Los puertos, trenes y aeropuertos españoles no salen de la diana de los cibercriminales y así lo refleja, año tras año, el Informe Anual de Seguridad Nacional. La edición de 2023 acaba de hacerse pública y ha vuelto a situar al transporte en el pódium de los objetivos críticos más atacados en nuestro país. Fue el tercer sector estratégico que más episodios reportó, con 1.710 incidencias, lo que equivale al 21,34% del total de ataques notificados durante el ejercicio a la Oficina de Coordinación de Ciberseguridad (OCC), bajo el paraguas del Ministerio del Interior.
Solo el sistema financiero y tributario (27,84%) y la Administración (22,52%) se situaron por delante del transporte en la lista de ciberataques contra infraestructuras críticas, es decir, aquellas que proporcionan servicios esenciales. El cuarto puesto fue para la gestión de agua (19,32%). Con amplia diferencia, las siguientes posiciones las ocuparon las tecnologías de la información (7%) y la energía (1,17%).
Aunque el ranking apenas varía de un año para otro, el informe de 2023 incorpora una referencia menos usual sobre los principales agentes del sector transporte. Destaca que las principales amenazas se vincularon a grupos cibercriminales y a actores relacionados con el conflicto de Rusia y Ucrania. Y matiza: "Estas se materializaron en ataques de Denegación de Servicio (DoS) a diversas empresas y organismos, entre los que destacan Puertos del Estado, Renfe y Adif".
Los llamados DoS son incursiones maliciosas que buscan sobrecargar de tráfico una página o propiedad web para interrumpir y frenar su funcionamiento habitual. Ninguna de las acometidas logró su objetivo.
"El indicador clave no es el número de ataques recibidos, pues el hecho de detectarlos y reportarlos explica el mayor grado de preparación de las organizaciones para identificar y gestionar ciberataques", explican a EL MUNDO fuentes oficiales del Ministerio de Transportes. Desde la cartera que dirige Óscar Puente apuntan a la transformación digital de las entidades, la incorporación del uso de tecnologías sofisticadas y la hiperconexión del ámbito de la tecnología operativa (OT), las principales causas que obligan a ampliar la superficie de ataque que debe protegerse. "En líneas generales, ningún ataque cibernético ha afectado a la actividad de las empresas", inciden.
Los 1.710 ataques que acumuló el sector transportes en 2023 marcan una caída considerable frente a los 7.600 que acumuló al cierre del ejercicio anterior. Si bien, el recorte fue generalizado en todos los sectores estratégicos que analiza el informe y las 15.000 incidencias reportadas en total en 2022, descendieron a 8.050 en 2023. Como recuerdan desde el ministerio, las cifras por sí mismas dicen poco. Eso sí, demuestran que cada vez más intentos maliciosos son detectados a tiempo.
En la coyuntura de una digitalización masiva de sus estructuras del boom del teletrabajo, no es extraño que las empresas y entes públicos dediquen cada vez más esfuerzos y recursos a blindarse frente a los hackers.
Como refleja el informe, otro de los puntos críticos en el punto de mira de los ciberataques es el agua. Desde el Canal de Isabel II reconocen que han detectado un incremento de las ofensivas a raíz del estallido de la guerra en Ucrania. "Debemos cumplir con tres premisas fundamentales: calidad, cantidad y continuidad. Para conseguirlo es tan importante la seguridad física de las infraestructuras como la seguridad digital, ya que, en la actualidad, ambas son esenciales para asegurar el servicio", aseguran desde la empresa pública encargada de la gestión del ciclo del agua en la Comunidad de Madrid.
La compañía de aguas sufrió en 2021 un ciberataque que inutilizó su atención telefónica. En los últimos años, ha trabajado en distintoa frentes para reforzar sus defensas. "La segmentación de redes, la autenticación de múltiples factores, la detección de intrusiones en tiempo real, la monitorización de variaciones en el transcurso de las operaciones y la formación continua del personal, sin descuidar las auditorías permanentes a sistemas y aplicaciones", son algunas de las actuaciones que enumeran desde Canal.
Llama la atención que el Foro Nacional de Ciberseguridad -un espacio de colaboración público-privada constituido en 2020 por Presidencia del Gobierno, entonces bajo la batuta de Iván Redondo-, haya concluido que los "ciudadanos en edad laboral no concienciados" son uno de los tres grupos de población más vulnerables a los riesgos de la tecnología. Los otros dos son menores y personas mayores.
El Foro describe ese primer grupo como "aquellos que disponen de los conocimientos mínimos para desenvolverse con la tecnología, sin llegar a ser usuarios avanzados". Y detalla que, sin ser conscientes de las vulnerabilidades de sus dispositivos y redes domésticas, los utilizan para teletrabajar y entrar en la red corporativa, lo que eleva el riesgo de que, por ejemplo, le roben sus credenciales o llegue a descargar un malware (software malicioso). La atención que exige esta brecha en la seguridad es "particularmente importante" para quienes "trabajan en infraestructuras críticas y para operadores de servicios esenciales".
En esta línea, el Ministerio de Transportes retomó en 2022 los cursos, prácticas y simulacros que habían quedado suspendidos por la pandemia y que están muy enfocadas a la ciberseguridad. Se destinan a personal externo e interno y los imparten en Adif, Enaire, Aena, Renfe y Puertos del Estado.