Masiosare un sistema enemigo

Jorge es operario en una maquiladora en Mexicali, Baja California. Un jueves cualquiera, llegó temprano para operar una máquina de alta precisión que fabrica piezas para la industria metalmecánica. Lo había hecho cientos de veces antes. Sin embargo, en esta ocasión, cuando prendió la máquina, el sistema operativo se bloqueó y no pudo encenderlo de nuevo.

Varias máquinas más de la planta sufrieron el mismo “desperfecto”. Una hora después, el gerente recibió un correo de un grupo anónimo, pidiendo 300,000 dólares para liberar esas máquinas y desbloquear el software.

El ataque de ransomware paralizó la planta por cuatro días, causando pérdidas y deteniendo las órdenes prioritarias de sus clientes, con un efecto dominó que retrasó muchos otros procesos industriales. Finalmente, la planta fue “liberada” cuando se pagó una cantidad no revelada a los secuestradores informáticos.

El caso de Jorge y la maquiladora no es nuevo. Por muchos años, cientos de empresas en México y en América Latina han sido víctimas del ransomware, el secuestro de sistemas o datos para cobrar un “rescate”. Normalmente estos eventos los llevan a cabo grupos que, usando el anonimato y la interconexión de sistemas, aprovechan para engañar a una persona en la organización o las debilidades en el software.

En una conversación con Mateo Bolívar, director de Nuevos Negocios para Latinoamérica de Kaseya, una empresa multinacional de software de gestión de TI y ciberseguridad, me explicó que en el 70% de los casos los ciberdelincuentes engañan a un usuario con mensajes o correos, ofreciendo un descuento, un premio o una multa. La urgencia hace que entregue sus credenciales.

En ese sentido, América Latina es un mercado fértil para estos delincuentes. Las Pequeñas y Medianas Empresas (PyMEs) son especialmente vulnerables por falta de recursos, una falsa sensación de seguridad y una mayor facilidad para ser atacadas. “El promedio de rescate por ransomware en la región es de 150 mil dólares. Aunque el 80% de las PyMEs no puede pagar esto, muchas buscan préstamos bancarios para hacerlo, lo que las lleva eventualmente a la bancarrota”, señaló el ejecutivo.

Otro tema de preocupación es que México y otros países de la región no cuentan con marcos legales adecuados para atender el fenómeno. México cuenta con normas dispersas y planes, pero ningún marco legal integrado para la gobernanza nacional de ciberseguridad, obligaciones de protección de infraestructura crítica y tipos actualizados de ciberdelitos. No hay obligaciones de cumplir estándares mínimos o reportar incidentes. En el caso de las PyMEs, no hay lineamientos o protocolos de actuación en caso de que se vulneren sus sistemas.

El tema se ha vuelto tan relevante para la seguridad industrial que Estados Unidos y Europa tienen agencias y grupos de trabajo especializados para atender el fenómeno. Sin embargo, en América Latina pocos países tienen avances. Chile es de los pocos que tiene una ley y agencia gubernamental especializada.

México ha acumulado múltiples eventos públicos de ransomware afectando al sector público y privado. Empresas y entidades grandes como Pemex, Coppel, el IMSS, la Lotería Nacional y otros han caído ante esta extorsión.

Sin embargo, son las PyMEs, como la maquiladora de Jorge, las que más sufren las consecuencias y pagan más caro.

Mientras tanto, el costo lo seguirán cubriendo los Jorges de este país, una máquina bloqueada a la vez.