Como director ejecutivo de Kaseya, tengo una experiencia de primera mano, íntima y detallada, de lo que supone hacer frente a un ciberataque. En julio de 2021, nuestra empresa sufrió un ataque. Tuvimos el «honor» de aparecer en todos los principales medios de comunicación del mundo para hablar del incidente. Durante unos días, los medios de comunicación estuvieron en un frenesí constante, las 24 horas del día, los 7 días de la semana, hasta que se revelaron los hechos y se comprobó que el impacto del ataque había sido mínimo. Sin embargo, cuando ocurre un ataque como ese, independientemente de la preparación y de los ejercicios de planificación para «escenarios catastróficos» que forman parte de los manuales de la mayoría de las empresas, resulta MUY aterrador y MUY real. Durante los más de ocho meses transcurridos desde el incidente, muchas personas del gobierno, del sector privado e incluso del ámbito académico me han preguntado por la experiencia vivida y qué consejos puedo dar a quienes se enfrentan a ciberataques.
Aunque cada empresa es diferente y las particularidades de cada negocio exigen distintos niveles de preparación y respuesta, lo único que repito a TODOS sin excepción es que la PRIMERA llamada debe ser al FBI para que ellos y todos sus recursos se pongan a trabajar de inmediato. Esa llamada debe hacerse antes de llamar al consejo de administración, a los abogados o a cualquier otra persona. Llama al FBI y ponlos al corriente de inmediato.
A menudo, esto sorprende a la gente; se quedan atónitos. Muchas personas me han contado que sus compañeros de trabajo, o incluso sus asesores jurídicos, les aconsejaron que NO recurrieran al FBI. A menudo, esto se debe al temor de que el FBI intervenga y abra una investigación sobre todos y cada uno de los aspectos de la empresa, buscando irregularidades en cualquier área del negocio. También he oído a gente decir que les preocupa que el FBI pueda descubrir niveles de inversión insuficientes o medidas de prevención cibernética deficientes, y que puedan ser «castigados» por el FBI. El FBI no hizo nada de eso. Su objetivo era ayudarnos, y nos aseguraron que no harían nada que pusiera en peligro nuestra misión de restablecer las operaciones, y cumplieron su palabra.
A menudo, cuando una organización sufre un ataque, todo el mundo en la empresa está en vilo, y la idea de llamar al FBI aumenta aún más el estrés y la ansiedad. Es normal. Creo que se puede decir sin miedo a equivocarse que todo el mundo se pone un poco nervioso al ver a un grupo de personas con las siglas «FBI» en la espalda de sus chaquetas. Sin embargo, es precisamente en ese momento vulnerable y crítico cuando hacer esa PRIMERA llamada al FBI es LO MÁS importante. Y la razón es sencilla. El FBI tiene más experiencia en el manejo de ciberataques que nadie en el mundo. Y punto. Son LOS expertos. Cuentan con más recursos dentro de la agencia, así como con relaciones con todas las principales organizaciones privadas y gubernamentales que pueden ayudar: relaciones muy profundas y muy reales.
Cuando se produce un ataque, un millón de preguntas pasan por la mente de los ejecutivos de esa organización.Como ya se ha dicho, independientemente de la preparación, es la PRIMERA VEZ que es real. Aparece el estrés.Surge el pánico.Con el estrés y el pánico llegan las MALAS decisiones, impulsadas por el miedo y la resiliencia a la lógica y la razón. El FBI elimina el miedo y la duda y, lo que es más importante, el pánico.
Cuando nos atacaron, nuestro manual de procedimientos establecía (por suerte) como protocolo estándar llamar al FBI en cuanto algo pareciera sospechoso. Y eso fue precisamente lo que hicimos. A día de hoy, sigue siendo la mejor decisión que tomé yo, como director general, y que tomamos como empresa. Fueron 100 % profesionales y SU ÚNICO INTERÉS ERA AYUDARNOS a resolver los problemas cibernéticos de la empresa. Además, estuvieron a la altura en todo. Tenían respuestas inmediatas. Nos pusieron al corriente de todo de inmediato, lo que nos permitió reducir al instante nuestros miedos y niveles de estrés porque contábamos con un socio en esto. Ni yo, ni nadie en mi empresa, sentimos nunca otra cosa que colaboración en nuestra relación con ellos. Incluso en asuntos que yo pensaba que no le importarían al FBI, desde cuestiones relacionadas con la reputación de nuestra empresa hasta la estrategia de comunicación con la prensa, etc., fueron increíblemente útiles, tal y como se esperaría de un verdadero socio.
Al echar la vista atrás a los últimos ocho meses, puedo afirmar que la colaboración con el FBI ha sido la alianza más importante de todo este proceso. A día de hoy, seguimos colaborando con el FBI para ayudarles en otros casos, y todos y cada uno de los recursos de Kaseya están ahora a disposición de la agencia para la próxima organización que sufra un ataque. El FBI debería ser la primera entidad a la que acuda cualquier organización, grande o pequeña, que sufra un incidente cibernético. Para Kaseya, y para mí personalmente, llamar al FBI 30 segundos después de que se produjera nuestro incidente fue la mejor decisión profesional que he tomado nunca.
Por otro lado, es posible que muchos de los que lean esto recuerden el ciberataque a Kaseya de julio de 2021. Sin embargo, apenas unos meses después, el FBI, en colaboración con socios de todo el mundo, DETUVO a las personas que llevaron a cabo el ataque contra mi empresa. ¡Eso, en sí mismo, es un auténtico guion de James Bond!
