Més ciberatacs, però menys greus: aquests són els llocs més exposats

BarcelonaHi ha més ciberatacs, però ara són menys greus. Aquest és el balanç que fa del 2024 l'Agència de Ciberseguretat de Catalunya, l'organisme que protegeix els sistemes informàtics de la Generalitat. L'any passat aquesta entitat va haver de gestionar un total de 3.372 atacs que van tenir alguna mena d'impacte en la xarxa. La majoria han estat lleus, com ara fuites de credencials (phishing) o accessos il·legítims al correu electrònic. Aquestes intromissions tecnològiques que posen en risc la seguretat del sistema tecnològic de Catalunya han augmentat un 26% respecte al 2023, quan se'n van registrar 2.665.

"De ciberatacs en rebem milions i milions, tants com fins a 6.900 milions el 2024, un 38% més que el 2023. Però un ciberincident és allò que un ciberatac fa efectiu", resumeix la directora de l’Agència de Ciberseguretat de Catalunya, Laura Caballero. És a dir, que té unes conseqüències per als usuaris. Tot i aquesta tendència a l'alça, Caballero puntualitza que els incidents que es qualifiquen de “molt greus” han disminuït fins al 30%. "Les mesures de protecció, de detecció, de prevenció, de conscienciació són efectives", afegeix la directora de l'Agència.

Caballero atribueix gran part de l’èxit a la introducció de millores de detecció primerenca de ciberatacs als centres de processament de dades (CPD) de la Generalitat i a un nou sistema de bloqueig de correus maliciosos a les bústies dels treballadors del Govern. A més, l'Agència ha incorporat sota el seu paraigua les universitats i el Consorci de Serveis Universitaris de Catalunya (CSUC), una xarxa que actualment ja compta amb 312 entitats, entre les quals hospitals i ajuntaments.

Després del ciberatac perpetrat pel grup RansomHouse que va col·lapsar el 2023 l'Hospital Clínic i va filtrar 4,5 terabytes d'informació de pacients, treballadors i del funcionament del centre, l'Agència ha fet 60 simulacres en els hospitals públics de Catalunya. També ha fet cinc campanyes de comunicació adreçades a la ciutadania per sensibilitzar i conscienciar sobre les ciberestafes, en auge els últims anys.

La directora de l'agència, però, avisa que les tècniques per ciberestafar són cada cop més sofisticades. La intel·ligència artificial és el nou ajudant dels ciberdelinqüents, i tot i que hi ha regulacions que impedeixen que eines com ChatGPT puguin donar informació per dur a terme activitats malicioses, és fàcil enganyar-la per aconseguir la informació desitjada. De fet, segons l'organisme públic, els incidents de ciberseguretat relacionats amb l'ús d'IA han augmentat un 370% a tot el món des del 2022. A través d’aquesta eina, es poden aconseguir programes maliciosos sense ser programador.

Universitats i centres sanitaris

El tipus de ciberincident més comú són les filtracions de credencials, és a dir, quan els ciberdelinqüents, mitjançant tècniques com correus electrònics, SMS o missatges falsos, enganyen persones per obtenir les seves contrasenyes i noms d’usuari. Alguns es fan passar per bancs o Hisenda per demanar credencials bancàries als usuaris, amb l’objectiu d’accedir a un guany directe. L'any passat n'hi va haver 2.257 casos. També destaquen els accessos il·legítims a comptes personals o corporatius (724), la suplantació d’identitat en correus electrònics fraudulents (117) i la distribució i execució de programari maliciós (102).

Una altra via de filtració d’informació és quan s’instal·len programes maliciosos als dispositius per segrestar arxius informàtics i reclamar un rescat (ransom, en anglès) per alliberar-los. Un cop tenen les credencials, els ciberdelinqüents proven d’entrar als comptes per robar informació. Segons explica Caballero, aquest tipus representa un 67% dels ciberincidents, amb 2.257 casos.

Les universitats són l’àmbit més atacat, amb 1.790 registres. En aquests espais hi ha estudiants que utilitzen els seus dispositius personals i que no compten amb les mesures de protecció que podrien ser les adequades. Com que fan servir el wifi de les universitats, que està sota la protecció de l’Agència, la Generalitat pot identificar els atacs quan els estudiants fan servir la xarxa als seus dispositius personals. Els altres àmbits més afectats són Salut, amb 676 ciberincidents, i altres departaments de la Generalitat (643).

Quan cal estar més alerta per evitar ciberatacs? Segons Caballero, sobretot en temporades comercials concretes, com Nadal, Black Friday o a l’estiu, quan la gent compra viatges i hotels. "Hi ha una clara correlació, ja que fan coincidir els seus atacs amb aquests períodes perquè resulten més creïbles", afirma. La directora de l’Agència de Ciberseguretat de Catalunya insisteix que en cas de ser víctima de ciberestafa, la recomanació principal és denunciar-ho als Mossos d’Esquadra, perquè “l’única manera de poder rastrejar i perfilar els ciberdelinqüents és tenir informació”. Caballero també insta a millorar mesures de protecció, conscienciació i detecció, per “identificar els atacs com més aviat millor i ser capaç de respondre tan aviat com es pugui per tal que l’impacte de l’incident sigui nul”.