Grandes ciberataques, desconcierto y consecuencias

Fuenlabrada

Estamos a punto de tener una nueva Ley Orgánica de Protección de Datos que emana del nuevo Reglamento Europeo y en él se contempla que la organización afectada por un ciberataque, en un margen de 72 horas, tiene que comunicar el incidente y ponerlo en conocimiento del regulador. Sin embargo, según diferentes casos ocurridos este año se comprueba que “no suelen tiene la capacidad suficiente para dar respuesta en 72 horas una vez detectada la agresión”. Así lo asegura José Antonio Rubio, doctor Ingeniero en Ciberseguridad por la URJC, quien pone como ejemplo lo ocurrido a la cadena de hoteles Marriott.

Este grupo comunicó el pasado mes de noviembre que información de hasta 500 millones de clientes podría estar comprometida por un pirateo de la base de datos de reservas Starwood. Se trató, según Rubio, de un ciberataque a gran escala, ocurrido en 2014, aunque se ha conocido ahora. Esto indica que “la capacidad de las empresas para detectar ataques es muy nimia. O detectas un ataque una o dos semanas después o el impacto es brutal”. En este caso la repercusión ha sido tal que las acciones del grupo cayeron un 5% en Wall Street. Un indicador que la ciberseguridad es un problema de negocio.

El ataque lo sufrió una filial de Marriott y quizá en su día, cuando el grupo compró la empresa en cuestión, se valoraron otros parámetros, pero tal vez no lo suficiente el de la ciberseguridad, recuerda Rubio , quien recomienda que en estas operaciones hay que empezar a considerar el grado de ciberseguridad que tiene implementado la empresa que se compra.

Marriot ha puesto una página web y un centro de llamada a disposición de sus clientes para que quien piense que puede estar afectado, pueda llamar o mandar correo electrónico y comprobar si sus datos personales están realmente afectados. Los datos pirateados han sido nombres, direcciones, correos electrónicos, pasaportes, números de teléfono y los itinerarios de las personas. Queda la duda si pudieran estar afectados datos de tarjetas de crédito.