Del VIP (very important person) al VAP (very attacked person). Así ha dibujado Proofpoint el escenario de seguridad informática en el que a día de hoy, se encuentran la mayoría de las empresas.

En la presentación de su nueva estrategia comercial para España, Ryan Kalember, VP de esta compañía de ciberseguridad, ha destacado que en los últimos años, el objetivo de los cibercriminales ha pasado de atacar la infraestructura informática de una compañía, a poner su punto de mira en las personas que forman parte de la misma.

¿Por qué? Porque mientras que la seguridad de los distintos componentes informáticos que se integran en una compañía ha mejorado exponencialmente, el ser humano sigue cometiendo una y otra vez, los mismos fallos.

“Pensad en términos de negocios” ha explicado Kalember, “resulta tremendamente complicado y costoso para un cibercriminal identificar y explotar con éxito una posible (pero cada vez más remota) vulnerabilidad informática. Sin embargo engañar a los usuarios de esa tecnología, atacarles con phishing, suplantar su identidad, etc. sigue siendo muy sencillo. El ROI de este tipo de ataques es mucho mayor”.

A continuación ha indicado que siendo esto así, resulta sorprendente comprobar cómo mientras la mayoría de ataques dirigidos contra las empresas entran en alguna categoría de phishing, spoofing o de suplantación de identidad, las grandes empresas destinan menos del 10% de su presupuesto de seguridad informática en proteger el área más crítica de su seguridad informática: el correo electrónico de sus empleados. Y no sólo su correo corporativo: también su correo personal, sus cuentas en la nube y todo aquello que forma parte de su identidad on-line y que por lo tanto, es susceptible de ataque.

En este sentido, ha recalcado, la estrategia de ciberseguridad de las empresas no será efectiva hasta que centren sus esfuerzos no tanto en proteger su “hierro”, sino a todas esas personas que con nombre y apellido se han convertido en las víctimas favoritas de los cibercriminales, esos VAP con las que abríamos el artículo.

DMARC y la protección de la identidad de los empleados de una empresa

Pongamos como ejemplo la suplantación de identidad de un trabajador. Como afirma un reciente estudio elaborado por Proofprint, no existen en España una auténtica conciencia de que esto sea un problema, ya que sin ir más lejos, el 70% de las grandes empresas españolas que forman parte del IBEX 35, no han asegurado su correo electrónico en este campo, ni utilizan un método de referencia, como puede ser DMARC.

Desarrollado en 2012 por proveedores como Google, Yahoo, AOL y Microsoft, DMARC es un sistema de verificación de identidad cuyas siglas significan Autenticación de Mensajes, Informes y Conformidad basada en Dominios.

Considerada como la mejor medida para luchar contra ataques como el conocido como “el fraude del CEO” , nuestro país se encuentra en una posición un tanto rezagada a la hora de implementar DMARC (31%), frente a países como Suecia (43%), Reino Unido (42%) o Francia (38%).

Y es una pena porque como explica Kalember, ““DMARC funciona como una especie de control de pasaportes en el ámbito de la seguridad del correo electrónico. Garantiza una autenticación correcta de los remitentes, verificando que son quienes dicen ser, de acuerdo a los estándares DKIM (DomainKeys Identified Mail) y SPF (Sender Policy Framework), protegiendo a los empleados, clientes y socios frente a aquellos cibercriminales que quieren hacerse pasar por una compañía o marca de su confianza”.

¿Quién sí está haciendo bien los deberes en nuestro país? Como no podía ser de otra forma y por su exposición continua a todo tipo de ciberataques, la banca. Y es que como recoge el informe de Proofprint, de las 11 organizaciones del Ibex 35 con DMARC, el 45% pertenecen al entorno financiero, incluyendo cinco de los seis principales bancos del país.