¿Por dónde atacan los ciberdelincuentes y hacia qué tipo de estructuras enfocan sus actuaciones delictivas? De acuerdo con la actividad notificada hasta ahora, su principal objetivo consiste en comprometer cuentas de correos electrónicos a través de técnicas de phishing y y también cunado carecen de mecanismos de autenticación multifactor, que suponen casi un tercio de los incidentes. Le sigue, con un 23% de los siniestros, el fraude por transferencia bancaria. Y por último está el ransomware, vinculado al 12,4% de los incidentes siniestros declarados, que sigue siendo uno de los ataques más temidos debido a su capacidad para paralizar operaciones y causar graves daños económicos. Los datos muestran que la frecuencia de los ciberincidentes ha aumentado, pero ¿qué está haciendo Europa para ponerle coto y para proteger las infraestructuras críticas?
La ciberdelincuencia es uno de los problemas que más temor genera en las empresas y los particulares. Y es que la frecuencia de los siniestros de este tipo está al alza: en 2024, alcanzó el 4,34%, tras aumentar un 12% respecto al 3,87% registrado en 2023. ¿Y en España? Según datos del Instituto de Ciberseguridad (Incibe), en el mismo periodo los ciberataques crecieron un 20% respecto al año anterior. Así lo recoge el Informe de Siniestros Cibernéticos 2024 de Stoïk, elaborado con la información recabada de más de 5.000 asegurados en Europa, que destaca que la mayor frecuencia de los ataques y sus efectos económicos se palían combinando estrategias de prevención y pólizas específicas.
El estudio también destaca la actividad de los atacantes enfocada a comprometer los activos internos de las empresas (18,4%), así como los activos expuestos en internet (9,2%). Esto es un claro reflejo de la explotación de vulnerabilidades técnicas que aprovechan los ciberdelincuentes, que están a la caza de posibles brechas de seguridad. Y ha habido casos sonados, como el ataque a la Comisión Nacional de los Mercados y la Competencia (CNMC) en diciembre de 2024, una actuación que la Audiencia Nacional catalogó como un posible delito contra la seguridad nacional.
Europa, enfocada en la coordinación
Parece claro que las autoridades deben centrar gran parte de sus esfuerzos en proteger infraestructuras críticas, una amenaza que no ha dejado indiferente a Europa. El objetivo de este proyecto de Recomendación del Consejo sobre el Plan director de la UE para la gestión de crisis de ciberseguridad, conocido como Cyber Blueprint o Plan Director Cibernético, advierte que este debe permitir lograr que las entidades individuales y redes de organismos en la unión comprendan con claridad cómo deben interactuar y optimizar el uso de los mecanismos disponibles a lo largo de todo el ciclo de vida de la gestión de crisis.
Aunque se trata de un instrumento no vinculante, su utilidad práctica radica en que identifica acciones específicas para los actores relevantes y cuenta con el potencial de mejorar la eficacia general en la gestión de una crisis cibernéticas. Lo hace a partir de las conclusiones extraídas de los ejercicios que se han desarrollado en el territorio europeo para abordar este posible escenario.
Este nuevo plan busca mejorar las capacidades para ofrecer una respuesta coordinada frente a posibles incidentes cibernéticos de gran escala que se produzcan en territorio europeo. La idea es que los Estados miembros puedan actuar coordinadamente a través de una serie de mecanismos que se pueden desplegar con actores clave, como la Agencia de Ciberseguridad de la UE (ENISA), CERT-EU, el Servicio Europeo de Acción Exterior (SEAE), la Red de Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRTs) y Europol. También contempla la coordinación con la Respuesta Política Integrada a las Crisis (IPCR) y el Conjunto de Herramientas de la UE para la Ciberdiplomacia.
Asimismo, este documento actualiza el plan establecido en la Recomendación (UE) 2017/1584 de la Comisión sobre la respuesta coordinada a incidentes y crisis de ciberseguridad a gran escala. Al tener como objetivo el fortalecimiento de la resiliencia cibernética de la región, el Blueprint se alinea con la Directiva NIS 2 y con el Reglamento de Ciberseguridad de 2023.
El foco se pone en optimizar tanto la detección como la respuesta y la recuperación ante ciberataques de alto impacto que puedan comprometer infraestructuras críticas y sectores estratégicos de la Unión Europea. El documento aclara qué es una cibercrisis y qué activa un mecanismo para actuar sobre ella a nivel europeo, y avanza el uso de herramientas disponibles, como el Mecanismo de Emergencia de Ciberseguridad, incluida la Reserva de Ciberseguridad de la UE, para preparar la gestión, la respuesta y la recuperación de una crisis derivada de un incidente de ciberseguridad a gran escala.
Colaboración con la OTAN
Otro datos destacado es que busca fomentar una cooperación más estructurada entre actores civiles y militares, incluida la cooperación con la Organización del Tratado del Atlántico Norte (OTAN) (LA LEY 5/1949) en caso de que se produzca un ciberincidente a gran escala que afecte a la infraestructura civil europea de la que dependen las fuerzas armadas: en este caso, también se podrían activar una respuesta por parte de la OTAN.
Asimismo, la propuesta plantea garantizar el uso de comunicaciones seguras entre actores del sector público y de la empresa privada, con el objetivo clave de optimizar el intercambio de información entre distintos organismos. Con ello se quiere lograr que los datos fluyan rápidamente cuando se produzca un ciberataque o si se detectan amenazas o vulnerabilidades, de modo que se pueda dar una respuesta más ágil y coordinada, sobre todo cuando estas actuaciones se dirijan a infraestructuras esenciales, sistemas financieros o redes de telecomunicaciones.