Casi dos de cada tres empresas que pagaron un ciberrescate no recuperaron sus datos

Hiscox ha presentado los datos de una investigación que demuestra que pagar un rescate es una estrategia ineficaz para las empresas porque, tras el pago, el porcentaje que recuperó todos los datos en 2022 fue únicamente del 36%, en comparación con el 60% de 2021.

Según el Informe de Ciberpreparación 2023, de aquellas organizaciones que pagaron el rescate, el 29% indica que sufrió filtraciones de sus datos, frente al 20% del año pasado. Más allá, según el informe, al 21% de las empresas no les funcionó la clave de recuperación proporcionada por sus atacantes y, además, y el 14% sufrió otro ciberataque y se les exigió más dinero, aunque es un porcentaje que desciende del 47% del año anterior. Por contra, el 29% de las empresas encuestadas, a pesar de que sí obtuvo la clave de recuperación por parte de los ciberdelincuentes para descifrar los archivos, se vio en la necesidad de reconstruir sus sistemas.     

El informe indica que la gran mayoría de las empresas españolas (86%) tardaron entre menos de una semana y un mes en recuperarse. Además, las empresas de 250 a 999 empleados, fueron las que más tiempo tardaron, ya que para el 43% la recuperación se dilató entre un mes y tres meses.

Actualmente, la incidencia del ransomware en los últimos doce meses se ha mantenido más bien estable con respecto al año anterior y el 20% de las empresas españolas han sufrido un ciberataque de este tipo, según el informe.

Sin embargo, durante el último año no solo se ha disparado el coste de recuperación de ciberataques de todo tipo, sino también la cantidad económica de los rescates que se pagan. En este sentido, la media del mayor rescate que han tenido que pagar las empresas en el último año es de 14.453 euros, frente a los 6.038 del año anterior, lo que implica un aumento del coste medio del 132%. Además, la media de los rescates totales que han pagado las empresas también ha aumentado un 59,1%, ya que ha pasado de 19.642 euros a 31.255 euros.

Si bien lo mejor que puede hacerse es no pagar el rescate que demandan los ciberdelincuentes, todavía hay muchas empresas que deciden hacerlo. Así, la principal razón para el 41% de las empresas que deciden pagar es para volver a ser operativas y, por otro lado, para proteger los datos del personal, como datos salariales, médicos, o de identidad. A estos dos le siguen la intención de proteger los documentos internos confidenciales, como diseños, detalles de productos u hojas de ruta, indicado por un 39%, y la intención de proteger la reputación de la empresa (36%).

Por otro lado, también existe otro porcentaje de empresas que toman la decisión de pagar un rescate con el fin de recuperar los datos robados. No obstante, son mayoría las que no han accedido a las demandas de los ciberdelincuentes, ya que el 51% de las empresas encuestadas afirmó nunca haberlo pagado con este objetivo, siendo a su vez un porcentaje que asciende del 40% del año anterior. Las empresas que, por el contrario, sí que decidieron pagar en una única ocasión para recuperar los datos fue del 33%.

Más allá, de las empresas atacadas que decidieron pagar para evitar la publicación de datos confidenciales, el 24% lo hizo en tan solo una vez, mientras que el 57% nunca se vio en la obligación, en comparación con el 49% del año anterior.

El informe también constata una vez más que la concienciación y educación sobre los riesgos cibernéticos es la principal medida de ciberseguridad en las empresas. Así, el ranking de los métodos de entrada más utilizados en los ataques de ransomware vuelve a ser liderado por el correo electrónico que contiene phishing, ya que fue señalado por el 61% de las empresas atacadas. En segundo lugar se encuentra el acceso a los datos a través del servidor no parcheado (31%), y le sigue el acceso a través de terceros, sea proveedor o MSP/MSSP (29%), el robo de credenciales del personal para su reutilización (20%) y finalmente el robo a través de la fuerza bruta de credenciales de servidor, como por ejemplo vía escritorio remoto (RDP) (10%).

Tal y como ha señalado Nerea de la Fuente, directora de suscripción de Hiscox España, “aunque la incidencia de los ciberataques de ransomware en las empresas españolas ha descendido ligeramente con respecto al año anterior, sigue quedando claro, una vez más, que pagar los rescates no garantiza recuperar la información perdida. Y, como también vemos en el informe, este año son muchas menos las empresas que han recuperado sus datos, por lo que se hace más evidente que nunca que la reacción ante un ciberataque no es suficiente. La mejor protección pasa por la concienciación y educación ante los riesgos, y, por supuesto, por la implementación de medidas de ciberseguridad que incluyan la protección de un ciberseguro”.