Su prevención depende de la capacitación que realizan las organizaciones para los usuarios y las reglas de filtrado del correo electrónico. Sin embargo, los cibercriminales encuentran nuevas maneras de eludirlas. Por ello, utilizar modelos de predicción se vuelve clave, para evitar la ocurrencia de este tipo de situaciones.
Las estadísticas de la ocurrencia de incidentes de ciberseguridad revelan que un 90% se orientan al error no intencional por parte de los seres humanos, afectando no solo a las personas que son víctimas de phishing, sino que a las empresas donde trabajan.
Un estudio del año 2023 de la Universidad de Duke, da cuenta que la amenaza que lidera en Latinoamérica es el phishing. Con el fin de gestionar el riesgo de robo de datos, de índole personal o financiero, muchas organizaciones realizan ejercicios de simulación o ethical phishing. Esto permite evaluar el comportamiento de los usuarios en la detección y generar las capacidades necesarias en los colaboradores, para prevenir los incidentes de ciberseguridad por medio de phishing.
José Lagos, director académico del diplomado en Ciberseguridad de la unidad de Educación Ejecutiva (UEjecutivos) de la FEN U. de Chile, señala que “el problema es que a pesar de los numerosos ejercicios de simulación de phishing, programas de entrenamiento, awarness y transformación cultural en ciberseguridad, las organizaciones siguen teniendo un porcentaje de víctimas no adecuado. Incluso muchas veces las víctimas se repiten y los porcentajes vuelven a ser iguales a las primeras campañas, sin entender los motivos del porqué se origina este retroceso”.
En la actualidad, la prevención del phishing depende, en gran medida, de la capacitación que realizan las organizaciones para los usuarios y las reglas de filtrado del correo electrónico. Sin embargo, se debe considerar que los cibercriminales encuentran nuevas maneras de eludirlas. Por ello, utilizar modelos de predicción se vuelve clave, para poder anticipar y evitar la ocurrencia de este tipo de situaciones.
“La mente humana es engañada por medio de principios sicológicos y características individuales de los trabajadores. El objetivo de aplicar estos modelos es entender las características personales de los trabajadores víctimas de phishing y aquellos que no, como el tipo de personalidad, la capacidad de detección, el nivel de awarness, la motivación, el nivel de fatiga en ciberseguridad, entre otros”, asegura Lagos.
Un aspecto crítico para generar los modelos con algoritmos de machine learning es la obtención de los datos. El diseño de un instrumento adecuado y la validación de la información, permite entender los motivos o variables de por qué las personas son víctimas de phishing y poder clasificarlos, para predecir la probabilidad y nivel de riesgo que tienen los colaboradores de una compañía de ser víctimas de phishing.
El aporte de este tipo de modelos
Uno de los principales beneficios se asocia con que las empresas pueden conocer los motivos reales de por qué las personas son víctimas de phishing, los cuales se pueden vincular con el tipo de personalidad, el nivel de fatiga y de susceptibilidad, que puedan tener. Los datos de las empresas finalmente dan cuenta si estas variables aplican o son otras, explica Lagos.
Tener claridad de los motivos permite generar un plan de acción focalizado, para gestionar mejor el riesgo, que, al mismo tiempo, pueda mitigar de manera complementaria el riesgo de que las personas sufran este tipo de delitos.
De igual manera, la implementación de un modelo de este tipo responde al dinamismo a la organización, permite evaluar los comportamientos que tiene una persona en un determinado periodo de tiempo. Esto ayuda a conocer el nivel de riesgo del trabajador de ser víctima de phishing, ya que en él también influyen elementos que son cambiantes, como la motivación y el clima laboral.
“Avanzar desde una ciberseguridad detectiva y preventiva hacia una predictiva, permitirá mejorar la postura de ciberseguridad de las organizaciones”, puntualiza Lagos.
Equipo Prensa
Portal Innova
