Os ciberdelitos máis perigosos detectados en 2023, un deles afectou a 200 funcionarios de Cangas

A ciberseguridade convertiuse xa, por dereito propio, nun imperativo para todo tipo de organizacións, tanto públicas como privadas. Velar pola seguridade dos datos, os servidores e os sistemas, cando practicamente todo está dixitalizado, é fundamental para manter non só a integridade do negocio, senón tamén a privacidade dos seus grupos de interese, xa sexan empregados, clientes, accionistas ou provedores. Sen embargo, estudos recentes cifran en 1.250 o número de ciberataques que se producen de media cada semana en España, que se considera o terceiro país do mundo, só despois de Estados Unidos e Rusia, que máis delitos cibernéticos rexistra.

Algúns chegan a consumarse, solicitando rescates millonarios se a entidade atacada quere recuperar a información roubada mediante técnicas como o 'ransomware', unha das máis frecuentes. Outros quédanse en simples ameazas, utilizando técnicas como o 'phising', que consiste en suplantar a identidade dunha organización que invita ao usuario a pinchar nun enlace para resolver unha incidencia para facerse cos seus datos. O 'phising' realízase mediante correo electrónico, e ten outras variantes que utilizan como canal as mensaxes SMS ('smishing') ou a extorsión por vía telefónica ('vishing'). 

Nestes casos, o maior número de ameazas corresponden a entidades públicas como a Seguridade Social ou a Axencia Tributaria, a entidades bancarias e, debido ao auxe das compras 'online', tamén aos servizos de Correos ou paquetería. Watch&Act Protection Services (W&APS), correduría especializada en seguros de ciberrisco de Watch&Act, seleccionou estes ataques e ameazas como as máis chamativas de todos os rexistrados nos últimos doce meses.

XANEIRO

Un total de 107 concellos da provincia de Biscaia víronse afectados por un intento de ciberataque. A modo de exemplo, o Concello de Durango tardou máis dunha semana en restablecer os seus sistemas. Como ameaza principal destacou a suplantación da identidade da Seguridade Social, cunha campaña de 'phishing' que descargaba un 'malware' no dispositivo de quen picara o anzolo e pinchara no 'link' correspondente.

FEBREIRO

A empresa Telepizza sufriu un ataque de 'ransomware' e os servidores da Axencia Tributaria foron atacados co fin de obter os datos fiscais dos cidadáns. As suplantacións de identidade deste mes corresponderon a tres entidades bancarias: BBVA, Santander e WiZink.

MARZO

O Hospital Clínic de Barcelona foi obxecto dun ataque de 'ransomware' que logrou encriptar os seus sistemas, tardando varias semanas en recuperar a súa actividade normal, o que lle causou importantes perdas económicas e de datos persoais. Ademais, varias páxinas web do Estado sufriron ataques en cadea, entre elas o Ministerio de Facenda. A Axencia Tributaria foi suplantada mediante a técnica do 'smishing' (vía SMS), solicitando actualizar a información de pago para recibir unha axuda económica do Goberno de 200 euros. Tamén se recibiron mensaxes fraudulentos a través de WhatsApp suplantando a identidade da cerveceira Mahou.

ABRIL

A compañía de telefonía e fibra óptica Yoigo sufriu un ciberataque a grande escala con acceso a información personal dos seus clientes. E de novo, vía 'smishing', supostamente a Axencia Tributaria solicitaba aos usuarios información da tarxeta bancaria para recibir o reembolso dun imposto ou da declaración da renda de 2022.

MAIO

A Axencia Estatal de Meteoroloxía (Aemet) foi vítima dun ciberataque que obrigou a suspender temporalmente o seu servizo como medida preventiva. Este mes as campañas de suplantacióon de identidade foron especialmente numerosas, afectando tamén á empresa de paquetería FedEx, á enerxética Endesa e, unha vez máis, á Axencia Tributaria e á Seguridade Social (neste caso, solicitando a actualización da tarxeta sanitaria).

XUÑO

Un ataque de 'ransomware' sufrido polo galego Concello de Cangas deixou sen funcionar á metade dos ordenadores e sen poder cobrar a máis de 200 funcionarios. Ademais, rexistráronse varias campañas de 'smishing' suplantando a identidade de varias entidades bancarias.

XULLO

Durante as Eleccións Xerais, un ciberataque de denegación de servizo (DoS) colapsou os servidores e páxinas web de diferentes entidades, como o Concello de San Fernando de Henares, o Metro Lixeiro Oeste de Madrid, a Sede Electrónica do Ministerio do Interior e o Consorcio Rexional de Transportes de Madrid. Neste caso, as suplantacións de identidade mediante emails fraudulentos tiveron por obxecto á Policía Nacional e á Garda Civil. O seu obxectivo era extorsionar á vítima para que contestase ao correo, no que se lle acusaba de cometer unha serie de delitos relacionados coa pornografía.

AGOSTO

Este mes tivo lugar unha campaña de sextorsión na que se ameazaba aos usuarios con que publicarían uns vídeos íntimos seus se non lles pagaban unha determinada cantidade de 'bitcoins'. E novamente foi suplantada a identidade da Seguridade Social nunha campaña de 'smishing' na que vía SMS se solicitaban as fotos do seu DNI e un 'selfie' para confirmar un suposto expediente, datos que despois venderían na 'dark web' para realizar algún tipo de ciberestafa.

SETEMBRO

O ciberataque máis soado foi o da páxina web do Concello de Sevilla, que deixou durante varias semanas aos cidadáns da capital andaluza sen acceso a un bo número de servizos e sen a posibilidade de facer trámites telemáticos. O custe do ataque estimouse nuns 5 millóns de euros. A Axencia Tributaria repetiu como protagonista de outra campaña de 'smishing' que solicitaba ao usuario que accedera a unha web para solucionar unha incidencia na súa declaración da renda.

OUTUBRO

A compañía aérea Air Europa avisou aos seus clientes de que, a causa dun ciberataque, filtráranse os datos das tarxetas de crédito asociadas ás compras dos seus billetes, recomendándolles cancelar ditos cartóns bancarios. E as ameazas por suplantación de identidade afectaron este mes a organismos públicos como o Instituto Nacional de Ciberseguridade (INCIBE), a través de dous métodos de enxeñería social, o 'phising' e a súa versión por chamada telefónica ('vishing'); e tamén á Fábrica Nacional de Moeda e Timbre e a Axencia Tributaria.

NOVEMBRO

Este mes detectouse un acceso non autorizado aos datos dun colaborador de Vodafone, polo que se viron comprometidos datos persoais e bancarios dun número limitado de clientes. E a web do sindicato Comisiones Obreras (CC.OO.) tamén se viu afectada por un ciberataque. Sendo o mes do Black Friday, os intentos de fraude estiveron relacionados coas compras 'online' e as entregas de paquetería suplantando a identidade de compañías como Correos ou DHL.

DECEMBRO

O despacho de abogados CMS Albiñana y Suárez de Lezo, que ten entre os seus clientes a grandes empresas como Iberdrola ou o Santander, sufriu este mes un ciberataque aos seus servidores. Os ciberdelincuentes apoderáronse dunha gran cantidade de arquivos confidenciais e pediron un rescate millonario para poder recuperar a documentación substraída.