Para una pequeña o mediana empresa, un ciberataque ya no representa únicamente un problema tecnológico. Las pérdidas económicas fueron la principal consecuencia de los incidentes de ciberseguridad más graves registrados por las PyMEs latinoamericanas durante los últimos 12 meses, reportadas por 31% de los participantes en un estudio de Kaspersky.
El impacto alcanza directamente la operación. El 27% señaló interrupciones en procesos de negocio como finanzas, recursos humanos o asuntos legales, mientras que 25% enfrentó suspensiones temporales de servicios dirigidos a clientes, entre ellos sitios web, tiendas en línea y cuentas personales.
Los resultados provienen de una investigación realizada entre profesionales de TI y seguridad informática. El estudio incluyó 1,800 entrevistas en 18 países, entre ellos México, Brasil y Colombia; 616 participantes pertenecían a pequeñas y medianas empresas.
LEE: De Guadalajara a más de 20 países: OMNILIFE cumple 35 años y acelera su expansión
Phishing encabeza los incidentes de mayor impacto
Entre los ataques considerados más dañinos por las PyMEs de Latinoamérica, el phishing ocupó el primer lugar, con 12% de las respuestas.
Le siguieron el uso de credenciales débiles o robadas, con 9%, y los ataques de ransomware, con 8%.
Aunque cada modalidad funciona de manera diferente, el riesgo financiero surge cuando el atacante consigue acceder a información, cuentas o sistemas indispensables para mantener funcionando la empresa.
Un incidente puede entonces desencadenar gastos de recuperación, interrupciones de actividad o afectaciones sobre servicios utilizados por clientes.
¿Qué buscan los ciberdelincuentes en las PyMEs?
La información se mantiene como uno de los principales activos perseguidos.
El 29% de los encuestados señaló que el robo de información sensible, incluidas credenciales financieras y documentos legales, fue el principal objetivo identificado durante los incidentes de mayor impacto.
A este propósito le siguieron el robo de datos personales de clientes y empleados, ambos con 27%, mientras que 25% reportó la manipulación o alteración de información.
Una brecha puede, además, prolongar el riesgo después del ataque inicial. La información comprometida puede utilizarse para intentar otros fraudes, acceder a sistemas adicionales o afectar a clientes y colaboradores.
Finanzas está entre las áreas más afectadas
La investigación también muestra que las consecuencias de los ataques no permanecen exclusivamente dentro de los departamentos tecnológicos.
Los equipos de seguridad de TI fueron señalados como los más afectados, con 40%; inmediatamente después aparecen contabilidad y finanzas, con 36%, seguidos de TI, con 35%.
Para una PyME, la afectación de estas áreas resulta particularmente sensible debido a la concentración de información financiera, credenciales y procesos necesarios para mantener la actividad cotidiana.
“El desafío para una PyME no es invertir en ciberseguridad sin límite, sino saber dónde están sus mayores riesgos y utilizar sus recursos de manera estratégica”, señaló Diego Cortés, gerente general de Kaspersky para México.
El directivo explicó que proteger todos los activos de la misma manera no necesariamente representa la respuesta adecuada cuando los recursos son limitados. La prioridad debería estar en identificar qué información, sistemas y operaciones presentan el mayor impacto potencial.
¿Qué hacen las empresas después de sufrir un ciberataque?
Los incidentes también están provocando cambios en la manera en que las organizaciones administran su seguridad.
Después de enfrentar un ataque, 30% de las PyMEs consultadas implementó un modelo Zero Trust o el Principio de Mínimo Privilegio (PoLP) para empleados, socios y contratistas.
Otras medidas adoptadas fueron:
- 28% introdujo o actualizó la capacitación de sus equipos de TI.
- 27% reforzó sus políticas de contraseñas.
- 27% incorporó o actualizó la realización periódica de copias de seguridad.
- Las organizaciones también comenzaron a revisar accesos y privilegios para limitar la exposición de información crítica.
La lógica detrás del principio de mínimo privilegio consiste en proporcionar a cada trabajador, proveedor o contratista acceso solamente a los sistemas e información indispensables para desempeñar sus funciones.
El costo de detener una empresa
El estudio no cuantifica el monto promedio perdido por las empresas afectadas, por lo que el 31% que reportó pérdidas económicas no debe interpretarse como una estimación del costo monetario promedio de un ciberataque.
Sin embargo, las consecuencias reportadas permiten identificar dónde puede originarse el impacto financiero.
Si un ataque interrumpe una tienda en línea, bloquea procesos administrativos o compromete credenciales financieras, el costo puede extenderse desde la recuperación tecnológica hasta las horas de operación perdidas.
Kaspersky recomienda que las PyMEs identifiquen previamente sus sistemas, información y procesos críticos; mantengan copias de seguridad periódicas y comprueben que puedan restaurarlas; establezcan responsabilidades de respuesta; revisen permisos de acceso y capaciten a los trabajadores frente a amenazas como el phishing.
Ciberseguridad también es administración de riesgo financiero
Los resultados muestran un punto relevante para las finanzas empresariales: la ciberseguridad debe incorporarse a la administración de riesgos de una PyME, no limitarse al presupuesto del departamento de TI.
La muestra tampoco representa exclusivamente a México —el estudio abarca 18 países y sus cifras regionales corresponden a Latinoamérica—, por lo que los porcentajes no deben trasladarse automáticamente a todas las PyMEs mexicanas.
Para las pequeñas empresas, donde presupuesto, personal y liquidez suelen tener márgenes más estrechos, el desafío consiste en priorizar. No se trata necesariamente de elevar indiscriminadamente el gasto tecnológico, sino de calcular qué sistemas pueden detener el negocio, qué información generaría mayores pérdidas si fuera comprometida y cuánto costaría recuperar la operación. Cuando 31% de las empresas consultadas identifica pérdidas económicas como consecuencia de sus incidentes más graves, la protección digital pasa a formar parte de las decisiones financieras del negocio.
