El alto costo de la cibercriminalidad

Si observamos a un grupo pequeño de personas conversando, no falta alguien comentando que le robaron recientemente el celular y la billetera, otro que recibió una llamada de un estafador, o le clonaron la tarjeta de crédito, o que sacaron una cuenta falta en el Facebook con su nombre y escribieron a sus contactos pidiendo dinero. Es el pan de cada día.

INEI tiene un sistema integrado de estadísticas por departamento llamado Data-Crim en donde se puede apreciar que se reportan más delitos en ciudades con más de 20 mil habitantes, sobre todo si están en la costa. Los más comunes son el robo de dinero o cartera y celular, seguidos de las estafas. Todos ellos se agrupan en la categoría de Delitos contra el patrimonio (379,357), se incrementaron 26% en el último año y representan el 66.45% del total de incidentes a nivel nacional, según la Policía Nacional del Perú (PNP).

Pero estos delitos no se dan solo en el ámbito físico, sino también en el digital, donde han aumentado mucho luego de la transformación en los hábitos de consumo que trajo la pandemia. Un Yape falso, una estafa por WhatsApp o un prestamista online que en realidad roba datos son solo algunos ejemplos. En el país las denuncias por estos ciberdelitos se multiplicaron por siete en cinco años (2018-2022) y superaron la 22 mil en el 2023, según datos de la PNP.

En el 2024, se han incrementado sustancialmente las denuncias por delitos informáticos y, hasta agosto, la Divindat (División de Investigación de delitos de Alta Tecnología de la PNP) tenía registrados 27,934 denuncias, donde prima el Fraude informático (19,067) y va en segundo lugar la Suplantación de identidad (6,196). Solo en la modalidad extorción «gota a gota», muy usual a través de aplicativos de préstamos que se descargan en el móvil, hubo 81 denuncias.

Si hacemos un comparativo semestral del reporte, encontramos que hubo 20,704 denuncias en 2024, esto es casi 61% más de lo registrado en 2023 en el mismo periodo (12,904) y el triple de lo que se reportó en 2021 (6,507). Si bien hay más distritos considerados este año, la tendencia creciente es consecuente con la mayor digitalización de la sociedad peruana.

Reporte semestral y anual de delitos informáticos entre 2020 y 2024 en el Perú

El efecto de esta realidad no solo se traduce en temor e inseguridad, sino que tiene un impacto económico, afectando desde las inversiones extranjeras hasta el turismo. La Sociedad de Comercio Exterior del Perú (ComexPerú) publicó un estudio en donde cita que, según el Banco Interamericano de Desarrollo (BID), el crimen le cuesta US$261 mil millones anuales a la región, lo que equivale al 3.5% del PBI anual.

En Perú el costo es de S/ 31,500 millones al año (US$8,510 millones), es decir el 3.07% del PBI. Era el 2.7% diez años atrás, lo cual refleja un alza sustancial, entendible si consideramos que el índice delictivo del INEI subió cuatro puntos en el segundo semestre del 2023 y las personas detenidas se elevaron 9.8% en el último año.

En el 2024, se han incrementado sustancialmente las denuncias por delitos informáticos y, hasta agosto, la División de Investigación de delitos de Alta Tecnología de la PNP tenía registrados 27,934 denuncias, donde prima el Fraude informático (19,067) y van en segundo lugar la Suplantación de identidad (6,196).

Delincuencia digital

«Los cibercriminales son, sin duda, una fuente significativa de inseguridad ciudadana en Perú», afirmó Julio Seminario, especialista en ciberseguridad de Intecnia Corp, country partner de Bitdefender en Perú. A medida que las actividades diarias, como las transacciones financieras, se trasladan al ámbito digital, el impacto económico y social es mayor, explicó, porque abarca el ámbito personal y corporativo. No solo implican redoblar el gasto en incorporar soluciones de seguridad a nivel de las empresas, sino solventar las pérdidas por fraudes financieros y las multas por pérdida de datos personales de los clientes.

El año pasado expertos de Canvia estimaron que un solo ataque le puede costar a una empresa local desde US$13 mil hasta más de US$5 millones. En promedio, según IBM, en la región una brecha de seguridad declarada bordea los US$1.1 millones y, de acuerdo a los cálculos de eBIZ, en Perú la cifra asciende a US$350 mil por incidente.

Cybersecurity Ventures calcula año a año el daño que genera la ciberdelincuencia en el mundo. Se pasó de US$3 billones por ataques en 2015 a US$6 billones en 2021, US$8 billones en 2023, unos US$9.5 billones para el año en curso y se estima serán por US$10.5 billones para 2025. Solo el ransomware o secuestro de datos alcanzó un costo de US$20 mil millones en 2021, que fue 57 veces más que en 2015.

En el Perú, explicó Julio Seminario, los ataques de ransomware se vienen incrementando y están dirigidos principalmente a infraestructuras críticas y medianas empresas, que suelen carecer de defensas cibernéticas avanzadas. Bitdefender, dijo, estableció que las principales formas de ataque locales fueron el robo de credenciales (35%), los ataques de red (30%), páginas web con código malicioso (13%) y los ataques por falta de actualizaciones o parche (7%).

PNP declaró al diario El Comercio que el año pasado se registraron 1,487 denuncias de estafas digitales en 2023 con pérdidas que sumaron S/ 53 millones y US$26.9 millones. Las pymes están entre las más vulnerables, y son conscientes de eso, porque un 88% reconoció la necesidad de reforzar sus medidas de protección y 36% aceptó haber sufrido un ataque informático en el último año, recordó Movistar Empresas. De hecho, junto a los usuarios con menor conocimiento en ciberseguridad y los niños − siete de cada 10 sufren ataques −, son los blancos más fáciles para los cibercriminales, remarcó Seminario.

En la región ha habido una evolución en el tipo de ataques perpetrados, volviéndose cada vez más complejos y sofisticados, incluyendo hasta inversiones y pagos por criptomonedas inexistentes. Según ESET, hasta antes del 2010, primaban los virus y gusanos que aprovechaban vulnerabilidades y causaban daños a los archivos de forma masiva. La década siguiente primó la profesionalización del cibercrimen con ayuda del phishing y el ransomware, o el secuestro de datos a cambio de un rescate.

Actualmente, la reina es la Inteligencia Artificial (IA), usada para ataques dirigidos muy sofisticados, afirmaron desde ESET. También están cobrando protagonismo los APT (Amenazas Persistentes Avanzadas), que se centran en el espionaje y el sabotaje a largo plazo con fuerte incidencia en el sector público con móviles económicos, geopolíticos o ideológicos, como el reciente hackeo al régimen de Maduro dado el irrespeto de los resultados electorales en Venezuela.

La IA implica riesgos incluso cuando no la usan los criminales en ataques, advierten desde ESET, porque al emplearla en el perfeccionamiento de algún software por brindar un menor servicio, quedan sin respetarse los derechos de autor, que pueden llevar millonarias demandas, o la violación de la privacidad de los datos, que en manos equivocadas pueden ser usados de forma delictiva.

El año pasado expertos de Canvia estimaron que un ataque le puede costar a una empresa local desde US$13 mil y hasta más de US$5 millones. En el Perú, explicó Julio Seminario (de Bitdefender), los ataques de ransomware se vienen incrementando y están dirigidos principalmente a infraestructuras críticas y medianas empresas.

«El manejo de los datos que requieren estas tecnologías y la administración de la información para nutrirla, hace necesarios contratos que sean claros y concisos, que no presten a confusión o descontento», comentó Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. Por ejemplo, en Windows Recall de PC Copilot+, se hace un recuento de todas las actividades del usuario, incluyendo el registro de conversaciones y correo, que son datos personales, para facilitar la búsqueda de imágenes y texto con lenguaje natural.

ESET informó que un entusiasta de la ciberseguridad demostró, antes de que se lanzara la solución, que esta función almacena las capturas de pantalla en una base de datos sin cifrar y puede ser extraído de una manera muy sencilla con una herramienta llamada «TotalRecall». En manos equivocadas es muy peligroso, advirtieron.

En el Perú existen ya antecedentes de aprovechamiento de datos personales para robos o chantajes sin necesidad de mucha sofisticación. En 2022, recordemos, unos delincuentes filtraron y comercializaron los datos personales de 30 millones de peruanos que estaban registrados en la Reniec. Un año después, el Juzgado les impuso 15 meses de prisión preventiva a los implicados, pero el problema no murió ahí.

Aún existen quienes practican este delito, a los que sumamos quienes venden un Yape falso, que se descarga incluyendo la opción de encontrar los teléfonos de los usuarios registrados en el sistema. Y a nivel del sector público, en el primer semestre fue sonado el secuestro de la data del Instituto Geológico, Minero y Metalúrgico (Ingemmet), organismo público a cargo del almacenamiento de la información geo científica del país.

En la región ha habido una evolución en el tipo de ataques perpetrados, volviéndose cada vez más complejos y sofisticados, incluyendo hasta inversiones y pagos por criptomonedas inexistentes.

¿Cuáles son los ciberdelitos más frecuentes en el Perú?

Los ciberdelitos son conductas ilegales realizadas en Internet, o usando dispositivos electrónicos, que perjudican a individuos, empresas o gobiernos. Uno de los tipos más frecuentes de ciberdelitos en el país es el phishing, donde los delincuentes envían mensajes fraudulentos para engañar a las víctimas y llevarlas a sitios web falsos con el objetivo de robar información personal y datos bancarios.

El uso de inteligencia artificial ha hecho que estos engaños sean cada vez más sofisticados y convincentes. Según datos de ESET, Perú experimentó más de un millón de ataques únicos de phishing en el primer semestre de 2024, destacando la gravedad del problema y la necesidad de estar alerta frente a estas amenazas digitales.

Evoluciones del phishing:

Vishing: Son llamadas telefónicas fraudulenta con información previamente obtenida bajo otros engaños. El objetivo es robar dinero en transacciones financieras.

• Smishing: se da por mensajes de texto o de WhatsApp. El delincuente finge ser funcionario del banco para robar datos confidenciales. Incluso dan número falso para devolver llamada al banco.

• Whaling: ataques a personas de alto rango de una organización con correos personalizados que buscan obtener datos confidenciales, instalar malware o inducirlos a realizar transferencias fraudulentas. Es un spearphishing, o pesca con arcón, porque tiene un objetivo particular: capturar un “pez gordo”.

• Carding: fraude perpetrado con datos de tarjetas de crédito que han sido robados. Se valen de dichos datos para hacer compras en línea.

• Pharming: usan malware para redirigir a los usuarios hacia versiones falsificadas de sitios web, con el fin de que introduzcan sus datos personales.

• Ransomware: toman control del equipo o sistema infectado y lo “secuestran”, e impiden los accesos. Piden dinero a cambio de devolver lo raptado. ESET estima que el 23% de empresas en Perú fue víctima de estos ataques en los últimos dos años.

Para proteger la salud financiera de tu empresa frente a la cibercriminalidad, no solo necesitas ciberseguridad, sino también control y respaldo en tu información contable. VisualCONT ayuda a consolidar y automatizar tus procesos tributarios y financieros de forma segura, garantizando reportes precisos en tiempo real, reduciendo errores manuales y protegiendo los datos clave de tu negocio ante cualquier contingencia digital.

Troyanos bancarios

Programas creados para robar datos de la banca móvil o en línea. Kaspersky advierte de la existencia de variedad de modelos brasileños, pero también hay modelos creados en Perú. Además, advierten que se está adoptando cada vez más como ATS (Sistema de Transferencia Automatizada).

Artículos relacionados que te pueden interesar:

• 7 claves para encontrar trabajo

• Contrato por necesidad de trabajo

• El Secreto de la Intermediación laboral