Clickbait: Las cifras de los ciberataques nos mienten... ¿o no?

Buenas a todos. Durante los últimos años cuando se hablaba sobre los ciberataques sufridos por las empresas, la ciudadanía ha sido testigo de una guerra de cifras, un aluvión de datos que, de ser realidad, significarían que casi la totalidad de nuestro tejido empresarial habría sido comprometido. ¿Es esto cierto? En parte sí, porque hoy en día rara es la persona física o jurídica que no se encuentra, como mínimo, en una lista de spam, en un leak de alguna red social, etc. Sin embargo, debemos de ser cautos y consecuentes con nuestras afirmaciones, dado que sembrar el miedo sin criterio no hace ningún bien a nadie, y podemos ocasionar que las empresas y la ciudadanía en general se precipiten en la toma de decisiones desacertadas. 

Los titulares de clickbait son maravillosos para ganar visitas o clientes, siempre y cuando lleven una verdad y un fundamento en su interior, pero afirmaciones como que el 91% de las empresas españolas han sido hackeadas durante 2019, como leía en la publicidad reciente de una empresa de nuestro sector, 91, así, sin anestesia y sin argumentos, creo que aportan poco, o nada.

"91" es un número entero muy concreto, un nº que se repite de forma constante en numerosos artículos generalistas de prensa desde el año 2014 (que yo haya encontrado, puede ser que hasta anterior).

¿Casualmente todos los años hackean el 91% de las empresas? ¿Cuál es la fuente original? ¿Cuál fue la población consultada? ¿Cuáles fueron las preguntas?

Encontraréis miles de cifras diferentes de cientos de estudios. Por seleccionar uno al azar, en ese año concreto, 2019, Ponemon Institute afirmaba que el 72% de las empresas habían sido hackeadas "a lo largo de su historia", y un 60% habrían sufrido un ataque en 2019. Hay nada más y nada menos que un 30% de gap. No sé Rick...

Buscando una cifra parecida, en 2018 la propia Forbes esperaba que 9 de cada 10 empresas fuesen hackeadas durante 2019, y viendo que ya ni las grandes se libran, podrían tener hasta razón. Pero es imposible comprobar este dato por más que nos empeñemos.

Uno de los grandes problemas es que la mayor parte de los ataques no se denuncian, por lo que no hay datos realistas. Y las encuestas que se realizan son, en su mayoría, en poblaciones muy limitadas y, por ello, se producen estas diferencias tan radicales entre los resultados de unos estudios y otros.

Si nos dirigimos hacia datos de verdad, como el Séptimo estudio sobre cibercriminalidad en España, con datos oficiales extraídos del Ministerio del Interior, vemos que se denunciaron 218.302 delitos relacionados con tecnología en 2019, lo que supuso un aumento en las denuncias del 35,8% frente a 2018, lo que podría justificar un aumento en los ataques, o un aumento en la concienciación de la sociedad, que se esté animando a denunciar. Sin embargo, estos datos solamente nos permiten inferir hipótesis puesto que 1) hablan de personas físicas y no de empresas (exceptuando los contados casos en infraestructuras críticas) y, lo más importante, 2) las empresas apenas denuncian, para evitar el escarnio público y su derivado daño reputacional.

Por concluir, y lo que vengo a decir con este post, es que está muy bien hablar de cifras, porque es necesario y ayuda a entender la magnitud del grave problema al que nos llevamos enfrentando varios años, pero que lo hagamos con el máximo criterio y rigor, con estudios formales, serios y por supuesto, citando siempre a las fuentes originales para que el lector pueda decidir si la cifra se la cree o no y si le aportará en una posible decisión.

¡Saludos!