La importancia de la seguridad cibernética en la industria de la construcción
La época en que el riesgo cibernético era principalmente un problema relacionado con la violación de datos ha terminado. Con la explosión de los ataques de ransomware, los compromisos del correo electrónico empresarial, el fraude y el robo de credenciales, la ciberseguridad es ahora un riesgo para todos. Y a medida que continúa aumentando, las empresas de construcción se han convertido en un objetivo.
Ransomware: la amenaza cibernética número 1
En la construcción, los riesgos cibernéticos pueden no parecer un tema relevante. La industria de la construcción puede no parecer un objetivo obvio de los ciberdelincuentes en comparación con industrias como la atención médica, el comercio minorista o la tecnología, pero eso está cambiando.
En 2021, el contratista canadiense Bird Construction y el contratista francés Bouygues Construction se vieron afectados por ataques de ransomware. Los ataques de ransomware a menudo se centran en empresas que se verán afectadas inmediatamente por la interrupción causada por el ataque. "Es probable que las empresas de construcción estén siendo atacadas debido a su limitada conciencia de los riesgos cibernéticos y su falta de seguridad cibernética", dijo David DeSilva, jefe de construcción de The Hartford. "Si bien la tecnología es una parte integral del negocio diario, es posible que muchas empresas no tengan firewalls y protección adecuados para protegerse de los piratas informáticos sofisticados, ya que la ciberseguridad no había sido lo más importante".
Además, el ransomware puede causar una interrupción sustancial de la compleja cadena de suministro de la que dependen los proyectos de construcción. El tiempo de inactividad que experimenta una organización después de un ataque de ransomware es de 20 días. 1A medida que los ataques se vuelven más sofisticados, las demandas de rescate han aumentado drásticamente. Además, los montos promedio de demanda de rescate aumentaron rápidamente a partir del cuarto trimestre de 2021 y se dispararon en el cuarto trimestre de 2022, a más de $400k.2
Las empresas de construcción son propensas al fraude de compromiso de correo electrónico comercial
Una característica única de la industria de la construcción es el uso extensivo de subcontratistas y proveedores, lo que implica un alto grado de pagos que fluyen hacia y desde las empresas de construcción. Además, los proyectos de construcción suelen formar parte de un proceso de licitación pública. Los detalles de este proceso incluyen información sobre el proyecto y los ganadores. Esto hace que las empresas de construcción sean un objetivo atractivo para el fraude de compromiso de correo electrónico comercial. Se trata de una estafa engañosa en la que los ciberdelincuentes envían mensajes de correo electrónico fraudulentos disfrazados de facturas legítimas o solicitudes de transferencia bancaria. Luego, el dinero se transfiere a la cuenta del delincuente en lugar del beneficiario real. El compromiso de correo electronico empresarial (BEC) es uno de los delitos en línea más dañinos financieramente. En 2022, hubo casi 22,000 quejas relacionadas y las empresas perdieron más de $2.7 mil millones por estas estafas. 3
Los contratistas son vulnerables a que les roben sus credenciales
Muchas veces, los contratistas tienen conexiones de datos abiertas con sus clientes para cosas como el pago electrónico de facturas y la gestión de proyectos. Cuando estas conexiones están vinculadas a otros sistemas importantes de sus clientes, se crea un entorno para los atacantes cibernéticos a quienes nada les gustaría más que robar tanta información como puedan. Y una vez que tienen las credenciales del contratista, esos ciberdelincuentes pueden tomar información valiosa de los clientes del contratista.
¿Qué pueden hacer las empresas de construcción para protegerse de las amenazas cibernéticas?
Todo tiene que comenzar con la conciencia del riesgo cibernético y la comprensión de cuál puede ser el impacto financiero para el negocio en caso de un ataque exitoso. La ingeniería social sigue siendo una parte integral de muchos ataques simplemente porque es el camino de menor resistencia. En lo que respecta al fraude de compromiso de correo electrónico empresarial, es el principal método de ataque.
Cuando se trata de ataques de ransomware, los delincuentes explotan una serie de vulnerabilidades críticas en los sistemas y aplicaciones que utilizan la mayoría de las empresas, como el sistema operativo de Microsoft y las aplicaciones VPN para el acceso remoto. Matthew Magner, jefe de suscripción cibernética especializada en The Hartford, explicó la gravedad que los ataques cibernéticos pueden tener en el negocio. "El impacto del ransomware no se limita a los pagos de rescate y los costos de limpieza, sino que también puede incluir daños a la reputación".
Fuera de las protecciones técnicas estándar de ciberseguridad, las siguientes medidas pueden reducir en gran medida la exposición de las empresas de construcción a las amenazas cibernéticas:
- Capacitación de concientización sobre riesgos cibernéticos para empleados, incluidos ejercicios antiphishing.
- Requerir contraseñas seguras y usar autenticación multifactor para usuarios con acceso a datos y aplicaciones críticos o involucrados en cambios o aprobaciones de transferencias bancarias.
- Disponer de un procedimiento para autenticar la legitimidad de las solicitudes de pago y cambios en las instrucciones de transferencia bancaria.
- Mantener una buena higiene de puertos abiertos y ejecutar solo aquellos servicios del sistema operativo que son absolutamente necesarios para el funcionamiento de la red. El protocolo de escritorio remoto es un ejemplo de un servicio comúnmente explotado en ataques de ransomware que rara vez es crítico para las operaciones y debe apagarse.
- Garantizar que las vulnerabilidades críticas se parcheen dentro de los 30 días posteriores al lanzamiento por parte del proveedor.
- Mantener copias de seguridad frecuentes y cifrar o almacenar copias de seguridad fuera de línea para evitar que los ciberdelincuentes cifren o destruyan la copia de seguridad como parte del ataque.
- Uso de VPN para el acceso remoto. Para las organizaciones con usuarios remotos, la VPN proporciona un canal seguro a través de Internet a la red privada de la organización.
- Prepararse para lo peor con un plan de respuesta a incidentes (IRP). Esto prescribe la forma en que una empresa responderá y gestionará los efectos de un ataque de seguridad.
- Dominios SPF y registros DKIM configurados correctamente.
Oferta de seguro cibernético de The Hartford
"Una estrategia integral de ciberseguridad y un plan de respuesta a incidentes ayudan a garantizar que se implementen los procesos y la tecnología adecuados para ayudar a mitigar el riesgo", dijo Magner. Incluso con una fuerte seguridad, las empresas aún pueden ser víctimas de costosos ataques cibernéticos. Es por eso que la cobertura de riesgo cibernético es importante para ayudar a proteger una empresa.
Como asegurado de The Hartford, los clientes de CyberChoice pueden recibir servicios gratuitos de prevención de ransomware. Estos servicios pueden ayudar a proteger a las empresas contra ataques de phishing y vulnerabilidades de puerto abierto, que son las causas fundamentales de casi el 90% de los ataques de ransomware.
Los clientes de CyberChoice pueden acceder a:
Informes de Bitsight , que pueden ayudar a las empresas a identificar y abordar vulnerabilidades de puerto abierto. El informe puede proporcionar una medida del desempeño de ciberseguridad de una empresa. Los clientes pueden obtener una consulta complementaria con Bitsight para ayudarlos a comprender y responder a los resultados. Asegúrese de marcar la casilla para solicitar una consulta complementaria de Abacode.
Después de recibir su informe, un experto de Abacode se comunicará con usted para iniciar su consulta gratuita de mejora de la ciberseguridad de Abacode , disponible para los asegurados de riesgo cibernético y tecnología de The Hartford. Esta consulta interpreta el informe de BitSight y ayuda a su organización a definir qué mejoras serán más efectivas en la defensa contra los ataques cibernéticos más comunes.
Para obtener más información, visite nuestra página de productos CyberChoice .
1,2 “Ransom Monetization Rates Fall to Record Low Despite Jump In Average Ransom Payments,” Coveware, July 2023
3 “Internet Crime Complain Center Releases 2022 Statistics,” Federal Bureau of Investigation,” March 2023
La información proporcionada en estos materiales pretende ser de naturaleza general y consultiva. No se considerará asesoramiento legal. The Hartford no garantiza que la implementación de cualquier punto de vista o recomendación contenida en este documento: (i) resulte en la eliminación de cualquier condición insegura en sus ubicaciones comerciales o con respecto a sus operaciones comerciales; o (ii) ser una práctica legal o comercial apropiada. The Hartford no asume ninguna responsabilidad por el control o la corrección de peligros o el cumplimiento legal con respecto a sus prácticas comerciales, y las opiniones y recomendaciones contenidas en este documento no constituirán nuestro compromiso, en su nombre o en beneficio de otros, para determinar o garantizar que sus instalaciones, ubicaciones u operaciones comerciales sean seguras o saludables. o cumplen con cualquier ley, regla o reglamento. Los lectores que deseen resolver problemas o inquietudes específicas de seguridad, legales o comerciales relacionadas con la información proporcionada en estos materiales deben consultar a su consultor de seguridad, abogado o asesores comerciales. Toda la información y las representaciones contenidas en este documento son a partir de enero de 2021.
Los enlaces desde este sitio a un sitio externo, no afiliado a The Hartford, pueden proporcionarse solo para la conveniencia de los usuarios. The Hartford no controla ni revisa estos sitios ni la provisión de ningún enlace implica un respaldo o asociación de dichos sitios que no sean de Hartford. The Hartford no es responsable y no hace ninguna representación o garantía con respecto al contenido, integridad, precisión o seguridad de los materiales en dichos sitios. Si decide acceder a dichos sitios que no son de Hartford, lo hace bajo su propio riesgo.
The Hartford Insurance Group, Inc., (NYSE: HIG) opera a través de sus subsidiarias, incluida la compañía de suscripción Hartford Fire Insurance Company, bajo la marca The Hartford,® y tiene su sede en Hartford, CT. Para obtener más detalles, lea el aviso legal de The Hartford en https://www.thehartford.com.
