El seguro contra delitos cibernéticos está empeorando el problema del ransomware

El seguro contra delitos cibernéticos está empeorando el problema del ransomware Durante la pandemia de COVID-19, hubo otro brote en el ciberespacio: una epidemia digital impulsado por ransomware.

Varias organizaciones en todo el mundo fueron víctimas de extorsionadores cibernéticos que robaron datos para venderlos a otros delincuentes o los retuvieron como rescate para obtener ganancias. La gran cantidad de ataques indica que la seguridad cibernética y las defensas contra ransomware no funcionaron o tuvieron una efectividad limitada.

Las empresas están recurriendo a las compañías de ciberseguros en desesperación por protegerse del ataque. Pero el crecimiento de la mercado de ciberseguros solo está alentando a los delincuentes a apuntar a compañías que tienen seguro contra extorsión.

Un estudio de 2021 de la Universidad de Leeds descubrió que hubo una aceleración masiva en los principales ataques cibernéticos a las organizaciones durante la pandemia. El documento también mostró un «cambio en las tácticas de los delincuentes que aumentan los niveles de miedo en las víctimas… dichas tácticas incluyen un cambio hacia nombrar y avergonzar a las víctimas, el robo de datos comerciales confidenciales y ataques dirigidos a organizaciones que brindan servicios a otras organizaciones».

Un informe de empresa global de ciberseguridad Sophos descubrió que el 66 % de las organizaciones encuestadas, de 31 países, se vieron afectadas por ransomware en 2021, frente al 37 % en 2020. El rescate promedio pagado aumentó casi cinco veces a US $ 812,360 (£ 706,854). Las compañías de seguros a menudo optan por pagar los rescates que exigen los ciberdelincuentes: el 82% de las compañías del Reino Unido paga.

¿De dónde vienen los ataques?

Según un grupo de expertos de EE. UU., el Consejo de Relaciones Exteriores 22 países son sospechosos de patrocinio de ataques cibernéticosincluidos los Estados Unidos.

y un nuevo mercado negro en el que los ciberdelincuentes proporcionan productos y servicios a otros ciberdelincuentes es floreciente e impulsando la oleada en ataques de ransomware. El llamado ransomware permite que todos, desde adolescentes hasta aficionados expertos y delincuentes profesionales, alquilen malware, herramientas de cifrado e incluso billeteras de Bitcoin.

Es como un delincuente que alquila un arma a otro delincuente que la fabricó.

En julio de 2020, tres adolescentes hackearon Twitter. El ataque resultó en el secuestro de 130 cuentas, algunas de las cuales incluían objetivos de alto perfil como Joe Biden, Barack Obama, Apple, Elon Musk y Bill Gates. Las cuentas de bitcoin asociadas con su estafa de ransomware recibieron más de 400 transferencias por un total de más de US $ 100,000 (87.000 libras esterlinas).

¿Cuál es el problema con el seguro?

Los últimos años han visto un aumento en pólizas de seguro especializadas en ciberdelincuencia. El mercado mundial de seguros contra delitos cibernéticos es predicho para crecer de US$7 mil millones en primas emitidas brutas (GWP) en 2020 a US$20,6 mil millones en 2025.

Las aseguradoras deben hacer más para desalentar las prácticas de seguridad incompetentes. Los conductores de automóviles deben aprobar exámenes teóricos y prácticos de manejo. Pero las pólizas de seguro cibernético rara vez auditan la seguridad de TI de una organización antes de que se finalice la póliza.

A norma ISO estandarizada (estándares de gestión de calidad acordados internacionalmente por expertos) para el software no existió hasta 2015. Esto significa que los clientes no tienen forma de juzgar los estándares de seguridad de nada producido antes de 2015. Incluso ahora, algunos de los evaluaciones de riesgo por lo que pasaría un software en su vida podría ser menos riguroso que para la tetera de nuestra casa. Y las pruebas ISO son voluntarias.

El mercado carece de comprensión de los ataques cibernéticos sofisticados a gran escala. El sector asegurador trabaja determinando la probabilidad de que ocurra un siniestro y el impacto que tendría. El mercado de los seguros cibernéticos tiene dificultades para pronosticar la probabilidad de ataques cibernéticos porque los cambios en la tecnología digital pueden ser muy impredecibles. Las capacidades e intenciones de los atacantes cambian rápidamente.

La mayoría de las aseguradoras actualmente tienen sin datos a largo plazo para ciberincidentes o ransomware. Esto ha llevado a programas de ciberseguros con fondos insuficientes, que dependen en gran medida de modelos financieros optimistas.

Como resultado, cada vez es más difícil asegurar el ciberseguro, ya que el creciente número de reclamaciones obliga a los tasadores a ser más exigentes con los clientes que aceptan. Lloyds de Londres lanzó nuevas reglas en diciembre de 2021 declarando que los suscriptores ya no cubrirán los daños causados ​​​​por «guerra o una operación cibernética que se lleve a cabo en el curso de la guerra».

primas de seguro aumentado en un 22% en 2020 y un 32% más en 2021 en 38 países. El costo incurrido por el negocio se obtiene pasado a los clientes. La demanda de ransomware contribuirá al aumento general del costo de vida a medida que costos de ransomware se transmiten a los clientes.

Como parte de mi trabajo con el Centro de delincuencia Northern Cloud, analicé la eficacia de las leyes del Reino Unido para regular la actividad delictiva en la nube. Descubrí que la legislación sobre delitos cibernéticos en el Reino Unido no ha seguido el ritmo de los desarrollos tecnológicos y de mercado durante los últimos 30 años. La Ley de uso indebido de computadoras de 1990 debe actualizarse para que sea más eficaz en la vigilancia del delito cibernético. Si no podemos arreglar la situación, amenazará los empleos y la inversión en el Reino Unido.

cuál es la solución

Los ataques de ransomware son tan efectivos porque explotar las debilidades humanas y la falta de defensas tecnológicas de las organizaciones.

Las autoridades encargadas de hacer cumplir la ley aconsejan a las víctimas de ransomware no pagar el rescate porque alienta más ataques y alimenta una circulo vicioso.

Pero la prevención es la mejor solución. Las organizaciones deben esforzarse más en desarrollar medidas de seguridad, como un sistema de autenticación multifactor. Los gerentes también deben realizar pruebas de penetración, donde un experto en ciberseguridad busca vulnerabilidades en un sistema informático.

Las empresas están legalmente obligadas a tener un plan contra incendios. Ha llegado el momento de las pruebas obligatorias de resistencia al ransomware y al phishing. La industria de seguros necesita establecer requisitos mínimos de seguridad como parte de la evaluación de riesgos. Las organizaciones necesitan una mayor transparencia con respecto a la seguridad que tienen y no tienen implementada.

Cada vez hay más consenso entre los investigadores de que la seguridad cibernética sólida no se puede lograr solo con tecnología porque los errores humanos son los culpables de una gran cantidad de incidentes. El gobierno del Reino Unido está proponiendo nuevas leyes para regular los estándares de ciberseguridad. Pero estas leyes no funcionarán si no se invierte en educación pública sobre las amenazas de phishing.

El seguro contra delitos cibernéticos puede ayudar a minimizar la interrupción del negocio, brindar protección financiera e incluso ayudar con las acciones legales y reglamentarias después de un incidente cibernético. Pero no resolverá los problemas que crearon la vulnerabilidad a un ataque en primer lugar.

Este artículo se vuelve a publicar de La conversación bajo una licencia Creative Commons. Leer el artículo original.