CISA confirma un cambio importante en las tácticas de BianLian
La Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) ha confirmado que BianLian, un grupo de ransomware antes conocido por bloquear redes hospitalarias, dejó de cifrar archivos por completo a partir de enero de 2024. En lugar de codificar datos y exigir un pago a cambio de una clave de descifrado, el grupo ahora se centra exclusivamente en robar información confidencial y amenazar con filtrarla si las víctimas no pagan.
Esta confirmación es relevante porque señala un cambio más amplio en la forma en que operan los actores de ransomware. Durante años, el procedimiento habitual consistía en cifrar los archivos de la víctima, dejar una nota de rescate y obligar a las organizaciones a elegir entre pagar por una clave de descifrado o reconstruir sus sistemas desde copias de seguridad. El giro de BianLian, alejándose de ese modelo, demuestra que el simple robo de datos, sin el paso adicional del cifrado, puede ser igual de rentable y considerablemente menos complejo de ejecutar.
Del cifrado a la extorsión: por qué importa el cambio
Cifrar toda una red requiere tiempo, recursos informáticos y un nivel de acceso que aumenta las probabilidades de ser detectado antes de que el ataque finalice. Simplemente copiar archivos de una red y salir de forma discreta es más rápido, más difícil de detectar en tiempo real y sigue dando a los atacantes una poderosa herramienta de presión. Si un grupo es capaz de extraer historiales clínicos, documentos financieros o comunicaciones internas, la amenaza de publicar esos datos suele bastar para presionar a la víctima a pagar.
Este enfoque también elude algunas de las defensas que las organizaciones han construido contra los ataques basados en el cifrado. Muchas empresas han invertido fuertemente en sistemas de copias de seguridad y recuperación diseñados específicamente para mitigar el impacto del ransomware que bloquea archivos. Esas copias no sirven de nada frente a un grupo que nunca comprometió la integridad de los archivos, simplemente copió los datos y se fue. La confirmación de CISA sobre este cambio coincide con un patrón que la agencia ha seguido de cerca, incluidos los casos en que los grupos de ransomware han pasado a explotar de forma masiva vulnerabilidades de alta gravedad una vez que se hacen públicas, como se vio cuando CISA confirmó que bandas de ransomware explotaban masivamente la falla BlueHammer a gran escala, en lugar de reservarla para ataques limitados y dirigidos.
Las organizaciones sanitarias siguen en el punto de mira
Vale la pena prestar atención al historial de BianLian atacando redes hospitalarias, incluso con el cambio de táctica. Las organizaciones sanitarias poseen algunos de los datos personales más sensibles que existen: historiales médicos, datos de seguros y registros de tratamientos. Esa sensibilidad explica precisamente por qué la extorsión mediante robo de datos funciona tan bien contra este sector. Un hospital que se enfrenta a la posibilidad de que los registros de sus pacientes se publiquen o se vendan tiene fuertes incentivos para pagar rápidamente, sin importar si sus sistemas fueron cifrados alguna vez.
Conseguir el acceso inicial a estas redes sigue dependiendo a menudo de la explotación de vulnerabilidades conocidas, un patrón que CISA ha documentado reiteradamente en su catálogo de Vulnerabilidades Conocidas Explotadas. La reciente señalización por parte de la agencia de una falla de escalada de privilegios en Linux que ya está siendo explotada activamente ilustra cómo los atacantes siguen utilizando sistemas sin parchear como punto de entrada, independientemente de lo que hagan una vez dentro.
Qué significa esto para usted
Si su organización maneja datos sensibles —ya sea un hospital, una pequeña empresa o cualquier entidad que almacene información de clientes—, este cambio modifica el enfoque que debe tener la “protección contra ransomware”. Las estrategias de copias de seguridad siguen siendo importantes, pero ya no son suficientes por sí solas. Los ataques de robo de datos como el nuevo enfoque de BianLian exigen que las organizaciones pongan igual énfasis en prevenir accesos no autorizados y en monitorizar transferencias de datos salientes inusuales, ya que el daño se produce en el momento en que los archivos salen de la red, no cuando se cifran.
Para los individuos, la conclusión es más personal. Si una organización que posee sus registros médicos, detalles financieros o información personal es víctima de un ataque de robo de datos, es posible que nunca vea una nota de rescate ni oiga hablar de sistemas cifrados. El primer indicio del problema podría ser simplemente una carta de notificación de violación de datos o, peor aún, descubrir su información a la venta o filtrada en línea.
Medidas prácticas
Las organizaciones deben priorizar herramientas de monitorización de red capaces de detectar transferencias de datos grandes o inusuales, no solo alertas específicas de cifrado por ransomware. Aplicar parches a las vulnerabilidades conocidas con rapidez sigue siendo esencial, ya que el acceso inicial típicamente depende de explotar sistemas sin parchear. Los individuos deben permanecer atentos a las notificaciones de violación de datos por parte de proveedores de salud e instituciones financieras, y considerar servicios de monitorización de crédito o protección contra el robo de identidad si reciben una. A medida que grupos de ransomware como BianLian continúan adaptando sus métodos, mantenerse informado sobre estos cambios, en lugar de asumir que las defensas de ayer siguen cubriendo las amenazas actuales, es la mejor protección disponible.
