Cibercrimen: una factura de 400.000 millones de euros

El cibercrimen cuesta al año al menos 400.000 millones de euros, según estimaciones de expertos, y es una de las vertientes criminales con mayor crecimiento interanual,por encima de la venta de drogas, según Adolfo Hernández, miembro fundador del Thiber, centro de reflexión sobre ciberseguridad, informa Efe.

«Nadie posee la visión global del problema», pero se calcula que tres cuartas partes de las acciones ilegítimas en el ciberespacio se relacionan con alguna variante del cibercrimen, es decir con una motivación económica, explica en una entrevista con Efe uno de los responsables de Thiber, «think tank» o centro de reflexión de referencia en lengua castellana en materia de seguridad y defensa en el ciberespacio.

El 25 por ciento restante de dichos ciberataques está relacionado con ciberespionaje, ejecutado en muchas ocasiones por actores estatales, pero también con otras motivaciones como reclamas sociales (Anonymous), religiosas, terroristas, etc, según este experto, que esta semana ha participado en la jornada ISMS Forum Spain sobre ciberseguridad con numerosos expertos en la materia.

Algunos informes elevan hasta 500.000 millones de euros el coste anual del cibercrimen para las empresas, el equivalente al 0,8 % del PIB mundial, según Hernández.

Se trata de un negocio muy rentable que requiere de relativos pocos recursos, adolece de regulación internacional en internet y los cibercriminales se aprovechan de las herramientas y ventajas de la red para extenderse sin dejar huellas, explica el experto.

Adicionalmente, la aparición del modelo de cibercrimen como servicio (CaaS o cybercrime-as-a-service en inglés) permite al autor eludir las acciones directamente criminales para limitarse a fabricar las herramientas que luego vende bajo un modelo económico muy similar al de las compañías de tecnología en el sector privado.

Esta industria como servicio es muy rentable teniendo en cuenta su crecimiento, con miles de clientes en todo el mundo que compran herramientas para cometer delitos, de los cuales muchos son empresas. «Es tan punible el que vende el servicio como el que lo contrata y lo consume», asegura el experto.

El objetivo para combatirlo «no es únicamente criminalizar al vendedor, que también, sino entender el modelo de negocio; entender quién lo hace, cómo vende, cómo factura, cómo presta el servicio, quien es el comprador».

«Cuando se tenga ese modelo, algo que compete a las fuerzas y cuerpos de seguridad del Estado, se podría romper alguno de los eslabones de esa cadena y reducir su rentabilidad o aplicar sanciones que realmente disuadan al criminal a la hora de cometer delitos.»

En los inicios de internet era el ciberdelincuente el que buscaba a sus víctimas y elaboraba las acciones que él mismo ejecutaba, pero ahora el cibercriminal no se moja en los ataques ni se arriesga, sino que pone a disposición de otros sus herramientas criminales a cambio de dinero. Incluso las publicita en la red y en plataformas como Facebook y hacen campañas de marketing en YouTube.

Malware o código malicioso, nuevos virus, exploits, aplicaciones maliciosas, vulnerabilidades Día Cero son algunos de los productos que el cibercriminal pone a la venta.

Asimismo, infraestructuras para cometer ciberdelitos como software para ejecutar «ramsonware» con el que se exige un pago a modo de rescate a la víctima para liberar sus ordenadores, con el alquiler de «botnets» o redes de ordenadores «zombi».

Los cibercriminales venden asimismo servidores para alojar páginas «web» como los «hosting blindados» alojados en países permisivos con el cibercrimen, muchos de ellos anónimos y ubicados en países africanos como El Líbano.

A nivel geográfico, existen «incubadoras» en donde estos servicios proliferan más: Brasil, Rusia, China, India, Sudáfrica. Asimismo en los antiguos países de la Unión Soviética, como Rusia y Kazajistán.

Ucrania es uno de los países donde más se comercializan estos servicios, y México y Rusia cuentan con una industria de cibercrimen emergente y creciente.

El experto carece de cifras de España, aunque matiza que «seguramente hay gente vendiendo este tipo de servicios, y probablemente también clientes». En cualquier caso, «no estamos en el Top Ten de países que comercialicen este tipo de servicios».

En este modelo de cibercrimen como servicio, existe una suerte de ecosistema que va desde el que blanquea capitales (mediante PayPal, criptomonedas, etc), los que ofrecen servicios directamente de ataque (ofensivos), el software, las plataformas, servicios «llave en mano» con proyectos perfectamente planificados, etc.EFE