De acuerdo con Proofpoint, las tendencias en ransomware y phishing demuestran la necesidad de formar a los empleados en ciberseguridad

La compañía de ciberseguridad y cumplimiento normativo ha analizado a más de 3.500 usuarios en países como Alemania, Australia, España, Estados Unidos, Francia, Japón y Reino Unido. Enfocándonos en España, al menos 87% de las empresas se vieron obligadas a trabajar de manera remota, pero tan sólo 36% de ellas, capacitaron a sus empleados para hacerlo de forma segura. Las empresas españolas son las menos dispuestas a pagar rescate de data a los ciberdelicuentes en caso de ser víctimas de ransomware.

Proofpoint, empresa líder en ciberseguridad y cumplimiento normativo, ha hecho público su séptimo informe anual State of the Phish, en donde analiza a las organizaciones y sus experiencias frente a casos de phishing o ransomware, a la vez que busca concienciar sobre la vulnerabilidad de los usuarios frente a este tipo de amenazas y enseñarlos a resistir ante ellas. Más de 75% de los encuestados afirman que durante 2020, sus empresas sufrieron ataques de phishing, tanto exitosos como fallidos, mientras que el ransomware fue reportado por 66% de ellos.

En este último informe se han incorporado las opiniones de más de 600 profesionales expertos en seguridad tecnológica en países como Alemania, Australia, España, Estados Unidos, Francia, Japón y Reino Unido, reflejando variedad de datos sobre la situación de unos 3.500 empleados. De igual manera, el informe analiza los resultados de más de 60 millones de ataques de phishing simulados que fueron enviados durante un año, a profesionales por parte de los clientes corporativos de Proofpoint, al igual que las características de aproximadamente 15 millones de correos electrónicos que fueron reportados a través de PhishAlarm.      

De acuerdo con Fernando Anaya, Country Manager de Proofpoint, «en todo el mundo los ciberdelincuentes están atacando a personas a través de comunicaciones ágiles, relevantes y sofisticadas, manteniendo el correo electrónico como principal vector de ataque». También agregó que: «es fundamental para las organizaciones garantizar que sus usuarios sepan cómo detectar y reportar cualquier intento de ciberataque, especialmente aquellos empleados que trabajan en remoto desde entornos menos seguros. Pese a que algunas empresas imparten ya esta formación sobre seguridad a su plantilla, los datos de esta encuesta nos demuestran que la mayoría de empresas no está haciendo lo suficiente».

Asimismo, el informe State of the Phish hace énfasis en lo necesario que es adoptar un enfoque centrado en proteger a las personas en ambientes online, educarlas sobre lo rápido que evolucionan y mutan estos ataques y cómo han cambiado las organizaciones durante el recién finalizado 2020. Sobre este último punto, el estudio de Proofpoint da evidencia de la falta de formación de los usuarios ante amenazas cibernéticas. Es así como encontramos que 87% de la empresas en España se vieron obligadas a trabajar a distancia, pero solo 36% de ellas contaban con capacitación para hacerlo de manera segura.

«Estos datos sobre el teletrabajo en España son ciertamente reveladores. La mayoría de los profesionales de seguridad encuestados en España apoya un modelo de trabajo en remoto para al menos la mitad de la plantilla de su organización y, sin embargo, poco más de un tercio de esos empleados recibió formación específica en ciberseguridad relacionada con el teletrabajo. También nos hemos encontrado con que los trabajadores españoles utilizan sus dispositivos de trabajo para responder emails personales, buscar ofertas y comprar productos, entre otras prácticas, lo cual puede generar ciertos riesgos, de ahí que sea necesario reforzar iniciativas de formación adaptadas a empleados en remoto para concienciarles sobre las actuales amenazas”, opina Anaya.

El informe Proofpoint no cuenta únicamente con consejos prácticos sobre ciberseguridad, sino que aporta un análisis amplio sobre el phishing, con el objetivo de reducir la exposición de las empresas ante este tipo de ataques. Algunas de los datos obtenidos son las siguientes:

En 2020, los ataques de phishing fueron más exitosos que en 2019; su porcentaje se ubica en 57%, mientras que en el año anterior fue de 55%. La vía más usada para los ataques es el correo electrónico corporativo.

Más de la mitad de las empresas decidieron pagar el rescate con la esperanza de tener sus datos de vuelta. 60% recuperaron sus datos con el primer pago y 40% recibieron nuevas solicitudes de rescate; de este último porcentaje, 32% accedió a pagar las solicitudes adicionales, lo cual representa un aumento de 1.500% con respecto a 2019.

80% de las organizaciones encuestadas señalaron que la formación acerca de ciberseguridad influyó a la hora de reducir las posibilidades de ser víctimas de phishing. De cualquier manera, 98% de los profesionales en seguridad afirmaron que sus empresas cuentan con programas de concienciación en la materia, y que solo 64% ofrece cursos formativos formales y regulares.

Un promedio de 11% de los clientes corporativos de Proofpoint no superaron simulaciones de phishing, ubicándose un punto por debajo de lo que se ubicó durante 2019. Igualmente, los empleados son más proclives a reportar los correos, antes que responder o pinchar algún link que contengan los correos.

La industria manufacturera fue la más atacada durante 2020, de acuerdo al Proofpoint Threat Research. Fueron estas empresas las más activas para probar el comportamiento de los usuarios ante las amenazas. La incidencia general es de 11%; los equipos de compra fueron los de mejor promedio, con solo 7%, mientras que los profesionales de mantenimiento e instalaciones, fueron los de mayor incidencia, ubicándose en 15% y 17%, respectivamente.

Comportamiento de España y sus regiones en cuanto a prácticas y comportamientos en ciberseguridad

87% de las empresas españolas adoptó el trabajo a distancia, pero solo el 36% formó a sus trabajadores acerca de las mejores prácticas para un teletrabajo seguro.

66% de los  profesionales de seguridad de la información encuestados en España manifestaron que su organización sufrió infecciones por ransomware. Sin embargo, 41% de las empresas en España se negaron a pagar rescate para recuperar datos, convirtiéndolas en las menos predispuestas a negociar con ciberdelincuentes si se les compara con compañías en Australia (38%), Japón (36%), Francia (35%), Alemania y Reino Unido (ambas con un 31%), todas alejadas de Estados Unidos (10%).

22% de los empleados en España cree que sus organizaciones bloquean de manera automática corros maliciosos. Por otra parte, 64% sabe que es muy probable que los archivos adjuntos puedan contener malware, y un 60% está al tanto de que cualquier mensaje electrónico no solicitado es sumamente sospechoso.

Las simulaciones de phishing son la práctica menos común a la hora de la formación en ciberseguridad (11%), mientras que la media global se ubica en 29%. El enfoque va dirigido principalmente a mejores prácticas, principalmente a través de sesiones presenciales o por ordenador (44%).

35% de los encuestados españoles afirma que su organización sanciona a empleados que caigan de manera frecuente en ataques de phishing, reales o simulados. Si se le compara con el resto de los países participantes en el estudio, es menor a la media global que se sitúa en 55%.

Algunas de las sanciones aplicadas en España a los infractores son: sesiones de asesoramiento por parte de los equipos de seguridad (60%), acciones disciplinarias que incluyen advertencias por escrito por parte del departamento de Recursos Humanos (51%) o la retirada de permisos de acceso a sistemas (43%). 80% de los encuestados encuentra útiles estas prácticas porque la concienciación de los empleados en materia de ciberseguridad mejora de manera considerable.

Proofpoint aconseja a las organizaciones a desarrollar de manera proactiva estrategias centradas en los usuarios en donde no se consideren únicamente experiencias compartidas entre regiones, sectores o departamentos, sino también aquellas amenazas únicas que tengan el potencial de impactar a la plantilla, sus misiones y objetivos.