Ni Rusia ni Israel: estos son los autores de los últimos 'hackeos' masivos en España

A ninguno de los expertos en ciberseguridad consultados por ABC le sorprende la sucesión de incidentes. Igual que tampoco descartan que en las próximas semanas los sufran otras empresas españolas. Básicamente, para ellos solo son nuevos ejemplos que refuerzan una teoría bien sabida, y aprendida por las malas: que la red cada vez es más un polvorín en el que nadie, absolutamente nadie, está completamente a salvo. Da igual que la compañía mueva millones de euros al mes, o que sea una pyme que lucha por mantenerse a flote. Si un grupo cibercriminal te quiere 'hackear', lo más probable es que lo consiga.

«La cantidad de ciberataques ha explotado y cada vez son más sofisticados y ofrecen mejores resultados. Estamos viendo que sea quien sea el que lo intenta, por desgracia, lo está consiguiendo. Da igual el objetivo, si alguien busca 'hackearte' lo más posible es que lo consiga», explica Hervé Lambert, director de operaciones de la empresa de ciberseguridad Panda.

«Llevamos unos años que es un no parar. Y que nadie se confunda, porque esto es la norma. Es la nueva normalidad. Se han sucedido ataques contra cuatro importantes instituciones españolas, pero igual al mes que viene los problemas son para siete de Alemania o cinco de Francia. Es la nueva normalidad en la que nos encontramos ahora», dice, por su parte, David Sancho, jefe de investigación de la empresa de ciberseguridad Trend Micro.

Ni a Lambert ni a Sancho les falta razón. Las cifras de ciberataques anuales les avalan. El negocio de andar explotando agujeros por internet cada vez se está volviendo más rentable. El coste medio de filtraciones de datos, como las que han sufrido las firmas españolas, se mueve por encima de los 4 millones de euros, de acuerdo con cifras de IBM. Esto es un 15% más que hace tres años. Y si la factura a pagar para la víctima sube, lo mismo ocurre con el número de amenazas y de 'hackeos'. En el caso de España los ciberataques se duplicaron entre 2022 y 2023 alcanzando solo el año pasado los 107.777 incidentes, de acuerdo con el Centro Criptológico Nacional (CCN). Y 130 de ellos fueron contra infraestructuras críticas, un 75% más que en 2022.

Es la pescadilla que se muerde la cola. Y, además, todo apunta a que el oficio de hurgar en la información de empresas punteras no está ni cerca de alcanzar el pico, gracias al desarrollo de soluciones como el 5G o la inteligencia artificial. Las grandes organizaciones del cibercrimen, que operan como mafias y son a las que los expertos relacionan directamente con los 'hackeos' recientes en España, van a dar todavía más problemas a las organizaciones nacionales. ¿La razón? De nuevo, el dinero. Vulnerar los sistemas de una empresa del Ibex es 'caza mayor', y la recompensa puede ser de varios millones de euros en caso de que la firma de turno acceda a pagar un rescate a cambio de evitar la filtración. Algo que jamás es recomendable, porque pagar no garantiza nada.

«Antes los ciberataques eran más masivos. Por ejemplo, se enviaban correos en los que se intentaba estafar a cualquiera. Ahora vemos que esto está cambiando, las campañas de las mafias están cada vez más dirigidas contra objetivos concretos», dice Sancho.

España, como cualquier otro país, puede ser objetivo de ataques patrocinados por países antagonistas. Cada mes sufre tres de esa clase, y, además, de los críticos, según el CCN. Sin embargo, los expertos descartan que los recientes 'hackeos' entren en este grupo. «Eso lo han hecho criminales que lo que buscan es dinero, claramente. Nada de Israel o Rusia, como se está comentando por ahí», explica Josep Albors, jefe de investigación en la empresa de ciberseguridad ESET. El grupo cibercriminal ShinyHunters, operativo desde 2020, por ejemplo, ha reconocido su autoría en el ataque al Santander, y ya está comerciando con los datos de clientes en un foro de la Dark Web. Todo gracias, aparentemente, a un 'hackeo' sufrido por una empresa que ofrece servicios en la nube a la entidad: Snowflake, que también trabaja para Telefónica.

Sin embargo, la firma lo niega: "No hemos identificado evidencia que sugiera que esta actividad fue causada por una vulnerabilidad, mala configuración o violación de la plataforma de Snowflake".

A pesar de que los ataques han derivado en filtración de datos, Albors señala que los indicios no demuestran que «estén relacionados» o hayan sido llevados a cabo por el mismo grupo.

«Por el foro en donde se ha publicado la filtración, que es de fácil acceso, queda claro que no se trata de una operación geopolítica», remata el experto de ESET. Y Sancho comparte su opinión: «Han ido a por los datos de clientes para realizar estafas, algo típico de estas bandas». El jefe de análisis de Trend Micro apunta que cuando es un estado el que ataca, lo normal es que su objetivo no sean datos de clientes, que es lo que ha pasado en estos casos, sino la realización de ataques que impidan a organismos estatales o empresas clave operar con normalidad o prestar servicios. «Esto es lo que se está viendo mucho en Palestina e Israel y en Rusia y Ucrania ahora mismo debido a la guerra», zanja el experto.