Casi dos tercios de los empleados en Alemania (64%, 68% en todo el mundo) exponen conscientemente a su empresa a riesgos que podrían provocar infecciones de ransomware o malware, incidentes de seguridad de datos o pérdidas financieras. Estos son solo algunos de los hallazgos del Informe sobre el estado del phishing de Proofpoints 2024.
Este es sólo un hallazgo del décimo informe anual sobre el estado del phishing de Proofpoint. Si bien la frecuencia de los ataques de phishing exitosos ha disminuido ligeramente (el 86 por ciento de las empresas encuestadas en Alemania experimentaron al menos un ataque exitoso en 2023, en comparación con el 89 por ciento del año anterior), las consecuencias negativas han aumentado considerablemente: informes de sanciones financieras, por ejemplo, en forma de multas, aumentó en un 510 por ciento, y hubo un aumento del 67 por ciento en los informes de daños a la reputación.
Mucha ignorancia sobre los peligros.
🔎 Sólo casi el 30 por ciento de los empleados aún no ha asumido ningún riesgo (Imagen: Proofpoint).
Los resultados del estudio de este año cuestionan particularmente la suposición generalizada de que las personas adoptan comportamientos riesgosos debido a una falta de conocimiento sobre ciberseguridad y que, por lo tanto, la educación puede prevenir comportamientos inseguros. A la vista de los resultados del estudio, también se puede cuestionar la creencia de muchos expertos en seguridad de que la mayoría de los empleados son conscientes del papel que desempeñan en la protección de la empresa.
El informe State of the Phish de este año proporciona una descripción detallada del panorama actual de amenazas a medida que los ciberdelincuentes abusan de la IA generativa, los códigos QR y la autenticación multifactor (MFA). Los resultados están respaldados por los datos de telemetría de Proofpoint basados en más de 2,8 billones de correos electrónicos escaneados en 230.000 organizaciones en todo el mundo, así como los resultados de 183 millones de ataques de phishing simulados enviados durante un período de XNUMX meses.
El informe también destaca las evaluaciones de 7.500 empleados y 1.050 expertos en seguridad en 15 países. Muestra cómo las actitudes en materia de ciberseguridad se manifiestan en el comportamiento real y cómo los actores de amenazas están encontrando nuevas formas de explotar la preferencia humana por la velocidad y la conveniencia. El informe también aborda el estado actual de las iniciativas para promover la concienciación sobre la seguridad.
Evaluación con 230.000 organizaciones en todo el mundo
Los empleados no adoptan comportamientos riesgosos porque carecen de conciencia sobre la seguridad: el 69 por ciento de los profesionales encuestados admitieron haber participado en comportamientos riesgosos, como reutilizar o compartir una contraseña, hacer clic en enlaces de remitentes desconocidos o pasar su información de inicio de sesión a alguien a quien conocen. No sé, pasa a una fuente confiable. El 93 por ciento de ellos lo hizo conociendo los riesgos, lo que significa que el 64 por ciento de los empleados alemanes ponen en peligro conscientemente la seguridad de su empresa. Las motivaciones para el comportamiento arriesgado son variadas, y la mayoría de los empleados citan la conveniencia (46%), el deseo de ahorrar tiempo (44%) y un sentido de urgencia (22%) como las principales razones.
Desajuste entre los equipos de TI y los empleados
🔎 Los empleados asumen riesgos para la empresa porque les resulta más conveniente o simplemente ahorran tiempo (Imagen: Proofpoint).
El 86 por ciento de los expertos en seguridad encuestados suponen que la mayoría de los empleados saben que comparten la responsabilidad de la seguridad. Por el contrario, el 65 por ciento de los empleados encuestados no estaban seguros o dijeron que no eran responsables en absoluto. Prácticamente todos los empleados (93%) que han cometido un acto riesgoso son conscientes de los riesgos implicados: una prueba clara de que la formación en seguridad aumenta la concienciación de los empleados.
Sin embargo, existen diferencias significativas entre lo que los expertos en seguridad y los empleados creen que es eficaz para lograr un cambio de comportamiento. Los expertos en seguridad creen que la respuesta es más capacitación (80%) y controles más estrictos (92%), pero casi todos los empleados encuestados (92%) dicen que priorizarían la seguridad si los controles fueran más simples y fáciles de usar.
MFA da una falsa sensación de seguridad
Cada mes se lanzan más de un millón de ataques utilizando el marco de derivación EvilProxy MFA. Sin embargo, el 89 por ciento de los expertos en seguridad alemanes todavía creen que MFA ofrece una protección completa contra la apropiación de cuentas.
Los ataques de Business Email Compromise (BEC) se benefician de la IA
En Alemania, el 82 por ciento de las empresas fueron blanco de ataques BEC el año pasado, en comparación con el 86 por ciento en 2022. En general, menos empresas en todo el mundo informaron sobre intentos de fraude por correo electrónico. Sin embargo, los volúmenes de ataques aumentaron en países como Japón (+35% interanual), Corea del Sur (+31%) y los Emiratos Árabes Unidos (+29%). Es posible que estos países hayan sufrido menos ataques BEC en el pasado debido a barreras culturales o lingüísticas. Pero gracias a la IA generativa, los atacantes pueden crear correos electrónicos más atractivos y personalizados en varios idiomas. Proofpoint identifica un promedio de 66 millones de ataques BEC dirigidos cada mes.
La ciberextorsión sigue siendo lucrativa
El 85 por ciento de las empresas alemanas fueron infectadas con éxito con ransomware el año pasado (un aumento del 35 por ciento en comparación con el año anterior). El 75 por ciento de las empresas alemanas incluso han sufrido múltiples infecciones de ransomware por separado. De las empresas afectadas por el ransomware, casi todas (93%) aceptaron pagar a los atacantes (frente al 81% del año pasado). El 63 por ciento recuperó el acceso a sus datos después de un único pago (en comparación con el 41 por ciento hace un año).
Los ataques de entrega de ataques orientados al teléfono (TOAD) siguen aumentando
Una cadena de ataques TOAD comienza aparentemente inocentemente con un mensaje que contiene información falsa y un número de teléfono. Se vuelve peligroso cuando un empleado desprevenido llama a un centro de llamadas fraudulento y revela sus credenciales o concede acceso remoto a actores maliciosos. Proofpoint identifica un promedio de 10 millones de ataques TOAD por mes, alcanzando un máximo provisional de 2023 millones de incidentes en agosto de 13.
A pesar de la creciente amenaza de amenazas como ransomware, TOAD y MFA bypass y su creciente sofisticación, muchas organizaciones no están adecuadamente preparadas o capacitadas para abordarlas. Sólo el 21 por ciento de las empresas alemanas capacitan a sus empleados en la detección y prevención de ataques TOAD y una cantidad similar capacita a sus usuarios en el uso de la IA generativa.
Más en proofpoint.com
Acerca de Proofpoint Proofpoint, Inc. es una empresa líder en ciberseguridad. El enfoque de Proofpoint es la protección de los empleados. Porque estos significan el mayor capital para una empresa, pero también el mayor riesgo. Con un conjunto integrado de soluciones de ciberseguridad basadas en la nube, Proofpoint ayuda a las organizaciones de todo el mundo a detener las amenazas dirigidas, proteger sus datos y educar a los usuarios de TI empresariales sobre los riesgos de los ciberataques.