Marcos Gómez: «Ninguna empresa española ha pagado a los hackers»

Este año han resuelto 50.000 incidentes de ciberseguridad. Al del viernes le siguen el rastro: «En agosto, The Shadow Brokers robó un virus a otros hackers y lo vendieron en abril. Quien lo compró, lo modificó y liberó».

A excepción de los ciberataques sufridos en Japón, el lunes ha ido mejor de lo que se vaticinaba.

–Sí, aunque estamos pendientes de la situación en Japón para tratar de evitar que no nos pase aquí e infecten con una de las tres variantes del ramsomware: WannaCry a., b. y c. La situación está razonablemente controlada, aunque no se pueden descartar nuevos ataques. El viernes pintaban mal las cosas, y el sábado fue el día con mayor intensidad. Se ha estado trabajando todo el fin de semana para que ayer no fuera un lunes negro. Ahora hay 170 países afectados, con 1.200 empresas y 236.000 equipos infectados.

–¿Y España?

–Ocupa el puesto 18 de 170 país, con 1.200 infecciones y nueve empresas perjudicadas. No somos de los países más afectados, sino China, Rusia, EE UU, Reino Unido, Francia y luego Turquía, Ucrania... al mismo nivel.

–Telefónica fue la primera afectada en nuestro país. ¿Cuáles son las otras ocho?

–Tenemos un acuerdo por el que no te puedo responder a eso. Pero sí decirte que el viernes eran tres, el sábado dos más y desde el domingo son nueve las empresas afectadas.

–¿El virus ha afectado a nivel usuario?

–No, no ha infectado a los dispositivos de ciudadanos ni de pymes sólo de grandes empresas, y en el caso de España a a su red corporativa.

–¿Cuánto tiempo han podido tardar en crear y liberar el ciberataque y cómo lo han hecho?

–En agosto de 2016 un grupo de hackers no identificado entonces –se dio a conocer precisamente por esto–, que se llama The Shadow Brokers, hackeó a otro grupo de hackers, Equation Group. Le robó información, en concreto un «sploit», una herramienta que sirve para explotar una vulnerabilidad. En marzo de 2017, Microsoft parcheó todas las vulnerabilidades altas o críticas entre ellas la que ha estado usando este virus informático. Y en abril The Shadow Brokers hace público el «sploit», lo libera, lo vende. A mediados de abril alguien lo compra, y desde entonces empiezan a modificar el código para lanzarlo a Internet, que es lo que hicieron el pasado viernes 12 de mayo por la mañana. El código del virus es casi casi calcado al liberado en abril.

–¿Se sabe ya el país de origen del ciberataque?

–Aún no. Se habla de China, pero no lo podemos confirmar, porque no se puede rastrear.

–Este tipo de ciberataques se suelen hacer por dinero. Pero no han obtenido mucho...

–El domingo habían recaudado 26.000 euros a nivel internacional, nada más. Muy pocas empresas están pagando.

–¿Alguna española ha pagado?

–No, las nueve empresas nos han dicho que no han pagado.

–¿Cómo se puede evitar otro ciberataque?

–Lo más importante es tener los equipos actualizados y bien protegidos, con antivirus y cortafuegos, eso como mínimo. También es muy importante tener copias de seguridad para, en caso de que entre el virus, puedas apagar el equipo, resetearlo y te puedas poner a trabajar. Y algo esencial es usar el sentido común, ya que este virus entra por el correo electrónico, por banners, publicaciones que hacen en redes sociales... Te piden que abras un adjunto de un correo, que pinches en un link de una falsa factura, un enlace a una «noticia». Si lo abres, el «ramsomware» buscará otros equipos que estén en la red para infectarlos. No hay que pinchar, incluso aunque te vengan de fuentes fiables.

–¿Cuántos ciberataques llevamos este año?

–A 30 de abril llevamos más de 50.000 incidentes de ciberseguridad resueltos. En 2016 resolvimos 115.000. Y en 2015: más de 30.000. Si lo extrapoláramos parece que en 2017 vamos a llegar a los 200.000.