86% de las PyMEs sufrió incidentes de ciberseguridad en un año

• Kaspersky advierte que los ciberdelincuentes ya utilizan métodos similares a los empleados contra grandes compañías, mientras la falta de experiencia, capacitación y políticas de seguridad continúa aumentando su exposición a los ataques.

El 86% de las pequeñas y medianas empresas (PyMEs) enfrentó al menos un incidente de ciberseguridad durante el último año, según una encuesta global de Kaspersky realizada entre especialistas de seguridad de TI de organizaciones de 18 países[1]. La investigación advierte que los ciberdelincuentes ya utilizan, contra este tipo de compañías, métodos similares a los empleados contra grandes empresas, una tendencia impulsada por su creciente digitalización, la reducción de los costos para ejecutar ataques y el aprovechamiento de nuevas tecnologías y brechas de seguridad.

De hecho, apenas el 14% de las empresas con menos de 500 empleados logró evitar un incidente de ciberseguridad durante ese periodo. La idea de que las organizaciones más pequeñas pueden pasar desapercibidas para los ciberdelincuentes está quedando atrás: a medida que incorporan más herramientas digitales a sus operaciones, también aumenta su superficie de ataque y las oportunidades que los actores maliciosos pueden aprovechar.

El estudio revela que, en el caso de América Latina, las organizaciones experimentaron tres tipos diferentes de incidentes de seguridad durante el último año. Entre las PyMEs, el phishing (24%), la explotación de vulnerabilidades de software (13%) y los accesos remotos externos (15%) fueron los incidentes más frecuentes. Aunque los exploits de día cero y los ataques que aprovechan relaciones de confianza aparecieron con menor frecuencia, cada una de estas amenazas, consideradas especialmente peligrosas, afectó al 8% de las organizaciones.

Si bien la distribución de los incidentes fue similar entre empresas de distintos tamaños, amenazas como el malware masivo, el ransomware, el compromiso del correo electrónico empresarial (BEC, por sus siglas en inglés) y la explotación de vulnerabilidades relacionadas con inteligencia artificial tuvieron una presencia ligeramente mayor en compañías con más de 500 empleados.

Los participantes también identificaron los cinco factores que más aumentan el riesgo de que un ciberataque tenga éxito dentro de sus organizaciones. En el caso de las PyMEs latinoamericanas, los dos principales están relacionados con las personas: la falta de experiencia entre el personal de seguridad de TI (26%) y la falta de conocimientos de ciberseguridad entre los empleados que no pertenecen al área de TI (24%).

A estos desafíos se suman las políticas insuficientes de seguridad de TI (20%), el uso de software y hardware desactualizados (22%) y la elevada carga de trabajo de los departamentos de seguridad de TI (21%), señalados también como factores que pueden incrementar la exposición de las compañías.

Ante este escenario, las organizaciones están destinando más recursos a fortalecer sus defensas. El 82% de las PyMEs ya incrementó su presupuesto de ciberseguridad este año. Entre quienes aumentaron la inversión, el 41% destinó nuevos recursos a ampliar sus equipos de TI y seguridad, mientras que el 30% los utilizó para migrar hacia soluciones más avanzadas, como XDR, NDR y SIEM.

¿Por dónde empezar? Un mapa para priorizar los riesgos de ciberseguridad

Para las PyMEs, que suelen operar con presupuestos y equipos limitados, fortalecer la seguridad también implica saber qué riesgos atender primero y dónde concentrar los recursos disponibles. Para facilitar esta tarea, Kaspersky desarrolló el Cyber Risk Heatmap, una evaluación en línea que permite identificar las principales áreas de exposición de una organización y obtener un mapa de calor personalizado con sus prioridades de seguridad. A través de cerca de 15 preguntas y en menos de 10 minutos, la herramienta analiza aspectos como personas y endpoints, correo y redes, nube, superficie de ataque, monitoreo y gestión de incidentes, y entrega recomendaciones prácticas para orientar las siguientes acciones de protección.

“Las PyMEs ya no enfrentan amenazas menores por ser organizaciones más pequeñas ni por considerar que sus activos no son de interés para los ciberdelincuentes. Estos hacen uso de técnicas cada vez más diversas, apoyándose incluso en inteligencia artificial y en el robo de credenciales para encontrar puntos de entrada y comprometer sus operaciones. El problema es que muchas empresas en crecimiento deben responder a este escenario con equipos de seguridad casi inexistentes, presupuestos limitados y una escasez de especialistas, mientras persisten brechas como la falta de capacitación de los empleados o defensas fragmentadas. Esto hace necesario adoptar una estrategia de seguridad más integral, sencilla de gestionar y capaz de crecer al mismo ritmo que el negocio. Contar con el apoyo de un proveedor local de servicios de seguridad es una alternativa válida para enfrentar estos desafíos, pero es fundamental que este cuente con las capacidades y soluciones adecuadas”, asegura Fernando Sánchez, gerente de Canales para el Norte de América Latina en Kaspersky.

Para reducir su exposición a las nuevas amenazas en estas empresas, los expertos de Kaspersky recomiendan:

• Fortalecer los controles internos y de acceso. Definir permisos claros para los recursos corporativos y servicios en la nube, limitar los accesos según las funciones de cada empleado y revocarlos de inmediato cuando una persona deja la organización. También es clave automatizar las copias de seguridad, mantener software y equipos actualizados y establecer reglas para la instalación de nuevas aplicaciones. Estas medidas reducen riesgos asociados con credenciales robadas, amenazas internas, ransomware y dispositivos perdidos o comprometidos.
• Convertir a los empleados en una primera línea de defensa. Capacitar periódicamente al personal para reconocer amenazas como phishing, vishing, deepfakes y solicitudes sospechosas de credenciales o pagos. La formación debe ser práctica, continua y acompañarse de simulaciones que permitan identificar brechas de conocimiento y reforzar buenos hábitos, como verificar remitentes, proteger contraseñas y reportar rápidamente cualquier actividad inusual.
• Adoptar una protección que pueda crecer con la empresa. Las soluciones de seguridad deben responder al tamaño, nivel de madurez y recursos disponibles de cada organización. Las microempresas con menos de 50 empleados pueden apoyarse en Kaspersky Small Office Security Premium, que integra protección contra malware y ransomware, gestión de contraseñas y copias de seguridad. Para organizaciones con equipos de TI más desarrollados, Kaspersky Next Optimum incorpora capacidades avanzadas de prevención, detección y respuesta, mientras que Kaspersky Next MXDR Optimum añade monitoreo continuo y análisis especializado sin necesidad de ampliar el equipo interno de seguridad.
• Reforzar especialmente la seguridad del correo electrónico. El phishing, el compromiso del correo empresarial y los fraudes relacionados con pagos siguen utilizando el correo corporativo como una de sus principales vías de entrada. Kaspersky Security for Mail Server ofrece protección multicapa en buzones y gateways, apoyándose en machine learning e inteligencia de amenazas para identificar mensajes maliciosos y reducir el riesgo de que un correo fraudulento termine comprometiendo credenciales, información sensible o recursos financieros de la organización.

[1] Se realizaron 1.800 entrevistas a nivel global, con representación de 18 países: Brasil, México, Colombia, Francia, Alemania, Italia, España, India, Indonesia, Malasia, China, Tailandia, Vietnam, Egipto, Sudáfrica, Arabia Saudita, Turquía y Rusia.