«Hoy día ocurren más ataques en la red que en la vida real y no estamos preparados aún para afrontarlos». Entrevistamos a Eduardo Sánchez Toril.

Antes de comenzar con la entrevista queremos presentaros un poco mejor a este gran profesional, para los/as que no le concéis, haciendo un repaso por su vida profesional:

Edu, como le llaman sus amigos, estudió en la UCO ingeniería técnica en informática de sistemas, siguiendo ampliando sus conocimientos en este sector en la Universidad de Granada. Además de tener diferentes credenciales y formaciones específicas ya más centradas en la ciberseguridad y el entorno del ciber-ataque, concretamente tres másters en Seguridad TIC sobre «Seguridad en redes y sistemas», «Seguridad de servicios y aplicaciones» y «Gestión y auditoria de la seguridad informática» en la Universidad Oberta de Cataluña.

Es formador desde hace más de 6 años en diferentes universidades reconocidas como: Universidad Francisco Vitoria, Universidad de Extremadura, Universidad de Córdoba o Universidad Castilla La-Mancha, siendo además CEO de su propia empresa AllPentesting, empresa especializada en ayudar a otras sobre todo lo relacionado con la ciberseguridad. Además es perito judicial por la agencia de peritos judiciales AIF de Cataluña. Profesor de la Escuela Nacional de Policía de Ávila y formador/asesor de Fuerzas y Cuerpos de Seguridad del Estado.

Lo primero Eduardo, ¿Cuándo decidiste hacerte experto en esta materia de la ciberseguridad? ¿Hubo algo que dentro de ti hizo que quisieras especializarte en esto o era algo que habías tenido claro desde que iniciaste la carrera?

Desde siempre he tenido una gran inquietud por aprender cosas nuevas y sentirme preparado en mi carrera profesional ya que avanza en gran medida. Estando en Granada ya empecé a investigar lo poquito qué había en Internet e intentar buscar información en libros, pero no era mucha. Empecé a trastear con mi teléfono Android, rooteándolo y cambiando los permisos de las Apps para modificarlas y controlar la privacidad. Siempre me ha encantado la parte de seguridad móvil y así es como empecé, trasteando mi teléfono para sacarle el máximo rendimiento y que fuese lo más seguro y privado posible. Me apasionaba.

¿Cuáles podríamos decir que son los ciber-ataques más comunes que te encuentras en la empresa cuando os llaman para que le ayudéis desde Allpentesting?

Actualmente están haciendo mucho daño los ransomware, de forma que los cibercriminales aprovechan cualquier vulnerabilidad de una empresa o la poca precaución de los usuarios para conseguir entrar dentro de la organización y cifrar toda la información. Posteriormente piden un rescate económico si quieren recuperar los datos. Aquí entran las medidas de prevención que tenga la empresa en cuanto a política de copias de seguridad y/o las posibilidades que tengamos de obtener la información por otros medios.

Sin embargo, en la actualidad hay una estafa que se da constantemente y hemos gestionado muchísimas. Se trata de entrar dentro de la empresa, pero sin hacer ruido ni cifrar ninguna información, simplemente están al acecho monitorizando el correo electrónico. En el momento que se produce una transacción económica con un cliente o proveedor, suplantan la identidad de cualquiera de las dos empresas para cambiar el PDF de la factura con un número de cuenta diferente. De esta forma la transacción de dinero y la estafa llega incluso a ser tan silenciosa, que en ocasiones pasan semanas hasta que se reclama la factura con número de cuenta real y entonces descubren lo ocurrido. Ahí es cuando nos llaman y tenemos que tirar del hilo para solucionar el problema.

Según un estudio publicado por Deloitte en este mismo año, dice que la media anual de ciberataques sufridos el pasado año creció un 26% respecto a 2020, ¿por qué dirías que han aumentado tanto este tipo de ataques tras la pandemia? ¿tiene alguna relación?

Efectivamente la pandemia ha favorecido el aumento de los ciberataques ya que ha aumentado en gran medida el uso del teletrabajo y el uso de diferentes tecnologías relacionadas con la comunicación y las TICs que hacen que la superficie de exposición de las empresas en Internet haya aumentado, de ahí que se produzcan más ataques.

Si tuviéramos que hacer un examen sobre para ver lo preparadas que están las empresas y personas en España ante este tipo de ataques, ¿qué nota tendrían? ¿Y cuando hablamos de pyme?

Tendríamos notas muy dispares, hay gran cantidad de empresas que están muy concienciadas e invierten en ciberseguridad, lo cual no quiere decir que estén 100% seguras, ya que la seguridad total no existe, pero sí tienen menos probabilidad de sufrir antes un ataque. Porque no se si sabéis que sólo hay dos tipos de empresas: las que han sido atacadas y las que lo van a ser. No hay más.

Después nos encontramos con empresas que no le dan importancia a la ciberseguridad y no toman medidas hasta que no sufren un incidente. Por lo general, las empresas suelen ser reactivas más que proactivas. Y la mayoría de las pymes suelen ser así.

¿Habría algún sector que pudiéramos decir que se “está poniendo las pilas” para mejorar esto?

La tecnología avanza en gran medida y nos encontramos con diferentes sectores que se están incorporando a Internet, es por ello por lo que el sector Industrial tiene cada vez más dispositivos conectados y por tanto mayor superficie de exposición. Esto es muy bueno en cuanto a funcionalidad y control pero, por otro lado, requiere de poner especial atención en el tema de la seguridad. Aquí podemos estar hablando de infraestructuras críticas, como podría ser el sistema de iluminación de una ciudad, una planta petrolífera o en definitiva cualquier fábrica. Todas podrían tener pérdidas millonarias si sufriesen un ataque que les inhabilite el sistema un par de horas en el mejor de los casos.

Centrándonos en la industria, ya que la has nombrado sector en el que la ciberseguridad es clave y debería estar contemplada en las estrategias empresarial desde el inicio y desde los altos cargos, ¿qué consejos podrías dar tanto a directivos como a los cargos intermedios que al final son los que están en el día a día en el proceso de producción?

El consejo que les daría, como les digo a los clientes, es que te presenten un informe del estado actual de la ciberseguridad de su empresa, que conozca cuáles son los puntos débiles que tiene y por dónde te pueden llegar los problemas. Es imprescindible llevar a cabo un análisis de riesgos realista para que, cuando venga el problema no puedan decir, no lo he visto venir.

Para finalizar, queríamos saber cómo ves el futuro en este sentido y qué crees que está por venir que aún no sepamos el ciudadano de a pie.

No podemos ser adivinos sobre con qué nos sorprenderá el futuro tecnológico, actualmente está puesto el foco en todo el tema de las criptomonedas. Pero yo me centraría en conocer y solucionar los problemas a nivel de ciberseguridad que tienen las empresas a día de hoy que son muchísimos y poco a poco ir mejorando. Hay que tener en cuenta que la seguridad va por capas, cuantas más capas de seguridad y más barreras tengamos en nuestra empresa, más difícil se lo pondremos a los cibercriminales.