Una nueva operación de ransomware está lanzando una oferta agresiva a posibles delincuentes. Según la información de eSecurity Planet, Dark Project ofrece a sus afiliados el 80% de los pagos por extorsión y afirma tener 38 víctimas hasta ahora. El modelo de afiliados del ransomware Dark Project es un recordatorio de que la economía de la extorsión sigue desplazándose a favor de los atacantes, y de que las personas comunes suelen sufrir las consecuencias cuando se ataca a una organización que custodia sus datos.

Esta entrada cubre lo que se sabe a partir de la información publicada, por qué importa la estructura de pagos y qué pueden hacer tanto las organizaciones como las personas. El material de origen es breve, así que nos ceñimos a lo que confirma: la cuota del 80% para los afiliados y la afirmación de 38 víctimas.

Cómo funciona el pago del 80% a los afiliados de Dark Project

Dark Project sigue el modelo de ransomware como servicio (RaaS). En un arreglo de RaaS, un grupo central construye y mantiene el malware y la infraestructura que lo rodea. Los afiliados, que son operadores independientes, llevan a cabo las intrusiones y los intentos de extorsión reales. Cuando una víctima paga, el dinero se reparte entre ambas partes.

En este caso, el reparto reportado otorga a los afiliados el 80% de cada pago por extorsión. Los operadores se quedan con el resto. La cifra de 38 víctimas es una afirmación hecha por el grupo, lo que significa que debe tratarse como no verificada hasta que la confirmen las organizaciones implicadas o investigadores independientes.

La división del trabajo es la esencia del modelo. Los desarrolladores se centran en las herramientas, los sitios de filtración y la infraestructura de negociación. Los afiliados se centran en conseguir entrar. Cada parte hace menos trabajo del que haría un equipo totalmente independiente, y por eso el modelo se ha extendido tanto. Para un análisis más profundo de cómo ha operado un grupo consolidado bajo este enfoque, consulte nuestro perfil del ransomware BlackCat/ALPHV.

Por qué los generosos repartos de RaaS reducen la barrera para la extorsión

Un alto porcentaje para los afiliados es una herramienta de reclutamiento. Los grupos más nuevos tienen que competir por intrusos cualificados frente a marcas consolidadas, y una porción mayor es una forma de atraerlos. Una cuota del 80% hace que la oferta sea financieramente atractiva para cualquiera que pueda obtener acceso a una red.

También hay un efecto de habilidades. Como la plataforma proporciona las herramientas de cifrado y la infraestructura de filtración, un afiliado no necesita escribir malware ni dirigir una operación de negociación. Eso rebaja el listón técnico y amplía el grupo de personas que pueden intentar un ataque.

El resultado son más intentos, repartidos entre más objetivos, incluidas organizaciones que custodian registros sensibles sobre personas pero tienen presupuestos de seguridad limitados. El patrón es visible en incidentes como el ataque de ransomware contra una organización sin ánimo de lucro que atiende a supervivientes de trata, donde la relevancia vino menos de la sofisticación técnica que de quién se vio afectado.

Qué deben monitorear y reforzar las organizaciones

Dado que son los afiliados quienes irrumpen, los defensores deben centrarse en las rutas habituales de entrada a una red en lugar de en la marca de un grupo concreto. Las prioridades prácticas incluyen:

  • Acceso remoto: Revise las VPN, el escritorio remoto y otros servicios expuestos externamente. Aplique la autenticación multifactor y parchee con prontitud.
  • Credenciales: Esté atento a inicios de sesión inusuales, contraseñas reutilizadas y cuentas con privilegios excesivos.
  • Movimiento de datos: Vigile las transferencias salientes grandes o inesperadas, ya que los ataques modernos suelen implicar el robo de datos antes de cifrar nada.
  • Copias de seguridad: Mantenga copias sin conexión o inmutables y pruebe la restauración con regularidad. Las copias de seguridad ayudan a la recuperación, pero no deshacen el robo de datos. Nuestra explicación sobre la doble extorsión explica por qué.
  • Monitoreo de sitios de filtración: Siga si su organización o sus proveedores aparecen en sitios de extorsión, para poder actuar a tiempo.

Qué significa esto para usted

La mayoría de las personas nunca serán el objetivo directo de un afiliado de RaaS. La exposición llega de forma indirecta: un empleador, una aseguradora, un proveedor de atención médica o una aerolínea custodia sus datos, y esa organización es atacada. Cuando los grupos de extorsión publican archivos robados, la información puede circular ampliamente, como en la filtración de 8,7 millones de registros de viajeros de aeropuertos del Reino Unido.

Si un servicio que utiliza se ve afectado, considere estos pasos:

  1. Lea atentamente el aviso oficial. Anote qué categorías de datos se vieron implicadas y cualquier protección ofrecida, como la monitorización de crédito.
  2. Cambie su contraseña para ese servicio y para cualquier otra cuenta en la que la haya reutilizado. Utilice un gestor de contraseñas para crear contraseñas únicas.
  3. Active la autenticación multifactor siempre que esté disponible.
  4. Esté atento al phishing. Los datos de contacto robados se usan a menudo para estafas de seguimiento convincentes que hacen referencia a la brecha. No haga clic en enlaces de mensajes inesperados; vaya directamente al sitio de la organización.
  5. Supervise las cuentas financieras y considere un bloqueo de crédito si se expusieron identificadores como números de la seguridad social.
  6. Guarde registros de los avisos y de cualquier actividad sospechosa.

La conclusión

El modelo de afiliados del ransomware Dark Project ilustra una tendencia duradera: cuando el reparto de ingresos favorece a la persona que realiza la intrusión, más gente está dispuesta a intentarlo. Las 38 víctimas reclamadas hasta ahora no están confirmadas, pero la estructura que hay detrás es lo que importa. Las organizaciones deben reforzar los puntos de acceso y vigilar el robo de datos, y las personas deben estar preparadas para actuar con rapidez cuando una empresa en la que confían revele una brecha.

Para entender por qué restaurar desde copias de seguridad no detiene la extorsión moderna, lea nuestra explicación sobre la doble extorsión. Para ver qué pueden significar los datos robados para personas reales, lea nuestra cobertura de la brecha de ransomware de Beacon Mutual.