Los ciberdelincuentes mantienen las salas de juntas de Gran Bretaña al rescate
Los ataques cibernéticos en las noticias han estado dirigidos a Marks & Spencer, la cooperativa y Harrods, pero esto no es solo un problema para los minoristas. Los piratas informáticos pueden atacar a casi cualquier empresa, en cualquier línea de negocios, en cualquier momento y en cualquier parte del mundo.
La verdad aterradora para los líderes empresariales, y para los inversores, es que el riesgo es prácticamente universal. FTSE 100 jefes y empresarios que dirigen pequeñas empresas viven con temor a que puedan ser los próximos.
Los ataques cibernéticos le han costado a las empresas del Reino Unido £ 44 mil millones en ingresos perdidos en los últimos cinco años y han afectado el 52 por ciento de las empresas, dice el corredor de seguros Howden.
Algunos han llamado a ex negociadores de rehenes, expertos en tratar con chantajistas y terroristas. Otros han afirmado que sus pólizas de seguro para pagar demandas de rescate, alimentando las preocupaciones de que la existencia misma de dicha cobertura alienta a las pandillas criminales.
Por lo general, encuentran un camino a través de las grietas en la armadura cibernética de una empresa, como los sistemas de TI de un proveedor.
Bajo ataque: los piratas informáticos pueden atacar a casi cualquier empresa, en cualquier línea de negocios, en cualquier momento y en cualquier parte del mundo
Una pandilla de piratería conocida como Dragonforce se atribuyó la responsabilidad de los ataques a M&S, Co-op y Harrods.
Algunos expertos dijeron que llevaban los sellos distintivos de un grupo de chantajistas adolescentes bajo el nombre de la araña dispersa.
Independientemente de los delincuentes involucrados, lanzaron el devastador asalto por el feriado bancario de Pascua.
Los principales latones en M&S serán muy reacios a pagar un rescate, cuando se haga una demanda. Por lo general, esto sucede a través de la web oscura y los piratas informáticos exigen el pago en criptomoneda.
Los expertos dicen que el caso del minorista, ahora en su tercera semana, es un ataque clásico de ‘ransomware’, donde los sistemas de datos están infiltrados, discapacitados y solo que no están congelados cuando se paga un rescate.
El daño hecho a M&S está ahí para que todos lo vean. Los estantes han sido vaciados. Los clientes no han podido realizar pedidos a través de su sitio web y aplicación, el personal de Warehouse ha sido enviado a casa y el popular servicio de clic y recolección del minorista permanece suspendido, aunque se han restaurado pagos sin contacto en la tienda.
Incluso el reclutamiento se ha detenido a medida que crecen los temores de que la crisis cibernética podría tardar meses en resolverse.
Hay preocupaciones de que trabajar desde casa podría ser un factor de riesgo. Según el último informe anual de M&S: «La sofisticación y la frecuencia de los ataques cibernéticos continúan aumentando» a medida que la compañía opera «un modelo de trabajo híbrido».
Subcontratarlo mediante el uso de contratistas también es un problema. M&S agrega: «Nuestra dependencia de terceros clave para servicios seleccionados y/o alojamiento de datos también nos expone a los riesgos de las vulnerabilidades en sus controles cibernéticos y de datos».
La Cooperativa admitió el viernes que los piratas informáticos habían podido acceder a un «número significativo» de los datos personales de sus clientes, incluidos nombres y direcciones, pero no contraseñas o información financiera, como datos de tarjetas de crédito de sus 6.2 millones de miembros.
En noviembre del año pasado, el rival de la Cooperativa, Morrisons, fue golpeado por piratas informáticos que atacaron a su proveedor de tecnología de almacén Blue Yonder. El NHS, el periódico Guardian y la Biblioteca Británica también han estado sujetas a ataques de ransomware, lo que provoca una interrupción grave a corto plazo en sus sistemas.
En algunos casos, el daño es fatal. La firma de divisas Travelex colapsó seis meses después de un ataque de ransomware a fines de 2019. Los administradores citaron el incidente como un factor clave.
«Es una amenaza para todos nosotros», dijo George Weston, presidente del propietario de Primark Associated British Foods. El crimen cibernético es «un riesgo de que nunca esté completamente encima, no importa cuánto trabaje en ello».
Noches de insomnio: los compradores de M&S no pueden comprar artículos en línea, como pijamas modelados por Rosie Huntington-Whiteley
Sus puntos de vista se hacen eco del presidente ejecutivo de Barclays, CS Venkatakrishnan, quien dijo que el banco gastó «mucho tiempo, atención y dinero en la seguridad cibernética.
Agregó: «Creo que esto es para el futuro previsible cerca de la parte superior de la lista de cosas de cualquier líder comercial de las que preocuparse y pasar tiempo».
Del ataque de M&S dijo: «Siempre tratamos de seguir un paso adelante, pero, como este incidente parece indicar, es un mundo muy peligroso, por lo que hacemos todo lo posible para protegernos, aprender de los demás».
En Lloyds, el jefe de finanzas William Chalmers dijo que el banco había invertido cientos de millones de libras en seguridad cibernética.
La escala de la amenaza para las empresas en todos los ámbitos se puso al descubierto en un informe gubernamental reciente, que decía: «Para las pandillas del crimen serias y organizadas detrás de la industria del fraude global, el ransomware es una parte cada vez más lucrativa de sus operaciones».
Los ataques de ransomware contra las empresas del Reino Unido aumentaron significativamente entre 2024 y 2025 ‘, agregó el informe, con un estimado de 19,000 compañías que fueron víctimas de un ataque de ransomware durante el período.
El Centro Nacional de Seguridad Cibernética reconoce que el 76 por ciento de las empresas del Reino Unido experimentaron un incidente de seguridad cibernética en el último año.
La mayoría eran de ataques de ‘phishing’ de nivel inferior, donde se utilizan correos electrónicos o sitios web falsos para obtener acceso a la contraseña de un usuario o los detalles de la tarjeta de crédito para cosechar efectivo.
Las empresas más pequeñas no son inmunes y pueden verse como un toque más suave.
Una pregunta clave es si las empresas están empleando suficientes directores de juntas con experiencia en este campo.
La mayoría de los presidentes y directores ejecutivos están en sus 50 años o más, décadas mayores que los hackers adolescentes de la araña dispersa que crecieron en línea. En todo caso, las salas de juntas parecen haberse debilitado a este respecto.
En 2021, casi el 40 por ciento de las juntas de la empresa tenían un director con responsabilidad específica por la seguridad cibernética. Esto ha caído bruscamente a poco más de una cuarta parte.
Eso, dice Oli Buckley, profesor de ciberseguridad en la Universidad de Loughborough, no es satisfactorio.
«Finalmente, el dólar se detiene con el director ejecutivo y la junta», agregó. «Las juntas no necesitan convertirse en expertos en las minucias técnicas, como los firewalls o el cifrado, pero sí deben participar activamente, hacer las preguntas correctas y asegurarse de que las estructuras correctas estén en su lugar».
El costo de los ataques de ransomware ha llevado al crecimiento del seguro cibernético.
Las políticas generalmente cubren las pérdidas de interrupción empresarial incurridas durante un ataque y el costo de restaurar los sistemas de TI después.
También pagan costos relacionados con el rescate, como la negociación o el asesoramiento legal, e incluso el pago en sí, hasta un límite establecido.
«La mayoría de nuestros miembros ofrecen cobertura donde reembolsarán el pago de una demanda de ransomware», dijo Chris Mather, un suscriptor de la Asociación de Mercado de Lloyd.
‘Las afirmaciones de ransomware constituyen una gran parte de las reclamaciones cibernéticas generales. Es una portada muy popular. Pero los pagos solo se realizan después de que se han llevado a cabo sanciones y cheques de delitos financieros.
«Los pagos no se pueden reembolsar que se han realizado a individuos o entidades prescritas como terroristas», dijo Mather.
No está claro cuántas empresas pagan para detener un ataque cibernético.
Solo la mitad de las empresas tienen una regla o política para no pagar las demandas de ransomware. «El seguro cibernético no es una bala de plata», dijo el profesor Buckley.
«Las aseguradoras requieren que las organizaciones demuestren fuertes controles de ciberseguridad antes de ofrecer una cobertura integral, de la misma manera que su seguro de contenido depende de que tenga cerraduras en las puertas».
Para los inversores, la seguridad cibernética es un tema clave, dado el daño que puede causar los precios de las acciones.
Las acciones de M&S, que habían estado aumentando fuertemente, han sido golpeadas. El precio ha caído más del 8 por ciento, limpiando £ 700 millones del valor de mercado de valores de la compañía (ver gráfico).
Susannah Streeter en la plataforma de inversión Hargreaves Lansdown dijo: «Es una llamada de atención para que las organizaciones garanticen que sus sistemas de TI tengan seguridad similar a la fortaleza dada la determinación de los piratas informáticos para causar una interrupción generalizada y daños financieros y de reputación».
El problema es que, por difícil que intente asegurar sus sistemas, debe ser estancado todo el tiempo, mientras que los piratas informáticos solo necesitan tener suerte una vez.
Informes adicionales de Emily Hawkins, John-Paul Ford Rojas y Richard Marsden
SIPPS: Invierta para construir su pensión
I Bell
I Bell
Tarifa de la cuenta del 0.25%. Gama completa de inversiones
Hargreaves Lansdown
Hargreaves Lansdown
Tratamiento de fondos gratuitos, 40% de descuento en las tarifas de la cuenta
Inversor interactivo
Inversor interactivo
Desde £ 5.99 por mes, £ 100 de intercambios gratuitos
Investingen
Investingen
Inversión de ETF sin tarifas, hasta £ 4,000 reembolso
Prosperar
Prosperar
Sin tarifa de cuenta, tarifa de trato y 30 tarifas de ETF reembolsadas
Enlaces de afiliados: si saca un producto, este es el dinero puede ganar una comisión. Estos acuerdos son elegidos por nuestro equipo editorial, ya que creemos que vale la pena destacar. Esto no afecta nuestra independencia editorial.
Compare el mejor sipp para usted: nuestras reseñas completas
