13 hechos sobre delitos cibernéticos que te pondrán los pelos de punta

Estos datos sobre delitos cibernéticos muestran por qué los ciberdelincuentes son más aterradores que los monstruos y demonios que deambulan por las calles en Halloween.

A los ciberdelincuentes les encanta darle un nuevo significado a la frase “truco o trato”.

A los delincuentes les encanta causar estragos en empresas y consumidores mediante ataques cibernéticos, phishing , ransomware y filtraciones de datos . Pero sus acciones no se consideran bromas que uno esperaría hacer en la víspera de Todos los Santos. Sus efectos son mucho más costosos y devastadores para las víctimas.

Sabiendo esto, exploremos 13 datos sobre delitos cibernéticos que te pondrán los pelos de punta.

Datos y estadísticas alarmantes sobre delitos financieros cibernéticos

1. El ransomware les reportó a los actores de amenazas más de 1100 millones de dólares en ganancias ilícitas

Cuando los malos llaman a tu puerta, te prometo que no están buscando tus Butterfingers o tus vasitos de Reese's. Están buscando pagos mucho más grandes que caramelos: estamos hablando de cientos, miles o incluso millones de dólares. Un informe de Chainalysis muestra que los pagos por ransomware que recibieron los malos en 2023 superaron los 1100 millones de dólares.

A modo de comparación, ¡la cantidad total que recibieron en pagos de rescate en 2023 podría haber comprado más de siete aviones de combate F-22 Raptor ! Tenga en cuenta que cada una de estas máquinas de guerra tiene un alto precio de 143 millones de dólares por unidad (según los datos de la Fuerza Aérea de agosto de 2022 ).

Hombre... eso debe significar que muchas empresas terminaron pagando por el ransomware. No necesariamente tantas como crees, según nuestro siguiente dato sobre cibercrimen...

2. Una empresa pagó 75 millones de dólares como demanda por ransomware en 2024

En pocas palabras, las demandas de ransomware pueden acabar con la vida de una empresa. Según Zscaler , una empresa pagó esta enorme suma al grupo de ransomware Dark Angels, que tiene tendencia a atacar a empresas del sector de infraestructura crítica.

Para ponerlo en perspectiva, ese único rescate costó la misma cantidad que Google destinó a financiar su Fondo de Oportunidades para la IA .

3. El 51 % de las organizaciones perdieron entre 5 y 25 millones de dólares debido a amenazas relacionadas con la IA

Independientemente de si la causa fue una amenaza basada en IA o impulsada por IA, más de la mitad de las organizaciones encuestadas por Biocatch desembolsaron entre 5 y 25 millones de dólares en 2023. Un 12 % de los encuestados afirmó que se enfrentaron a daños de al menos 25 millones de dólares. No estamos hablando de calderilla; ese es el coste estimado de la mansión de Angelina Jolie en Hollywood :

Lamentablemente, sólo el 3% indicó no haber tenido pérdidas por estas amenazas, lo que significa que el 97% sufrió pérdidas de una forma u otra.

4. Se estima que el costo real del fraude para los adultos mayores supera los 61.500 millones de dólares

Los datos de la Comisión Federal de Comercio de Estados Unidos (FTC) muestran que los adultos mayores informaron pérdidas que superaron los 1.900 millones de dólares en 2023. Sin embargo, nuevamente, esa cifra representa solo las pérdidas declaradas. El informe de la agencia indica que los verdaderos costos del fraude para los adultos mayores pueden superar los 61.000 millones de dólares. ¿Por qué? Porque muchos fraudes no se denuncian.

El número de adultos mayores que denunciaron haber caído en estafas con pérdidas de 100.000 dólares aumentó “más del triple desde 2020”.

Datos espeluznantes sobre delitos cibernéticos relacionados con la IA

5. Las ciberamenazas basadas en IA no desaparecerán y se espera que aumenten

El FBI advierte que los cibercriminales están utilizando cada vez más tecnologías de inteligencia artificial generativa para llevar a cabo ciberataques. En particular, la inteligencia artificial generativa se está utilizando para diversas estafas fraudulentas .

Por ejemplo, las estafas de secuestro virtual basadas en inteligencia artificial están aumentando. En este tipo de escenario, un malhechor utiliza datos extraídos de videos y perfiles en línea para sintetizar información e incluso muestras de voz de individuos para imitar a personas reales. Pueden usar tecnología de inteligencia artificial generativa para crear fotos, videos y contenido de audio deepfake que parezcan realistas y hagan que parezca que alguien que conoces o amas (un amigo, un familiar, un compañero de trabajo u otro ser querido) está en peligro.

Un ejemplo perfecto de esto se puede ver enlas estafas de secuestro basadas en inteligencia artificial . Aquí hay un video sobre estafas telefónicas reales basadas en inteligencia artificial dirigidas a personas del condado de St. Louis:

6. >7 de cada 10 empresas financieras se enfrentan a cibercriminales que utilizan identidades sintéticas

El 72% de los encuestados de Biocatch (informe citado anteriormente) indicó que además de los problemas de fraude tradicionales, también hay personas malintencionadas que utilizan identidades sintéticas para realizar transacciones financieras, solicitar préstamos y tarjetas de crédito y abrir nuevas cuentas bancarias.

¿No estás seguro de qué son las identidades sintéticas ? Básicamente, son identidades nuevas que suelen crearse combinando información personal identificable (PII) real y falsa.

Desafortunadamente para los buenos, estas identidades falsas fusionadas suelen engañar a las herramientas de detección de fraude tradicionales, lo que significa que no se detectan y pueden pasar desapercibidas. La investigación de Biocatch indica que, si bien las organizaciones son "en gran medida capaces de descubrir estas identidades sintéticas en un plazo de tres meses", sabemos que pueden producirse muchos daños en ese lapso.

Sólo el 16% indica que es capaz de identificar estos identificadores de sintetizador en 24 horas.

7. Las identificaciones sintéticas exponen a los prestamistas financieros a pérdidas potenciales de 3.100 millones de dólares

Las identidades sintéticas están acechando a las empresas, en particular a las instituciones financieras. Los datos del Informe sobre el estado del fraude omnicanal de 2024 de TransUnion indican que los prestamistas estadounidenses de varios tipos de tarjetas de crédito y préstamos tenían un número récord de cuentas abiertas a fines de 2023.

La exposición estimada de fin de año de 2023 de $3,1 mil millones es mayor que los $2,8 mil millones de fin de año de 2022 y los $2,1 mil millones de fin de año de 2020.

8. GenAI hace que los ataques sofisticados sean más accesibles y efectivos

Los ataques de phishing avanzados, en particular cuando se combinan con inteligencia artificial generativa y tecnologías sofisticadas de deepfake, son métodos sumamente efectivos para los cibercriminales. Estas herramientas de inteligencia insuflan nueva vida a los ataques de ingeniería social , haciéndolos más específicos, auténticos y efectivos.

Un artículo publicado por The Hacker News sobre la investigación de Token y Datos Insights resume muy bien esta creciente preocupación:

“Los ataques de phishing y ransomware alguna vez fueron el dominio exclusivo de los cibercriminales expertos, pero con la llegada de la IA generativa y las nuevas herramientas de cibercrimen, lanzar estos ataques se ha vuelto accesible para cualquiera con acceso a la web oscura, es decir, cualquiera con un dispositivo informático y una conexión a Internet”.

En su Evaluación de Amenaza Nacional 2025 , la Oficina de Inteligencia y Análisis del Departamento de Seguridad Nacional de Estados Unidos subraya las implicaciones de estas tecnologías para la seguridad nacional en el próximo año:

“En 2025, esperamos que los actores cibernéticos maliciosos sigan utilizando los avances en IA generativa para mejorar de forma gradual su capacidad de desarrollar malware, escaneo de vulnerabilidades y herramientas de explotación, y para mejorar sus tácticas y operaciones de ingeniería social. Los estados adversarios seguirán utilizando la IA en sus campañas de influencia maligna a medida que la tecnología reduzca los umbrales técnicos y mejore las capacidades de los adversarios para personalizar y escalar de forma eficaz mensajes más creíbles para las audiencias objetivo”.

9. Los ataques de ingeniería social/BEC aumentaron un 1760 %, en gran medida gracias a la IA

Los datos del Informe anual 2024 de Perception Point: Tendencias y perspectivas de ciberseguridad indican que la cantidad de ataques de vulneración de correo electrónico empresarial (BEC) aumentó del 1 % en 2022 a casi el 19 % de todos los ataques en 2023.

La empresa afirma que los ataques BEC que demuestran suplantación de identidad, phishing y técnicas de ingeniería social están "supercargados" por la IA generativa . Además, la investigación patrocinada anteriormente por la empresa (realizada por Osterman Research) mostró que el 91,1 % de las organizaciones supuestamente sufrieron ciberataques derivados de correos electrónicos mejorados con GenAI.

Datos aterradores sobre los delitos cibernéticos: avances en métodos y técnicas

10. La exfiltración de datos es más rápida que nunca (¡a veces lleva menos de un día!)

Los cibercriminales no necesitan ponerse un traje de piloto y gafas de aviador para sentir la necesidad de actuar con rapidez. Cuando se trata de exfiltración de datos, el equipo de respuesta a incidentes de la Unidad 42 de Palo Alto informa que está ocurriendo más rápido que nunca:

“En casi el 45 % de los casos que hemos visto este año, los atacantes extrajeron datos en menos de un día después de la vulneración. Eso significa que casi la mitad de las veces, las organizaciones deben responder en cuestión de horas para detenerlos”.

Esto significa que, en muchos casos, los atacantes han iniciado o completado su exfiltración antes de que una organización tenga tiempo de reunir su equipo de respuesta y planificar.

11. Más de 10 mil millones de contraseñas nuevas circulan en una sola filtración de datos

¿Recuerdas la filtración de RockYou2024 ? Ese archivo, compartido por un actor de amenazas que se hace llamar ObamaCare, incluía nada menos que 10 mil millones de contraseñas.

• La buena noticia: CyberNews informa que no todas las contraseñas eran nuevas , lo que significa que algunas de las contraseñas de la lista se habían expuesto en filtraciones de datos anteriores. Por ejemplo, estas contraseñas se recopilaron de más de 4000 bases de datos a lo largo de más de 20 años. Por lo tanto, sí, la lista incluye contraseñas actuales, pero también incluye muchas contraseñas antiguas que, con suerte, ya no son válidas.
• La mala noticia: los usuarios son lentos o negligentes a la hora de cambiar o actualizar las contraseñas comprometidas. Por ejemplo, un estudio encargado por Forbes Advisor y realizado por Talker Research indica que solo el 68 % de los usuarios cambiaron sus contraseñas “en varias cuentas después de que su contraseña se vio comprometida”. Además, solo dos de cada cinco usuarios cambian las contraseñas cuando se les pide en lugar de hacerlo de manera proactiva.

Entonces, ¿deberían cambiarse las contraseñas de manera proactiva? No necesariamente, según la última versión de las Directrices de identidad digital del Instituto Nacional de Estándares y Tecnología (NIST):

¿No está seguro de si su contraseña se ha filtrado o violado? Consulte la herramienta de verificación de fugas de contraseñas de CyberNews. A continuación, se muestra un ejemplo de los resultados para la contraseña NoWayJose:

12. El número de violaciones de datos se disparó en el primer semestre de 2024

2024 ha sido un año récord en muchos sentidos, y sin duda uno de los más importantes es la cantidad de violaciones de datos denunciadas que se han producido hasta ahora. El Centro de recursos contra el robo de identidad (ITRC) informa que la cantidad de víctimas de violaciones de datos aumentó un enorme 1170 % interanual desde el segundo trimestre de 2023 hasta el segundo trimestre de 2024. No, no fue un error tipográfico, lo leyó correctamente.

El ITRC informa que en el primer semestre de 2024 se produjeron 1.571 violaciones de datos y otros ataques que afectaron a más de 1.007 millones de víctimas. Sin embargo, se apresura a señalar que las más de 1.000 millones de víctimas estimadas no cuentan a las personas implicadas en el ataque masivo a la cadena de suministro relacionado con Change Healthcare, que probablemente "afectará a 'una cantidad sustancial' de residentes de EE. UU."

Pero, ¿cómo puede saber si su información ha sido incluida en alguna filtración? Una forma de saberlo es consultar bases de datos en línea como haveibeenpwned.com . A continuación, se muestra un ejemplo rápido de cómo se ve cuando se utiliza esta herramienta:

13. El 90 % de los ataques de ransomware se dirigen a dispositivos no administrados

No es ningún secreto que los dispositivos de red no administrados plantean riesgos de seguridad importantes para su organización. Sin embargo, el Informe de Defensa Digital 2024 de Microsoft indica que en los casos en los que los ataques de ransomware progresaron hasta la etapa de rescate, utilizan abrumadoramente dispositivos no administrados como vector de acceso inicial o como medio para cifrar activos de forma remota:

“Observamos cifrado remoto en el 70 % de los casos exitosos, y el 92 % se originó en dispositivos no administrados en la red, lo que subraya la necesidad de que las organizaciones inscriban los dispositivos en la administración o excluyan los dispositivos no administrados de la red”.

Por eso es fundamental que las empresas autentiquen y administren sus dispositivos de red. Si eso no es posible, los dispositivos deben eliminarse de la red para evitar posibles ataques.

Cómo contraatacan los “buenos”

Expertos en ciberseguridad, legisladores y organizaciones de todo el mundo están luchando contra estas nefastas actividades de ciberdelincuencia. Cada vez más, buscan soluciones basadas en IA para mejorar sus defensas de ciberseguridad. Darktrace informa que el 95 % de los 1800 líderes y profesionales de seguridad encuestados por la empresa indican que las herramientas de seguridad basadas en IA mejorarán la velocidad y la eficiencia de sus organizaciones a la hora de combatir las ciberamenazas.

A continuación se presentan un par de otras formas en que algunos líderes de la industria están tomando la iniciativa para frenar las actividades cibercriminales.

Google adopta certificados digitales para luchar contra la apropiación de cuentas en la nube

La autenticación bidireccional (mTLS o TLS mutua ) es el uso de certificados digitales para demostrar que alguien es quien dice ser. Esto resulta especialmente útil para autenticar personas y dispositivos que acceden a su red, aplicaciones y otros sistemas de forma remota.

Según Google , el acceso basado en certificados utiliza TLS mutuo para “garantizar que las credenciales del usuario estén vinculadas a un certificado de dispositivo antes de autorizar el acceso a los recursos de la nube”. Básicamente, se trata de utilizar certificados digitales como identificadores y verificadores de dispositivos cuando alguien intenta acceder a los servicios en la nube de Google. Según la publicación del blog:

“Incluso si un atacante logra comprometer las credenciales de un usuario, el acceso a la cuenta permanecerá bloqueado ya que no tiene el certificado correspondiente. Esto hace que las credenciales robadas sean inútiles”.

El Servicio Secreto de EE.UU. investigará delitos cibernéticos relacionados con activos digitales

Un nuevo proyecto de ley del Senado de Estados Unidos titulado “Ley de lucha contra el blanqueo de dinero en los delitos cibernéticos de 2024” (S.4830) tiene como objetivo otorgarle al Servicio Secreto de Estados Unidos el poder de investigar lo siguiente:

“diversos delitos relacionados con las transacciones de activos digitales y para contrarrestar la actividad cibercriminal transnacional, incluidas las empresas de transmisión de dinero sin licencia, las transacciones estructuradas y el fraude contra instituciones financieras, y para otros fines”.

El proyecto de ley se presentó a fines de julio. Si se aprueba, la nueva legislación ampliaría las autoridades de investigación del Servicio Secreto en virtud del Título 18 del Código de los Estados Unidos. También requiere que la Oficina de Responsabilidad Gubernamental (GAO) informe sobre su estudio de la Sección 6102 de la Ley contra el Lavado de Dinero de 2020 y su evaluación de cuán bien las fuerzas del orden identifican y disuaden los delitos cibernéticos relacionados con el lavado de dinero.