La masificación del trabajo remoto ha obligado a las empresas a modificar sus políticas para que los usuarios puedan acceder a la información y los sistemas desde cualquier sitio y esto ha generado que las medidas de seguridad que antes fueron suficientes, ya no lo sean. Los usuarios y la información ya no están protegidos por el perímetro de las oficinas, por lo que el usuario ahora es el nuevo perímetro por proteger. Así es como en el 2020 debido al COVID-19 y la cuarentena, de acuerdo con lo publicado por Anti-phishing Working Group, el número de ataques de phishing se duplicó. En tiempos impensados, las empresas se vieron obligadas a permitir el trabajo remoto y a digitalizar procesos y, en la mayoría de los casos, sin implementar los requisitos de seguridad suficientes.

El trabajo remoto ha favorecido también la adopción y repetición de malos hábitos de seguridad como, por ejemplo, utilizar las computadoras portátiles de la organización para motivos personales o bien que sus familiares lo hagan sin supervisión alguna.

Otro aspecto por mejorar es la gestión de contraseñas. Lamentablemente, hoy en día los usuarios utilizan la misma contraseña para todas las cuentas. Solo hace falta que una sola se vea vulnerada para afectar a las demás.

Los cibercriminales son conscientes de estas falencias y en función de ello mejoran sus tácticas de ingeniería social, logrando generar ataques cada vez más sofisticados, efectivos y dañinos. De hecho, hemos hecho hincapié en que no se debe hacer clic en enlaces o descargar archivos adjuntos de remitentes desconocidos, hemos implementado controles antiphishing y, sin embargo, este sigue siendo uno de los vectores de ataques más utilizados.

Cuando el panorama de amenazas es tan cambiante y dinámico, los equipos de seguridad y los programas de concientización se deben desarrollar al mismo ritmo. En el momento en que descansemos considerando haber alcanzado el nivel de seguridad suficiente, estaremos fallando.

«En el momento en que descansemos considerando haber alcanzado el nivel de seguridad suficiente, estaremos fallando».

Agostina Lambertucci – INSSIDE Ciberseguridad

Ya no es suficiente la capacitación anual o el flyer recordando proteger las contraseñas. Es fundamental que los usuarios entiendan y sean conscientes de los riesgos que conllevan sus malos hábitos. Cuando éramos pequeños, una vez que entendíamos qué nos podía pasar al cruzar la calle sin mirar, dejábamos de hacerlo. En este caso sucede lo mismo. Si enseñamos a nuestros colaboradores cómo los ataques de phishing podrían afectar la información de la organización, incluso sus propias cuentas bancarios o datos personales, los efectos del programa de concientización mejorarían exponencialmente.

En términos de técnicas de ataque, los cibercriminales nunca permanecen quietos, por lo que nuestras prácticas de seguridad también deben estar en un proceso constante de mejora continua. El usuario es el nuevo perímetro de las organizaciones, un perímetro menos estático del que las organizaciones conocían y es imperioso tomar las medidas necesarias para protegerlo constante y adecuadamente. Y recuerda: la seguridad de las empresas es tan fuerte como su eslabón más débil. Concientizar es urgente.