Rastreado hasta un grupo de inteligencia chino que buscaba conocer más sobre ciudadanos estadounidenses, la infame brecha de Marriott no se descubrió hasta 2018, cuatro largos años después de que su red fuera comprometida por primera vez. Durante ese tiempo, incluyendo su adquisición de las marcas hoteleras Starwood, se cometía uno de los crímenes más notorios en la historia de la ciberseguridad.

Las credenciales, números de pasaporte, números de tarjetas de crédito e información personal fueron robados y explotados de aproximadamente 500 millones de clientes desprevenidos de Marriott. La destrucción que causó esta brecha se ha extendido a la política de EE. UU. y del extranjero a través de la guerra comercial y, en última instancia, podría resultar en uno de los mayores acuerdos comerciales jamás realizados.

Mientras tanto, Michael Kovrig, quien es asesor sénior del International Crisis Group, exdiplomático canadiense, y un esposo e hijo cariñoso, ha estado detenido en China por más de 500 días bajo cargos con motivación política relacionados con el desenlace de esta complicada y compleja brecha de datos. Se le ha permitido una sola llamada telefónica para hablar con su padre, cuya salud se encuentra en grave declive.

Volviendo a esta palabra destrucción, ¿dónde y cómo empezamos a contar las pérdidas y calcular los daños? ¿Se trata de dólares y centavos, del impacto psicológico y la pérdida de confianza, de los esfuerzos de reposicionamiento de marca, o de las vidas y familias realmente afectadas por este evento?

Parece casi imposible cuantificar el efecto en cascada que esta brecha seguirá teniendo, pero un hecho permanece igual: pudo haberse evitado.

Sabemos esto porque, a principios de 2020, Marriott reveló discretamente que el punto de entrada fue resultado de que las credenciales de inicio de sesión de dos de sus empleados fueron comprometidas, lo que permitió a los actores maliciosos finalmente acceder a los sistemas internos. Esta fue la segunda brecha de seguridad que Marriott había revelado en los 18 meses previos a este evento.

Aparte de la pérdida financiera, la pérdida de negocio, y la pérdida de confianza y una buena reputación cuando ocurre una brecha de datos, hay una pérdida mucho más grande y que lo abarca todo, que involucra a todos, incluso a quienes no se ven afectados por ciertas brechas como la que acabamos de mencionar.

La International Data Corporation (IDC) predice que, para fines de este año, una cuarta parte de la población mundial se habrá visto afectada por una brecha de datos. Hice los cálculos (para que tú no tengas que hacerlo): son casi dos mil millones de personas que podrían perder dinero, autonomía y seguridad financiera, y tranquilidad en general. Sin mencionar que el 60% de las pymes cierran dentro de los seis meses posteriores a una brecha de datos, y el costo promedio de una brecha en EE. UU. ha subido a casi $8 millones, según reporta el 2018 Cost of Data Breach Study.

Negocios enteros se están perdiendo y marcas se están manchando debido a ataques cibernéticos, pero ¿qué están haciendo mal estas empresas?

En la primera mitad de ese mismo año, las brechas en redes sociales por sí solas representaron alrededor del 56% de los más de cuatro mil millones de registros de datos comprometidos. Ya es 2020, y con frecuencia te registras en una aplicación pensada para conectarte con amigos o mejorar tu vida de alguna manera, y de algún modo termina resultando en la pérdida no consentida de tu privacidad e información personal.

Ahora dejemos la destrucción a un lado y hablemos de las pérdidas en una filtración de datos

Además de facilitar la pérdida de tu información personal, no colaboran con las autoridades cuando descubren el delito. Aunque ya es instintivo llamar al 911 si alguien entra por la fuerza a tu casa o auto, la conducta cambia cuando se trata de delitos cibernéticos, lo cual es lamentable porque cuando las empresas actúan rápido, el Equipo de Recuperación de un Activo de Ciberseguridad (RAT) de la Oficina reporta una alta tasa de recuperación.

Por eso, en muchos casos las personas no presentan un informe de las filtraciones a menos que se vean obligadas a hacerlo. Con esto me refiero a que las regulaciones de cumplimiento, los contratos y otras políticas obligan a presentar un informe, pero no es suficiente. Mucho pasa desapercibido para todos excepto para la víctima. Por esto, las agencias de aplicación de la ley en todo el planeta por lo general no tienen certeza de cuántos delitos cibernéticos se cometen, lo que deja a todos expuestos a nivel individual.

El IC3, o Centro de Quejas de Delitos en Internet, es otra rama del FBI que acepta quejas de delitos en internet en línea, ya sea de la propia víctima o de un tercero en nombre del denunciante, dándole a todos la oportunidad de presentarse y recibir ayuda si creen haber sido víctimas. Aunque se presentó un informe de más de 350.000 delitos en 2018, la Oficina calcula que solo el 15 % de las víctimas realmente presenta un informe de los delitos.

Las consecuencias de un riesgo de brecha de datos incluyen información robada, además de implicaciones financieras, legales y de reputación que pueden devastar cualquier negocio. 

¿Qué tan graves son las pérdidas financieras de una brecha de datos? 

• El costo promedio de una brecha de datos en Estados Unidos es de casi $9,5 millones (según datos de 2006 a 2024). 

¿Cómo afectan las brechas de datos la reputación de tu marca? 

• Las brechas de datos pueden hacer que los clientes desconfíen de tu marca, lo que te cuesta negocio e ingresos. También pueden provocar que las alianzas estratégicas rompan vínculos. 

¿Cómo se ven afectadas las operaciones por las brechas de datos? 

• Cuando ocurre una brecha de datos, el primer paso es bloquear y cerrar tus redes y sistemas. Esto detiene las operaciones en seco. 

¿Cuáles son las ramificaciones legales de una brecha de datos? 

• Las empresas que no cumplen con las regulaciones de protección de datos ni implementan las mejores prácticas de ciberseguridad pueden enfrentar fuertes multas por no proteger los datos sensibles.

Aquí, junto con todo el dinero, los datos y la confianza, también sufrimos una pérdida enorme de oportunidades para que las empresas de ciberseguridad y las agencias de aplicación de la ley de todo tipo puedan marcar la diferencia y crear un panorama de internet más seguro para todos.

Tanto a nivel individual como corporativo, ¿por qué sucede esto?

En mi opinión, se debe a la falta de conciencia. Una falta de conciencia sobre las mejores prácticas de seguridad personal y profesional, y una ignorancia general sobre las amenazas muy reales que existen en línea. Si trabajas en ciberseguridad, lo sabes. Y, si no, es probable que vivas felizmente ignorante hasta que alguien al otro lado del mundo agote tu tarjeta de crédito gastando en suites de penthouse o zapatos

Los episodios de Huntress Managed Security Awareness Training son animaciones cautivadoras y reveladoras que sacan a la luz conceptos poderosos mientras desmienten mitos como "nadie querría hackearme a mí" y "mi empresa es demasiado pequeña". Y, lo más importante, enseñan de forma brillante conceptos centrales, como identificar un correo de phishing, crear una contraseña segura y por qué deberías usar autenticación multifactor, todo de manera clara y memorable. Los empleados merecen este nivel de calidad de capacitación como un derecho básico.

En resumen: defenderse de estas amenazas cibernéticas no es opcional, es una responsabilidad de todos. Y hay mucha destrucción y pérdida potencial en juego sin esta información fácilmente disponible.

Creo que Huntress tiene la oportunidad única de destacarse por nuestra integridad y compromiso de ser útiles en el campo de security awareness training. Como dijo uno de nuestros clientes: "Es lindo ver a buena gente haciendo un buen trabajo en el espacio cibernético." En lugar de hackear gente en vivo en el escenario de DEFCON, simplemente podemos ser útiles. Podemos educar a todos trabajando juntos.

Como colegas, hemos navegado oficialmente a través de una crisis global monumental. Creo que, como unidad, podemos generar un impacto positivo para personas en todo el mundo.

La comunidad de ciberseguridad en general, trabajando en conjunto, puede crear un efecto dominó positivo que, al igual que las filtraciones de datos, sería demasiado vasto e impactante para medir.

Para saber más sobre Huntress Managed Security Awareness Training, pruébalo gratis y descubre cómo puedes defenderte mejor a ti y a tu organización de una filtración de datos.