El precio del descuido digital en la empresa: hasta 230.000 € por ciberataque

El riesgo cero ante los ataques cibernéticos no existe. Por ello, todas las empresas deben concienciarse en dotar una partida presupuestaria a ciberseguridad. Los sectores más regulados como el financiero y el sanitario ya lo hacen.

¿Se han preguntado alguna vez cómo impacta la ciberseguridad en los costes de las empresas? ¿Afecta el tamaño y el número de empleados o no tiene nada que ver? ¿Debemos verlo como un coste o como un beneficio? ¿Cuánto debería invertir una empresa en ciberseguridad?

A las primeras cuestiones intentaremos darles respuesta a lo largo del reportaje. Para la última pregunta no tenemos respuesta, tal y como nos confirman fuentes de S2Grupo.

Explican que está relacionado con el riesgo que queramos correr. «Teniendo en cuenta que nunca se va a conseguir la total absoluta seguridad con riesgo ‘0’. Muchas empresas se están planteando pagar un ciberseguro».

De esta forma, –aseguran las mismas fuentes–, «el riesgo se lo ‘trasladan’ a la casa aseguradora y esta les pide una serie de protecciones mínimas como un antivirus actualizado, copias de seguridad, programas originales y actualizados…».

¿Cuánto riesgo queremos correr?

Algunos datos para ir abriendo boca: un 53% de las empresas sufrieron ciberataques, frente a un 48% que los sufrieron el año anterior. Y, curiosamente, a lo que pudiéramos pensar, el porcentaje de empresas atacadas con menos de diez empleados aumentó más de la mitad, hasta un 36%. Por último, una de cada ocho empresas atacadas sufrió costes cercanos a los 230.000 euros o más.

Con lo cual, igual que las empresas y sus consejos de administración se preocupan por la logística, la calidad de la producción, los costes de las materias primas, los mercados internacionales, la retención y captación de talento, la reducción de costes… la ciberseguridad se ha convertido en un factor determinante para la estabilidad económica de las empresas.

En un mundo cada vez más digitalizado, en el que impera la incertidumbre y con los presidentes de Estados Unidos, Donald Trump, y Rusia, Vladimir Putin, viendo cómo se reparten el mundo para satisfacer sus propios intereses económicos, las organizaciones enfrentan amenazas constantes que pueden traducirse en pérdidas millonarias.

El “Informe de Ciberpreparación 2023” de Hiscox, una de las principales aseguradoras especializadas de Europa y EE.UU., destaca cómo los ataques cibernéticos afectan a las finanzas empresariales y cómo las empresas están reaccionando ante este desafío.

La muestra recoge la opinión de 5.005 profesionales responsables de la estrategia de ciberseguridad de sus empresas (más de 900 corresponden a EE.UU., Reino Unido, Francia y Alemania; más de 400 son de España y 200 o más de Bélgica, República de Irlanda y Países Bajos).

El coste de los ciberataques, en aumento

El informe revela que un 53% de las empresas en 2023 fueron víctimas de ciberataques, frente al 48% del periodo anterior

No obstante, a pesar de esta creciente amenaza, el impacto económico medio de los ataques ha disminuido ligeramente. De hecho, la mediana de los costes de un ataque pasó de 15.640 € a 14.720 € por empresa, lo que sugiere que muchas de ellas están mejorando su capacidad para responder a estas amenazas.

El tamaño sí influye

Sin embargo, estas cifras ocultan una gran disparidad en los impactos según el tamaño de la empresa.

Así, mientras que las pymes, de hasta nueve empleados, reportaron costes de hasta 1.968 €, las organizaciones con más de 1.000 trabajadores afrontaron pérdidas de hasta 9.844 €.

En 2023, un total de ocho empresas reportaron costes de ciberataques por encima de los 4,6 M€ y tres organizaciones más que superaron los 9 M€. Igualmente, una de cada ocho empresas (12%) sufrieron costes de 230.000 € o más.

Pero el impacto de un ciberataque no termina en los costes. Su onda expansiva hace mella en la confianza de los clientes, la interrupción de operaciones y la necesidad de invertir en medidas correctivas y preventivas.

En concreto, un ataque puede afectar a la reputación de la empresa, lo que se traduce en pérdidas de clientes y dificultades para atraer nuevos negocios.

Las pymes, en el punto de mira

Uno de las cuestiones más preocupantes que revela el informe de Hiscox es el incremento de los ataques dirigidos a pymes.

En el periodo que comprende desde 2021 a 2023, la proporción de empresas con menos de diez empleados que fueron atacadas creció del 23% al 36%.

Este incremento resalta la falsa sensación de seguridad que muchas microempresas tienen al asumir que no son objeto de interés para los ciberdelincuentes.

A pesar de este aumento en los ataques y de su propia percepción, las pequeñas empresas han demostrado ser más eficientes en la gestión de costes relacionados con ciberataques. ¿A qué se debe? Al creciente interés en invertir en ciberseguridad.

Tal y como revela el informe de Hiscox, las compañías más pequeñas en los rangos de 1-9, 10-49 y 50 a 249 empleados han aumentado su gasto mediano en un 77%, 36% y 145% respectivamente. En un plazo de dos años, las empresas con menos de diez empleados han cuadruplicado su gasto mediano en ciberseguridad.

En contraste, las empresas con 250 o más empleados, el gasto mediano se ha recortado en 2023. En este perfil de empresas, el impacto financiero de los ataques ha seguido creciendo.

A pesar de todo, muchas pequeñas empresas siguen sin contar con medidas de seguridad adecuadas, lo que las hace vulnerables a ataques de phishing (suplantación de identidad), malware (aplicaciones malintencionadas que dañan el uso habitual de los dispositivos de punto de conexión) y ransomware (código malicioso que impide la utilización de los equipos o sistemas que infecta). Además, la falta de personal especializado en ciberseguridad y la dependencia de soluciones de seguridad básicas aumentan el riesgo de sufrir grandes pérdidas.

El ransomware, una amenaza muy costosa

El ransomware sigue siendo una de las amenazas que más preocupa y que más cuesta a las empresas. Una de cada cinco organizaciones atacadas en 2023 sufrió un ataque de ransomware. De estas, el 63% acabó pagando un rescate. Aunque solo el 46% logró recuperar sus datos.

Las cifras también muestran que el pago medio de un rescate creció un 13%, hasta alcanzar los 9.844 €. Y despúes de pagar, un 20 % de las empresas que pagaron fueron atacadas de nuevo poco después. Este hecho demuestra que pagar a los ciberdelincuentes no garantiza la seguridad a largo plazo.

Entonces, ¿por qué pagan las compañías? Los principales motivos aportados para el pago del rescate fueron la protección de información interna de carácter confidencial (43%) o de los datos de clientes (42%).

Ambas opciones, si finalmente se hubieran producido pondrían en riesgo la reputación de las empresas y derivarían incluso en sanciones regulatorias si se comprometen datos personales de clientes o empleados.

Ante esta situación, el informe sugiere que la mejor opción para hacer frente a los ciberataques pasa por implementar copias de seguridad sólidas y una estrategia proactiva de defensa.

Desvío de pagos, un riesgo subestimado

Otro de los riesgos más frecuentes y costosos para las empresas es el fraude por desvío de pagos. Un tercio de las empresas atacadas sufrieron pérdidas económicas debido a esta práctica. Este tipo de fraude, que suele comenzar con un correo electrónico de phishing, ha sido la fuente principal de los ataques de ransomware, y el segundo método más común de entrada para robar las credenciales.

¿Qué se puede hacer y que resulte barato para las empresas de cualquier tamaño? Formar a los empleados para que utilicen contraseñas complejas, protejan sus credenciales mediante la autenticación de múltiples factores (MFA).

No hay que olvidarse que este tipo de ataques puede generar problemas legales y regulatorios si afectan a transacciones internacionales o involucran datos financieros sensibles. Muchas empresas han comenzado a reforzar sus protocolos de validación de pagos y a implementar soluciones de inteligencia artificial para detectar actividades sospechosas en tiempo real.

Aumento del presupuesto

Para hacer frente a estos riesgos, las empresas han incrementado sus inversiones en ciberseguridad. La mediana del gasto ha crecido un 39 % en los últimos tres años (2021-2023) hasta alcanzar los 142.600 €.

En las empresas con menos de diez empleados, este gasto ha crecido aún más, reflejando una mayor concienciación sobre la importancia de protegerse contra las amenazas digitales.

El informe también destaca que el aumento de los presupuestos ha contribuido a reducir el impacto económico de los ataques. Las empresas que han invertido en medidas de seguridad más robustas han logrado contener mejor los costes de los ataques y minimizar los daños.

¿Quién invierte más en seguridad?

Las industrias más reguladas, como es el caso de la financiera y la sanitaria, tienden a invertir más en seguridad, mientras que sectores como la construcción y la hostelería aún presentan lagunas significativas en sus estrategias de protección digital.

En concreto, sectores como la fabricación, el transporte y distribución, la energía (que ha figurado entre los tres objetivos principales en cada uno de los tres últimos años), el gobierno y organizaciones sin ánimo de lucro asumieron costes medianos de 18.400 € o más.

Las buenas noticias son que la mayoría de industrias han conseguido controlar o reducir el coste mediano del mayor ataque individual que sufrieron. Para las compañías energéticas, la cifra disminuyó de más de 10.120 € a poco menos de 6.440 € en dos años.

Un seguro más: el cibernético

A los seguros de bienes, equipamientos, etc., se suma el de ciberseguridad si la empresa quiere reducir el impacto económico de los ciberataques.

Según el informe, casi tres cuartas partes (73%) de las empresas atacadas contaban con algún tipo de cobertura cibernética. Estas empresas también fueron más propensas a implementar medidas adicionales de seguridad después de un ataque.

Las empresas que optan por seguros cibernéticos lo hacen para demostrar su compromiso con la seguridad de los datos y para evitar interrupciones operacionales graves. La protección proporcionada por estas pólizas es crucial en sectores muy regulados, donde una brecha en sus datos puede dar lugar a elevadas sanciones.

De todas formas, tampoco es una solución única. Las aseguradoras han endurecido sus requisitos y exigen que las empresas implementen medidas de seguridad mínimas antes de otorgar cobertura. Esto ha llevado a una mayor profesionalización en la gestión de riesgos cibernéticos y a un enfoque más estructurado en la protección digital.

Con lo cual, en un entorno donde las amenazas cibernéticas evolucionan constantemente, la ciberseguridad debe considerarse como una inversión estratégica y no como un gasto opcional. Por ello, hay que gestionarla de manera adecuada como cualquier otro riesgo empresarial.