concientización sobre los peligros de pasar al lado de la ilegalidad.
   No existe una formación similar en la mayoría de los programas de ciberseguridad de grado y/o de posgrado.
   En consecuencia, los jóvenes profesionales de la ciberseguridad adquieren valiosos conocimientos técnicos sobre las formas en que se pueden atacar y defender los sistemas informáticos modernos, casi no recibiendo formación sobre los riesgos, sobre los deberes y sobre las responsabilidades concomitantes. La industria de la cinematografía exalta y glorifica a los hackers como héroes contemporáneos omniscientes y omnipotentes, aunque éstos se encuentren en la ilegalidad o trabajen para entidades cuestionables. Como resultado, los jóvenes profesionales desorientados e inconscientes toman la decisión equivocada, de la que se arrepentirán el resto de sus vidas.

En conclusión, conviene recordar que ganar una batalla no significa necesariamente ganar una guerra. Las fuerzas del orden cuentan con todas las herramientas para el éxito en la imposición en esta guerra y en la detención de la proliferación de la ciberdelincuencia.A modo de ayuda, los gobiernos y los legisladores deberían concentrarse urgentemente en 3 tareas fundamentales.

FUENTE: www.propertycasualty360.com