Empresas

El docente, experto en ciberseguridad y ciberdefensa, advierte de los riesgos a los que se enfrentan las compañías que no se protegen correctamente

José Antonio Álvarez Bermejo, en su oficina de la Universidad de AlmeríaGuillermo Fuertes

Una contraseña repetida, un router sin actualizar o un correo que parece proceder de un proveedor pueden bastar para que una empresa lo pierda todo. En Almería, donde la actividad agroindustrial y logística depende cada vez más de sistemas conectados a internet, la ciberseguridad ha dejado de ser un asunto reservado a grandes corporaciones. Juan Antonio Álvarez Belmonte, profesor titular de la Universidad de Almería, cuyos campos de actividad son la ciberseguridad y la ciberdefensa, lo resume con una advertencia que no admite medias tintas: "No hay una sola empresa que se salve".

Según el Directorio Central de Empresas (DIRCE) del INE, en Almería hay 44.199 empresas activas. Álvarez Belmonte sostiene que, si se habla de compañías con conexión a internet, la cifra de vulnerables se acerca al cien por cien. Él prefiere fijarla en ocho de cada diez, el 80 por ciento, para dejar margen a aquellos negocios que aún apenas utilizan tecnología. Pero su mensaje es claro. Una panadería que no está digitalizada puede estar relativamente protegida; una empresa con cámaras, básculas, automatismos, routers o sistemas de gestión conectados a la red ya forma parte del tablero.

"Oficialmente, según Enisa, el 36 por ciento de las empresas públicas han sido atacadas", explica. "Yo digo que el 80 por ciento, siendo generoso, porque de todas las empresas que tienen conexión a internet no se salva ni una". El profesor apoya esa estimación en su experiencia profesional y en plataformas como Censys o Shodan, que permiten rastrear dispositivos expuestos en internet y detectar vulnerabilidades conocidas.

El problema no se limita a los servidores de una compañía ni a los ordenadores de la oficina. Álvarez Belmonte señala que muchos ataques comienzan por elementos aparentemente insignificantes, como un router sin actualizar, una cámara conectada, una báscula de supermercado, un sensor de riego o una pantalla digital instalada en un edificio público.

Cuenta que analizó el firmware de un router doméstico y encontró vulnerabilidades, además de conexiones automáticas hacia servidores en China. Ese mismo modelo, asegura, lo ha visto después instalado en un parking de Almería, controlando placas solares y otros sistemas. "Cualquier empresa que instale ese router ya es vulnerable por definición", afirma.

En el campo, el riesgo adquiere una dimensión especialmente delicada. Los invernaderos utilizan automatismos conectados a internet para abrir y cerrar ventanas, regular condiciones ambientales o controlar riegos. Si esos equipos emplean contraseñas por defecto, del tipo "admin, admin", un atacante puede acceder a ellos y alterar parámetros críticos. "Si yo veo que están metiendo una mezcla de pH con nitrato, te la puedo modificar y te hago polvo la cosecha", advierte. Y una cosecha, subraya, no se recupera con una copia de seguridad.

La preocupación del investigador va más allá de los incidentes individuales. El sector agroalimentario está considerado infraestructura crítica bajo la normativa europea NIS2, porque una parada prolongada puede afectar al abastecimiento de alimentos. Por eso, Álvarez Belmonte ha estudiado el impacto económico que tendría un ciberataque contra una gran empresa de la provincia durante la campaña navideña.

"Si paran algunas de las mayores empresas de Almería , el impacto en el PIB de la provincia sería brutal", señala. Su análisis, aún pendiente de publicación en una revista internacional de protección de infraestructuras críticas, aborda precisamente la cadena de suministro y las consecuencias de una interrupción en el sector.

No se trata solo de robar dinero. El profesor explica que los ciberdelincuentes persiguen también información valiosa, como bases de datos de semillas, know-how industrial o datos personales. Esa información puede acabar en mercados de la dark web, donde se comercializan desde filtraciones de contraseñas hasta documentación robada. "Si robo la base de datos de una empresa de semillas, probablemente lo hago porque sé dónde me la van a comprar", subraya.

Las pymes son especialmente expuestas porque, a menudo, no disponen de sistemas de seguridad avanzados ni de personal especializado. Uno de los fraudes más habituales es el conocido como Business Email Compromise. Los atacantes acceden al correo de una empresa, observan facturas y relaciones comerciales y sustituyen los números de cuenta para desviar pagos.

La inteligencia artificial agrava el problema. Antes, los correos fraudulentos solían contener errores evidentes; ahora pueden imitar el estilo de un proveedor, incorporar datos reales de una licitación y dirigirse a una persona concreta. Álvarez advierte de que los portales de transparencia, aunque necesarios, facilitan información que puede ser utilizada para construir engaños muy verosímiles.

"Si una constructora está participando en una obra con un ayuntamiento, eso está publicado y se sabe quién contrata con quién", explica. "Entonces se puede intentar engañar a la administración diciendo que se viene de parte de esa empresa, porque el contrato está activo". No es un phishing genérico, sino un ataque dirigido, diseñado para que la víctima baje la guardia.

Otro factor de riesgo es la difuminación entre la vida privada y la profesional. Muchos empleados utilizan el mismo teléfono para el trabajo y para sus redes sociales, y guardan tarjetas bancarias o accesos corporativos en el móvil. Un ataque contra una cuenta personal puede convertirse, así, en una puerta de entrada a la empresa.