Por qué la debida diligencia cibernética es esencial para el proceso de fusiones y adquisiciones

Durante el año pasado, hemos visto que los ataques de ransomware aumentaron en un 437%, y muchas de estas infracciones siguieron al anuncio de una fusión o adquisición. Los ataques típicos de ransomware pueden costarle a una empresa más grande decenas de millones de dólares debido a demandas de rescate, pérdida de ingresos, honorarios legales, costos de respuesta a incidentes, reemplazo de hardware / software y mayores primas de seguros cibernéticos. Los propietarios de empresas, directores ejecutivos y miembros de la junta ahora son personalmente responsables de la falta de supervisión de la seguridad después de una infracción.

¿Por qué las fusiones y adquisiciones ponen en peligro a las empresas?
Los delincuentes atacan a estas empresas por la misma razón que la gente solía robar bancos: ahí es donde está el dinero. Si vendió un negocio a una gran corporación o firma de capital privado, tendrán que pagar muchos más fondos que si fuera una organización independiente más pequeña sin un balance sólido. Las fusiones y adquisiciones también crean una fase de transición en la que nuevos propietarios y equipos de gestión entran o salen de sus funciones. Esta fase de transición ofrece a los ciberdelincuentes una oportunidad perfecta para atacar.

¿Cómo funcionan los atacantes de ransomware?
El ciberdelincuente puede utilizar varios métodos para ingresar a la red. Un ataque de phishing por correo electrónico es un enfoque común y eficaz. Una vez que tienen las credenciales para acceder a los sistemas, pueden moverse por las redes y aplicaciones para ver dónde están los datos más confidenciales. Los objetivos de un atacante podrían incluir el robo de propiedad intelectual, demandas de rescate o la destrucción física de la propiedad si un ataque tiene como objetivo sistemas de tecnología operativa (OT).

Si se trata de un ataque a la propiedad intelectual, pueden robar diseños de productos, información de precios u otra información comercial confidencial y marcharse sin que nadie sepa que ha habido una infracción. En el caso del ransomware, obtienen acceso a archivos confidenciales, los cifran, para que las aplicaciones y los procesos comerciales ya no funcionen, y exigen un pago de rescate a la empresa para recuperar el acceso a los archivos. En un ataque a un sistema OT, podrían alterar un proceso físico, como vimos en el ataque a la instalación de agua de Florida, o deshabilitar los sistemas de seguridad, como vimos en el ataque TRITON / TRISIS.

¿Qué pueden hacer las empresas para evitar un ciberataque durante la actividad de fusiones y adquisiciones?

1. Evalúe los riesgos cibernéticos como parte de su proceso de diligencia debida.
Esto debería ser un requisito para cualquier empresa que busque una adquisición de objetivos: garantizar que las personas, los procesos y la tecnología de ciberseguridad existentes estén en funcionamiento antes de que se finalice y se anuncie la fusión. Los compradores deben hacerse las siguientes preguntas:

• ¿Qué controles de ciberseguridad existen en este momento?
• ¿Tiene un CISO o un CISO-as-a-Service equivalente?
• ¿Su equipo de seguridad está muy familiarizado con la detección y reparación de ciberataques?
• ¿Existen procesos para informar a todos los empleados que los ciberdelincuentes pueden estar apuntando a los activos digitales de la empresa?

Un proceso de debida diligencia cibernética ayudará a determinar si es necesario abordar alguna brecha material antes de continuar. Los responsables deben preguntar si existe un programa de ciberseguridad y cómo se comporta el programa frente a un estándar adecuado. Un buen punto de referencia sería el NIST Cybersecurity Framework o el Center for Internet Security (CIS) Controles.

2. Cree un plan de respuesta a incidentes.
Si está comprometido, conocer las prioridades de antemano permitirá a los socorristas pasar por el proceso de recuperación más rápido y con menos impacto que si tuvieran que pasar las primeras 24-72 horas pensando qué hacer. Cree una lista de verificación de quién es responsable de qué funciones. A menudo, cuando ocurre un incidente, se pasa por alto el simple hecho de comunicarse, lo que puede provocar la propagación de malware adicional.

La disponibilidad de los detalles de la red y los activos para los sistemas críticos es otra parte importante del plan de respuesta. En una crisis, si pierde sus datos en tiempo real, no tiene tiempo para ver si puede hacer una facturación estimada. En medio de una emergencia no es el momento ideal para decidir si se puede seguir trabajando con tal o cual sistema.

3. No presente la adquisición como un objetivo fácil.
Tenga en cuenta que los atacantes cibernéticos pueden rastrear la actividad de fusiones y adquisiciones a través de información disponible públicamente y luego investigar qué nivel de defensa tiene la adquisición de un objetivo. A través de Internet, es muy fácil crear un perfil de cuántas personas están empleadas en el área de seguridad de la información o qué herramientas tiene la empresa a su disposición.

Si parece que no hay una función de Infosec y una inversión limitada en ciberseguridad, la empresa puede ser el objetivo flexible que buscan los ciberdelincuentes. Siempre que sea posible, debe tomar todas las medidas de defensa cibernética antes de hacer pública la fusión. Este comunicado de prensa puede resultar agradable, pero si el nivel de ciberseguridad es inferior, lo mejor sería esperar a la posible adquisición para fortalecer sus defensas.

Aquí está la conclusión. Si, durante su proceso de debida diligencia, descubre que una adopción de destino no ha invertido adecuadamente en ciberseguridad o no tiene un plan de respuesta a incidentes documentado, es posible que desee posponer el cierre del trato hasta que pueda determinar qué recursos se necesitan para contrarrestar los ciberataques. Riesgo dentro de la empresa, e incorpórelo a sus negociaciones.