Lo que sucedió: el negociador que trabajaba para ambos bandos

Cuando una empresa es víctima de un ataque de ransomware, una de las primeras llamadas que realiza es a un negociador: un especialista de confianza que se sitúa entre una víctima aterrorizada y una banda criminal, trabajando para reducir la exigencia de rescate o ganar tiempo para la recuperación. Esa relación se basa por completo en la confianza. Según la información de Malwarebytes, uno de esos negociadores rompió esa confianza de la manera más perjudicial posible. En lugar de ayudar a las víctimas a hacer frente a la banda de ransomware BlackCat, alimentó en secreto a los delincuentes con información interna de las negociaciones que supuestamente él mismo dirigía en nombre de las víctimas.

El resultado fue un escenario de amenaza interna protagonizado por un negociador de ransomware que costó millones a las víctimas. En vez de actuar como un cortafuegos entre la empresa y su atacante, el negociador se convirtió de hecho en un segundo atacante, con acceso privilegiado a los límites financieros, la estrategia legal y la disposición a pagar de la víctima. Esto es uno de los peores fallos posibles en una respuesta a incidentes, porque convierte en un peligro precisamente la protección por la que pagan las organizaciones.

Cómo las bandas de ransomware como servicio reclutan intermediarios de confianza

BlackCat, también conocido como ALPHV, opera como un grupo de ransomware como servicio (RaaS), lo que significa que licencia su malware e infraestructura a afiliados que llevan a cabo los ataques y se reparten los beneficios. Este modelo de negocio siempre se ha basado en tejer redes de personas dispuestas a colaborar a cambio de una parte de las ganancias, desde los intermediarios de acceso inicial que venden credenciales robadas hasta los afiliados que despliegan la carga de cifrado. Un negociador comprometido o cómplice no es más que la siguiente extensión lógica de esa red: alguien integrado en el ecosistema legítimo de respuesta a incidentes que puede compartir información que la banda jamás podría obtener por sí misma.

Precisamente por eso este caso es relevante más allá del propio BlackCat. Las bandas de ransomware entienden cada vez mejor que el eslabón más débil en la respuesta a una brecha no siempre es un cortafuegos o un servidor sin parches. Puede ser una persona, y más concretamente una persona en quien la víctima ha decidido confiar durante el momento de mayor tensión de un incidente de seguridad. El mismo principio de explotar la confianza y el acceso aparece en todo el panorama del ransomware y la extorsión de datos, como en incidentes como la violación de ShinyHunters a los sistemas de recursos humanos del Consejo de Europa, donde los atacantes volvieron a demostrar con qué eficacia los grupos criminales pueden aprovechar el acceso interno una vez que logran colarse.

Por qué esto amplía la superficie de ataque para las víctimas de una brecha

La mayoría de las organizaciones piensan en el riesgo del ransomware en función de su propia red: dispositivos finales, servidores, copias de seguridad, formación de los empleados. Muchas menos piensan en el riesgo que introducen los proveedores y consultores a los que recurren una vez que el ataque ya ha comenzado. Sin embargo, un negociador, al igual que un investigador forense o un asesor de brechas, suele tener acceso a la información más delicada que posee una empresa durante una crisis: la cantidad del rescate que la víctima está dispuesta a pagar, qué datos se robaron realmente y cuán desesperada está la organización por evitar una divulgación pública.

Cuando ese acceso se utiliza de forma indebida, el daño se multiplica. Las víctimas no solo pierden dinero por el rescate en sí, sino que pierden cualquier capacidad de negociación que tuvieran, porque la banda ya conoce su límite antes incluso de que empiecen las conversaciones. Este caso nos recuerda que la cadena de suministro de la respuesta a incidentes merece el mismo escrutinio que cualquier otra relación con proveedores, y que la confianza en una crisis nunca debe darse por sentada solo porque alguien tenga el cargo adecuado.

Cómo evaluar a los equipos de respuesta y negociadores antes de que estalle una crisis

El mejor momento para evaluar a un negociador de ransomware o a una empresa de respuesta a incidentes es antes de que se produzca un ataque, no durante el mismo, cuando la presión del tiempo hace casi imposible una diligencia debida cuidadosa. Las organizaciones pueden tomar varias medidas concretas:

  • Verificar la trayectoria de la empresa y solicitar referencias de clientes anteriores que hayan vivido incidentes similares.
  • Preguntar cómo evalúa la empresa a su propio personal, incluyendo verificaciones de antecedentes y controles internos sobre quién puede acceder a los detalles de la negociación.
  • Exigir registros de comunicación documentados y auditables durante cualquier negociación, en lugar de depender exclusivamente de una única persona de contacto.
  • Implicar a un asesor jurídico externo o a un segundo asesor de seguridad para verificar de forma independiente decisiones importantes, como el importe del rescate o el momento del pago.
  • Establecer estas relaciones con proveedores y los contratos correspondientes con antelación, como parte de un acuerdo de retención de respuesta a incidentes, en lugar de tener que buscar ayuda a toda prisa en plena brecha.

Lo que esto significa para usted

Si su organización dispone de un plan de respuesta ante ransomware, este caso es un buen motivo para revisar quién forma parte realmente de ese plan y cuánto los conoce. Una amenaza interna protagonizada por un negociador de ransomware es poco frecuente, pero las consecuencias son tan graves que un esfuerzo modesto de verificación previa vale la pena. La misma lógica se aplica a cualquier tercero con acceso privilegiado durante una brecha: investigadores forenses, asesores legales y agencias de relaciones públicas merecen el mismo escrutinio que se aplicaría a un nuevo proveedor de software.

Puntos clave

  • Evalúe a las empresas de respuesta a incidentes y negociación antes de una crisis, incluyendo verificaciones de antecedentes y referencias del personal.
  • Exija registros documentados y auditables de todas las negociaciones de rescate, en lugar de confiar en una única persona de confianza.
  • Considere a los terceros que participan en la respuesta como parte de su superficie de ataque, no solo de su defensa.
  • Manténgase informado sobre cómo los grupos de ransomware y extorsión explotan la confianza en cada etapa de una brecha, desde el acceso inicial hasta la negociación final.