Ciberdelinqüència: què és i com es pot combatre?

La digitalització creixent de la nostra societat ha comportat l’augment de la ciberdelinqüència. Així doncs, els delictes digitals representen una proporció cada vegada més gran en relació amb els atacs a persones i organitzacions. De fet, segons l’últim informe d’ACCIÓ i l’Agència de Ciberseguretat de Catalunya, els ciberatacs es van incrementar d’un 50 % de mitjana el 2022 respecte a l’any anterior, i es calcula que han suposat un cost mundial d’uns 7.000 milions d’euros anuals.  

No obstant això, “les tendències a l’alça no són només de caràcter quantitatiu”, tal com apunta el Dr. Steven Kemp, consultor i col·laborador docent del grau de Criminologia i del màster universitari de Ciberdelinqüència de la UOC. També es poden observar canvis qualitatius en relació amb la sofisticació dels atacs, especialment en l’àmbit de la ciberdelinqüència econòmica. Com a conseqüència, la ciberseguretat s’ha convertit en un sector imprescindible i necessari.

Però, què és la ciberdelinqüència? Quines característiques té? Quins tipus de ciberatac hi ha? Com la podem combatre? Així doncs, per protegir-nos dels ciberatacs, primer hem d’entendre a què ens enfrontem. 

Què és la ciberdelinqüència

• La ciberdelinqüència són tots aquells delictes que es cometen mitjançant les TIC, sigui contra individus, empreses o governs. Així doncs, els ciberdelictes són una acció antijurídica recollida pel dret penal, tant a Europa com a Espanya. 
• És habitual imaginar que aquests delictes són executats per individus aïllats. No obstant això, és important tenir en compte que cada vegada hi ha més grups organitzats que es dediquen a la ciberdelinqüència. Són els coneguts com a crime as a service. De fet, els preus dels serveis maliciosos que s’ofereixen a la dark web han baixat, en part, a conseqüència d’un mercat cada vegada més competitiu.
• D’altra banda, és important destacar que hi ha determinades característiques intrínseques a la ciberdelinqüència que dificulten l’eficàcia de la lluita contra els ciberdelinqüents. En primer lloc, l’anonimat i la globalització digital són aspectes que distingeixen els ciberdelictes de qualsevol altra mena d’activitat delictiva. Així doncs, d’una banda, els entorns digitals dificulten el rastreig de les identitats dels ciberdelinqüents. D’altra banda, internet permet que els delictes es puguin cometre des de qualsevol lloc. Com a conseqüència, acostuma a ser difícil localitzar i identificar l’origen del delicte, així com els seus perpetradors, de manera que la persecució penal i els processos d’enjudiciament són més complicats.
• Un altre tret típic dels ciberdelictes és que, sovint, passen desapercebuts. Així doncs, les víctimes no s’adonen que han estat atacades fins que ja és massa tard. Aquest fet dificulta una resposta reactiva ràpida i eficaç. Per aquest motiu, en matèria de ciberseguretat, les estratègies proactives entorn de la investigació i la prevenció són tan importants o més que l’eficiència de les respostes d’incidents. 

Motivacions dels ciberdelinqüents

Una manera de classificar els tipus de ciberdelinqüència és fer-ho segons l’objectiu que persegueix un atac determinat. A grans trets, un ciberdelicte es pot dur a terme amb finalitats lucratives, personals o polítiques. 

• Finalitats lucratives: Tal com passa fora del món virtual, un ciberdelinqüent pot cometre les seves estafes amb la finalitat de robar diners a individus, empreses o altres organitzacions. De fet, segons l’informe d’ACCIÓ i l’Agència de Ciberseguretat de Catalunya, el 71 % dels ciberatacs tenen una motivació econòmica.
• Finalitats personals: Els ciberdelictes poden estar enfocats a satisfer els objectius personals del ciberdelinqüent. Per exemple, en el ciberassetjament, que consisteix en la intimidació que s’exerceix mitjançant les xarxes socials, les plataformes de missatgeria o de jocs i els telèfons mòbils.
• Finalitats polítiques: La ciberdelinqüència també pot tenir l’objectiu de perjudicar les institucions governamentals. Aquest és el cas del ciberespionatge, el ciberterrorisme i la ciberguerra. En aquests casos, les motivacions són de caràcter ideològic, o bé estan relacionades amb conflictes geopolítics. Normalment, el delicte consisteix a traspassar les barreres de seguretat per aconseguir un avantatge competitiu o protegir la seguretat nacional. El conflicte entre Rússia i Ucraïna, per exemple, s’ha traslladat al ciberespai en forma de múltiples ciberatacs que no han desestabilitzat solament els dos països implicats. 

Vectors d’amenaça

En el marc de la ciberdelinqüència, també podem distingir entre els tipus d’estratègies que es duen a terme per fer un ciberatac. De fet, sovint, els ciberdelinqüents combinen pràctiques diferents per aconseguir un mateix propòsit. 

En tot cas, la infecció mitjançant malware o programes maliciosos és un element central en la majoria dels ciberdelictes. El malware és un programa informàtic que s’executa sense l’autorització del propietari o usuari de l’equip i que duu a terme funcions que són nocives per a la víctima. Hi ha diferents tipus de programes maliciosos, com ara virus, cucs, troians i programes espia, entre altres. Segons l’informe d’ACCIÓ i l’Agència de Ciberseguretat de Catalunya, el correu electrònic es consolida com el principal canal de distribució de malware, ja que s’utilitza en l’inici del 84 % dels ciberatacs. 

Les funcions de cada tipus de malware són diferents segons la seva finalitat. Per exemple, recollir o esborrar informació sobre les víctimes, o bé inhabilitar per complet un sistema. El robatori de credencials és una de les activitats més comunes. Sovint, aquest tipus d’estratègia suposa un pas previ per desenvolupar un altre tipus de ciberdelictes. De fet, segons el mateix informe, per la dark web circulen 24.600 milions de credencials completes.

Com veurem, la distribució i la infecció per malware es poden dur a terme de diferents maneres. Així doncs, a continuació, enumerem algunes de les principals estratègies que utilitzen els ciberdelinqüents per preparar i executar els seus atacs. 

Enginyeria social

L’enginyeria social és una tècnica que empren els ciberdelinqüents per obtenir la confiança de l’usuari i enganyar-lo perquè dugui a terme una acció perjudicial per a si mateix. Per exemple, executar un programa maliciós, facilitar les claus privades o comprar en llocs web fraudulents. 

Per enganyar la víctima, el ciberdelinqüent utilitza tècniques que li permeten suplantar la identitat d’empreses o institucions de confiança. Així doncs, utilitza mètodes com el phishing, l’smishing, l’spoofing i el BEC per elaborar comunicacions que semblin oficials. D’aquesta manera, les víctimes abaixen la guàrdia i són fàcilment manipulables.

Explotació de vulnerabilitats

Les vulnerabilitats informàtiques són fallades que posen en risc la seguretat del sistema. Aquestes fallades les poden utilitzar els ciberdelinqüents per infiltrar-se en qualsevol sistema informàtic. En aquest sentit, un exploit és un fragment de programari que s’utilitza amb la finalitat de beneficiar-se d’una vulnerabilitat. L’objectiu és valer-se de la bretxa per infectar els sistemes amb malware. Concretament, les explotacions de vulnerabilitats zero-day consisteixen en atacs que usen vulnerabilitats que encara són completament desconegudes per als usuaris i els fabricants. 

Els últims anys, aquest tipus d’atac ha augmentat exponencialment. Per exemple, segons l’informe d’ACCIÓ i l’Agència de Ciberseguretat de Catalunya, s’han superat els 3.000 milions d’euros mitjançant l’explotació de vulnerabilitats de plataformes de criptomonedes. Una xifra que representa un nou rècord històric. 

Ransomware 

El ransomware és una forma de ciberextorsió. En aquests casos, el ciberdelinqüent fa ús d’estratègies d’enginyeria social per entrar en el sistema d’una determinada companyia. Una vegada dins, el ciberdelinqüent utilitza malware per accedir i xifrar una gran quantitat de fitxers i carpetes. Com a conseqüència, l’empresa deixa de tenir accés a la seva pròpia informació. En aquest punt, els autors del ciberatac contacten amb l’empresa per exposar les condicions del rescat.

El ransomware és un dels tipus d’incident més estesos en matèria de ciberseguretat empresarial —de fet, és el mètode emprat al ciberatac de l’Hospital Clínic de Barcelona el passat 5 de març—. Les mesures de seguretat i l’aparició constant de nous operadors de ransomware han fet augmentar la competència. Com a conseqüència, és un tipus d’atac que evoluciona constantment. 

DDoS

Un atac DDoS té l’objectiu d’inhabilitar un lloc web o qualsevol altre recurs en xarxa, com ara operadors de telecomunicacions. Principalment, consisteix en una sobrecàrrega mitjançant tràfic malintencionat que col·lapsa el funcionament normal dels llocs online. Per fer-ho, els atacants han d’infectar primer els sistemes amb malware, sigui mitjançant tècniques d’enginyeria social o tècniques d’explotació de vulnerabilitats. Els atacs DDoS són cada vegada més complexos, per la qual cosa és molt difícil destruir-los i bloquejar-los.

La ciberseguretat és la clau

La ciberseguretat és el conjunt de mesures físiques, lògiques i de governança que protegeixen la propietat de dades i els sistemes d’informació. Així doncs, engloba la gestió integral de les amenaces digitals, des de la investigació fins a la detecció, la protecció i prevenció, la resposta d’incidents i la recuperació dels sistemes.

El desenvolupament i creixement de la ciberseguretat és clau per fer front a la ciberdelinqüència. De fet, tal com assenyala el Dr. Steven Kemp, tant l’augment de grups organitzats que fan atacs en el ciberespai com l’ecosistema creixent del crime as a service impliquen que l’existència de professionals especialitzats en ciberseguretat sigui una qüestió necessària per combatre el problema. De fet, l’increment de la demanda d’aquest perfil professional és una realitat. En l’informe d’ACCIÓ i l’Agència de Ciberseguretat de Catalunya s’apunta que, entre el 2021 i el 2022, el nombre de llocs de treball en el sector de la ciberseguretat a Catalunya va augmentar d’un 15 %. És rellevant destacar que no sols es necessiten perfils tècnics, sinó també professionals amb formació en les ciències socials i jurídiques. En moltes ocasions, el factor humà és important en la comissió dels ciberdelictes i, per tant, també ho és per a la prevenció. Així mateix, molts actes generen una resposta jurídica.

Per aquesta raó, és imprescindible una oferta educativa que prepari els futurs professionals de l’àmbit de la ciberseguretat. En aquest sentit, la proposta formativa del màster universitari de Ciberdelinqüència de la UOC ofereix eines metodològiques i pràctiques per al desenvolupament professional en els diferents camps i àrees relacionats amb la ciberseguretat. La perspectiva de la formació se centra, concretament, en tres eixos: el jurídic, el criminològic i el processal. D’aquesta manera, els estudiants poden adquirir tots els recursos necessaris per combatre la ciberdelinqüència en el món laboral.