¿Por qué no sirve de (casi) nada pagar un ciberrescate para las empresas?

La ciberseguridad es una de las mayores preocupaciones para las empresas. En especial, el secuestro de datos que puede terminar en extorsión y conllevar el pago de un rescate económico para que los cibercriminales liberen los datos sustraídos.

Sin embargo, un reciente estudio Hiscox demuestra que acceder al pago de un ciberrescate puede no ser la mejor de las decisiones. Hacerlo se ha revelado como una estrategia ineficaz para las empresas, dado que, tras el pago, el porcentaje que recuperó todos los datos en 2022 fue únicamente del 36%, en comparación con el 60% de 2021, según el Informe de Ciberpreparación 2023 de la compañía.

Datos, en el punto de mira de los ciberdelincuentes

Los datos son unos de los activos más valiosos para las empresas. Esto contribuye a crear un panorama de gran vulnerabilidad cibernética, dado que los ciberdelincuentes tienen un gran frente donde saben que pueden hacer daño a las corporaciones.

En este sentido, protegerse ante este tipo de ataques, conocidos como ransomware, resulta fundamental para todo tipo de organizaciones. Más aún, si tenemos en cuenta que el 29% de las empresas que accedieron a pagar un rescate durante el año pasado indica que sufrió filtraciones de sus datos, frente al 20% del año pasado.

En el peor de los casos, al 21% de las empresas no les funcionó la clave de recuperación proporcionada por sus atacantes, mientras que el 14% sufrió otro ciberataque y se les exigió más dinero. A pesar de los datos, lo cierto es que el porcentaje de empresas a las que les sucedió esta situación se redujo considerablemente, desde el 47% del año anterior.

Rescates más caros

Según explican desde Hinox, la incidencia del ransomware en los últimos doce meses se ha mantenido más bien estable con respecto al año anterior y el 20% de las empresas españolas han sufrido un ciberataque de este tipo.

Sin embargo, durante el último año no solo se ha disparado el coste de recuperación de ciberataques de todo tipo, sino también la cantidad económica de los rescates que se pagan. En este sentido, la media del mayor rescate que han tenido que pagar las empresas en el último año es de 14.453€, frente a los 6.038€ del año anterior, lo que implica un aumento del coste medio del 132%.

Por otro lado, el informe destaca que la gran mayoría de las empresas españolas (86%) tardaron entre menos de una semana y un mes en recuperarse. Las empresas grandes, de 250 a 999 empleados, fueron las que más tiempo tardaron, ya que para el 43% la recuperación se dilató entre un mes y tres meses.

La amenaza del phishing

Los emails de phishing vuelven a ser la principal puerta de entrada del ransomware, según constata el citado informe. Por lo tanto, la concienciación y educación sobre los riesgos cibernéticos es la principal medida de ciberseguridad para las empresas.

Si bien lo mejor que puede hacerse es no pagar el rescate que demandan los ciberdelincuentes, todavía hay muchas empresas que deciden hacerlo. La principal razón para el 41% de las empresas que deciden pagar es para volver a ser operativas y, por otro lado, para proteger los datos del personal, como datos salariales, médicos, o de identidad.

“Aunque la incidencia de los ciberataques de ransomware en las empresas españolas ha descendido ligeramente con respecto al año anterior, sigue quedando claro, una vez más, que pagar los rescates no garantiza recuperar la información perdida”, explica Nerea de la Fuente, directora de Suscripción de Hiscox España.