En Chile, el 70% de las pequeñas y medianas empresas (pymes) no cuenta con medidas de ciberseguridad, según alertó Chiletec en octubre de 2024.

De acuerdo a un informe de Valor Pyme, el cual reúne datos de múltiples sondeos, el país figura como el cuarto de Latinoamérica en sufrir más incidentes de ransomware.

Esta última es una de las modalidades más recurrentes entre los cibercriminales a nivel global: a través de un tipo de malware o código malicioso, toman el control de sistemas e impiden que estos puedan ser utilizados con normalidad.

Tras realizar ese “secuestro” de los equipos —mediante métodos como cifrar información relevante o bloquear la pantalla, por ejemplo— extorsionan a las víctimas y exigen dinero para que sus dispositivos o sistemas puedan volver a operar.

Se trata de un tipo de ciberataque que puede afectar tanto a personas individuales como a organizaciones y empresas. Y es parte de una creciente lista de vulnerabilidades que los cibercriminales buscan explotar.

Es por esto que los especialistas del sector sugieren tomar medidas de protección y actualizarlas constantemente, para así evitar potenciales riesgos.

Por qué es importante que las pymes adopten medidas de ciberseguridad

Pamela Cerro, gerenta de Tecnología y Productos Digitales de OTIC-CCHC, socios de Valor Pyme, comenta a La Tercera: “Que el 70% de las pymes no cuente con medidas básicas de ciberseguridad no es solo un dato preocupante, es una señal clara de vulnerabilidad en el sistema productivo”.

“Lo que ha cambiado en los últimos años no es solo el volumen de ataques, sino su sofisticación: hoy, con herramientas de inteligencia artificial, es posible ejecutar campañas masivas, automatizadas y dirigidas específicamente a organizaciones con menor nivel de protección”.

Cerro afirma que las pymes se han transformado en un blanco prioritario de los cibercriminales, principalmente porque “concentran tres elementos críticos: flujo de dinero, datos de clientes y proveedores, y baja madurez en gestión de riesgos digitales”.

“En el país, los incidentes reportados en empresas medianas han crecido de forma sostenida, lo que instala una nueva realidad: la pregunta ya no es si una empresa será atacada, sino cuándo”, alerta.

La importancia de adoptar y mantener medidas de protección también considera un cambio estructural, en el que cada vez más empresas presentan exigencias en este ámbito para relacionarse con otras.

En palabras de Cerro, “la ciberseguridad está dejando de ser un tema interno, para convertirse en un requisito de acceso a mercados”.

“Grandes compañías, en minería, retail o servicios financieros, están comenzando a exigir estándares mínimos a sus proveedores. No cumplirlos implica quedar fuera de la cadena de valor”.

Sin embargo, agrega, el impacto más inmediato de no tomar medidas está en la continuidad operativa de las pymes.

“Un ataque de ransomware puede paralizar una empresa por días o semanas, con costos que, en muchos casos, superan la capacidad de recuperación de una pyme”.

“En ese contexto, el factor decisivo no es solo tecnológico. Las organizaciones que logran reducir su exposición no son necesariamente las que más invierten en software, sino las que desarrollan capacidades internas. Equipos que reconocen riesgos, que saben cómo actuar y que operan bajo protocolos claros. La ciberseguridad, hoy, es una competencia laboral crítica”, recalca.

Cuáles son las áreas más afectadas entre las pymes en cuanto a ciberseguridad

Uno de los sectores más expuestos a ciberataques es el de comercio electrónico, ya que combina gestión de pagos, almacenamiento de datos personales y alta presión operativa, afirma Cerro.

No obstante, los incidentes no se limitan únicamente a este ámbito.

“Empresas de servicios son frecuentemente afectadas por fraudes asociados a transferencias, como la suplantación de identidad de gerentes, mientras que organizaciones que operan con sistemas contables o ERP —Planificación de Recursos Empresariales, en español— desactualizados presentan vulnerabilidades relevantes”.

“En Chile, distintos reportes sectoriales coinciden en que retail, construcción y servicios profesionales concentran una parte importante de los incidentes. Pero más que el rubro, lo determinante es otro factor: la brecha entre digitalización y capacidades”.

La gerenta de Tecnología y Productos Digitales de OTIC-CCHC precisa que aunque muchas pymes han incorporado herramientas digitales, varias aún no desarrollan en paralelo las habilidades necesarias para gestionarlas de forma segura.

“Esa asimetría es hoy uno de los principales focos de riesgo”.

Cuáles son los mecanismos más utilizados por los cibercriminales para atacar a las pymes

El phishing es uno de los métodos más utilizados por los cibercriminales: se hacen pasar por organismos o fuentes legítimas, para así engañar a las víctimas e instarlas a entregar información sensible o realizar una acción.

Este mecanismo también suele ser utilizado para preparar otros tipos de ciberataques.

Por ejemplo, de esta manera, los cibercriminales pueden reunir datos confidenciales que posteriormente podrían ser usados para efectuar ataques de ransomware.

Usualmente, para engañar a las víctimas, tienden a generar urgencia y presionan para que se tomen decisiones rápidas y se evite la verificación. Buscan que actúen lo más inmediato posible y sin evaluar las potenciales consecuencias.

“Más del 80% de estos ataques pueden evitarse si las personas saben reconocer esas señales. Una organización que instala prácticas básicas, validar solicitudes por otro canal, detenerse ante urgencias inusuales, escalar dudas, construye una defensa efectiva”, asegura Cerro.

Y enfatiza: “La diferencia no está en eliminar el error humano, sino en gestionarlo. La ciberseguridad deja de ser un problema técnico cuando se aborda como una capacidad organizacional”.

Cuáles son los principales desafíos que enfrentan las pymes al adoptar medidas de ciberseguridad

Según Cerro, “lo que más limita a las pymes es la percepción de que la ciberseguridad es costosa, compleja y ajena a su realidad”.

“A eso se suma la falta de tiempo y foco operativo. En estructuras pequeñas, la seguridad suele postergarse hasta que ocurre un incidente. Y cuando eso sucede, el costo de reacción es significativamente mayor que el de prevención”.

Junto con ello, afirma, el déficit de profesionales en ciberseguridad supera ampliamente la oferta disponible en Chile, lo que hace inviable para muchas pymes incorporar expertos dedicados.

“Frente a ese escenario, las empresas que avanzan más rápido no son las que buscan soluciones externas complejas, sino las que desarrollan capacidades internas de forma progresiva. Equipos que integran criterios de seguridad en su trabajo diario, sin depender de especialistas”.

Al ser consultada sobre si en Chile figuran iniciativas que ayuden a las pymes a avanzar en este ámbito, Cerro dice que sí. “Y en muchos casos son más accesibles de lo que se cree”.

“Existen guías prácticas desarrolladas por organismos públicos, programas de apoyo a pymes y recursos formativos impulsados por el sistema financiero, todos orientados a mejorar la seguridad digital de las empresas. Sin embargo, el punto crítico no está solo en el acceso a herramientas, sino en cómo se utilizan”.

“Las organizaciones que logran avanzar son aquellas que entienden la ciberseguridad como un proceso continuo, integrado a su operación y sostenido en el desarrollo de habilidades”.

Bajo esta línea, sentencia: “Más que una inversión puntual, se trata de construir una capacidad organizacional. Y en ese proceso, la formación de las personas, con foco práctico y aplicado, sigue siendo uno de los mecanismos más efectivos para reducir riesgos y fortalecer la continuidad del negocio”.