Exsel presenta el nuevo sistema de prevención que incorpora opcionalmente a ESCUDO CIBER y anuncia un nuevo ciberseguro personal para 2021

El pasado 24 de noviembre tuvo lugar el seminario virtual sobre Ciberseguridad, ¿El reto definitivo de la industria”, organizado por el Club de Aseguradores Internacionales (CAI), junto con EXSEL, y con la participación como ponentes de Álvaro Satrústegui (CEO de EXSEL) y Mario Martín (Project Manager de CENTRIBAL) 

Tras una breve introducción a cargo de Francesc Rabassa, presidente del CAI, remarcando la importancia crucial de la ciberseguridad, especialmente para las PYMEs, y recordando que ha provocado problemas con pérdidas por ciberataques espectaculares de hasta 7 millones de euros de media, el CEO de Exsel, Álvaro Satrústegui, enfocó la sesión en dos ámbitos: la prevención y la protección del seguro, de las que dijo tienen ambas mucha trascendencia. 

Mario Martín expuso sencillos métodos y consejos para reducir mucho el impacto de los ciberataques, muchas veces herramientas que tenemos al alcance en nuestro día a día, pero otras muchas no, con lo que se deja abierta la opción a que los ciberdelincuentes puedan secuestrarle a las PYME gran parte de la información. 

Martín explicó que en los análisis de ciberriesgo web se proporciona un informe detallado, con un análisis de puertas abiertas no securizadas para evitar el robo de datos. Puso el ejemplo de las webs con formularios de toma de datos de contacto, o la existencia de una pasarela de pago sin los parches de seguridad oportunos, lo que abre la opción de robo de información. 

Comentó, además, que la monitorización de seguridad es como el vigilante de seguridad física de nuestros trabajos, y que el impulso al teletrabajo desde dispositivos donde se navega por páginas al margen de las profesionales genera nuevos riesgos que esta monitorización permite detectar en tiempo real y resolver las vulnerabilidades detectadas en tiempo real, las 24 horas. La monitorización de seguridad funciona en todos los dispositivos (ordenadores, tabletas, móviles, etc), en los que intenta proteger siempre de las conexiones del router, y proporciona un informe detallado de qué puertos son vulnerables para que no se acceda a través de ellos. Martín aconsejó intentar trabajar siempre a través de una VPN y que los routers estén securizados.

Los ramsomware son virus que pueden entrar a través de descargables o bien de páginas y suelen actuar tan rápido que encriptan toda la información. La solución de anti-ramsomware de Centribel los bloquea en el momento que los detecta y los pone en cuarentena, para evitar que se expandan a ningún servidor y anularlos. Si no sucede, se produce automáticamente un mensaje de rescate (Satrústegui recordó en este punto que éste fue el problema que ha tenido recientemente Segurcaixa). En Centribal cuentan con laboratorios de recuperación de datos, y les llegan casos de empresas que reciben estas encriptaciones, y muchas veces pasan a los servidores, de forma que, si la encriptación no está publicada por los atacantes, esto evita la restauración de los datos y éstos se pueden perder. 

Muy enlazado con este riesgo van las copias de seguridad, que Martín subrayó que es muy importante generar, pues los ataques suelen afectar a información crítica. Destacó que muchos soportes de copia de seguridad no cumplen con el Reglamento General de Protección de Datos (RGPD), por ejemplo, cuando los datos residen fuera de Europa o en países no reconocidos como seguros por el Reglamento.

En los sistemas de seguridad avanzados, Centribel proporciona un servicio reactivo de vulnerabilidades o brechas, ya que se fuerza y se parchea con actualizaciones de seguridad a la última versión en las ocasiones en que se deja la puerta abierta a atacantes al no actualizar manualmente a versiones más seguras del software por parte del usuario. Mario Martín recomendó, asimismo, la instalación de antivirus en todos los dispositivos conectados.

Por último, comentó que desde Centribel se realizan ataques muy controlados a través de expertos para testar el sistema de seguridad implantado, y detectar mejoras que permitan que sean 100% seguros. Estas auditorías se conocen como “hacking ético”

Ingeniería social

Mario Martín hizo incidencia en la ingeniería social, muchas veces conocida como phishing, que está sufriendo un aumento imparable. Particularmente, se ataca al departamento financiero, entrando para analizar los correos electrónicos y equipos de estos departamentos durante un tiempo, con el fin de suplantar la identidad posteriormente. 

Mencionó un caso reciente en una empresa donde se analizaron los proveedores y correos, para luego suplantar al departamento de Administración ordenando una transferencia bancaria directamente desde el correo del director a la cuenta fraudulenta del atacante. Esto es irrecuperable y puede conllevar grandes pérdidas y no se suele poder dar marcha atrás.

¿Cómo evitar estos ataques? Martín comentó que la formación y a la concienciación es fundamental. Recomendó que las empresas apuesten porque todos sus empleados estén preparados. Para esto hay herramientas como las de Centribal que realizan entrenamientos y ataques de suplantación para comprobar que los empleados están preparados. La ingeniería social viene muchas veces de parte de las personas, porque muchas veces existen erratas que serían detectables, ya que los atacantes cometen pequeños fallos que puede entrenarse a los empleados para detectarlos.

Protección: ESCUDO CIBER

Álvaro Satrústegui incidió en la necesidad de cobertura para la protección de datos, para cualquier brecha de seguridad o privacidad, para defendernos de las reclamaciones que vamos a recibir como consecuencia de esas brechas, pero, sobre todo, afirmó taxativamente que es imprescindible tener un seguro que sea lo más completo posible. 

Valoró que un problema en la mayoría de los seguros de ciberriesgos es que son parciales en sus coberturas, y la mayoría de ellos tienen una parte básica y el resto de las coberturas son opcionales. Insistió en que es necesario un seguro con cobertura integral, que haga especial incidencia en la inclusión de la ingeniería social y el ramsomware, con dos ejemplos recientes de ataques en el propio sector asegurador como los sufridos por Mapfre o el propio de Segurcaixa.

En relación con los siniestros en 2020, han aumentado un 400% las incidencias relacionadas con la ingeniería social, con casos en todos los sectores. Satrústegui comentó varios de estos casos, siniestros recientes que demuestran la doble necesidad comentada de prevención y protección del seguro: 

• Un primer ejemplo de caso que culminó con más de 200.000 euros de pérdidas, aunque empezó con un rescate, y se complicó, hubo que avisar a la APD, pero afectó a un buen número de clientes; 
• Cuentan también con tres casos de suplantación de identidad y transferencia de fondos, uno de 250.000 euros y otro, el que menos, de 92.000 euros; 
• En un tercer caso, se clonó un teléfono móvil provocando que le vaciaran la cuenta al cliente. 

Por ello, Satrústegui hizo hincapié en que “no estamos nadie a salvo, y es necesario contar con un cierto nivel de prevención, y contar en nuestras empresas con un seguro de ciberriesgos”.

En Exsel, han lanzado un ciberseguro, ESCUDO CIBER, cuyas claves son contemplar las coberturas necesarias de serie, dedicarse a las PYME (hasta 30 millones de facturación) y hacerlo con un precio razonable, porque al principio, entre las primas mínimas y las franquicias, según confesó Satrústegui, era prácticamente inasequible. Hoy, la realidad, según subrayó, es que han conseguido un seguro completo y focalizado en PYME (aunque pueden analizar casos de empresas mayores), porque una PYME puede llegar a quebrar con un agujero de 500.000 euros.

Actualmente, según incidió Satrústegui, se pueden contar con los dedos de una mano las compañías que cubren ingeniería social, y ello sin primas asequibles para las PYME, debido al elevado riesgo y a la proliferación de estos ataques.

Satrústegui anuncia un Seguro Ciberpersonal para el primer trimestre de 2021

Asimismo, Álvaro Satrústegui anunció en primicia durante su presentación el lanzamiento inminente en el primer trimestre de 2021 de un ciberseguro personal o familiar, pues aseveró que con más motivo hay que lanzar un producto dedicado al ámbito doméstico. Exsel ya estaba trabajando estas coberturas con profesionales, y el primer trimestre del año que viene, Exsel podrá ofrecer el primer ciberseguro familiar del mercado.

Debate

En el debate, preguntaron si el ESCUDO CIBER incorpora los planes de prevención explicados por Centribel, y Satrústegui comentó que el servicio de prevención que se incorpora a ESCUDO CIBER se ofrece de forma optativa a los asegurados, o incluso aunque no sean asegurados, aunque los primeros contarán con descuento en el seguro si contratan el servicio de protección.

Respecto al precio, por el que también se interesaron en el debate, este servicio tiene un coste, según explicó Martín, que varía por dispositivo, pero puede oscilar entre 40 a 50 euros al mes protegiendo 5 dispositivos con la multitud de servicios de prevención descritos.

Preguntaron, también, si en el caso de un proveedor que recibe un correo (falso) de un cliente que le indica que debe hacer un pago a una cuenta fraudulenta, y tanto el cliente como el proveedor tienen seguro de ciber, ¿a quien le toca la cobertura de este siniestro? Satrústegui dijo que hay probable concurrencia, ya que, en muchos casos, por ejemplo, el que comentó antes de 92.000 euros, el hacker estuvo dos meses dentro preparando el ciberdelito, por lo que pudo expandir la acción por varios servidores. Dijo, además, que es tristemente probable que ninguno de los dos seguros incluya el ciberdelito. En el caso citado, fue un proveedor que recibió un correo (falso) de un cliente que le indicaba que debía hacer un pago a una cuenta fraudulenta, y tanto el cliente como el proveedor tenían seguro de ciber, y están en disputa sobre qué seguro lo cubre. Sobre quién le toca la cobertura de este siniestro, Satrústegui recomendó seguir la trazabilidad para esclarecerlo.

Se interesaron también por la duración de los siniestros, tanto en el delito en sí como en su resolución. Satrústegui comentó que las extorsiones suelen ser rápidas y debe pagarse el rescate. Sin embargo, añadió que los casos de suplantación sí requieren de un informe de informática forense mucho más sofisticado, y puede irse a semanas o incluso meses.

También se interesaron los asistentes sobre si es cierto que hay pólizas que cubren las sanciones impuestas por la Agencia de Protección de Datos, y Satrústegui respondió que sí, particularmente las sanciones de tipo administrativo.

Álvaro Satrústegui culminó con una advertencia cordial: “El que no tenga el seguro de ciberriesgos se la está jugando -dijo-, y el que no tenga cubierta la ingeniería social, hay que recordar que representan más del 70%”, así que recomendó revisar el mapa de riesgos y tomar decisiones al respecto.