Los ataques de ransomware ya no son un problema reservado para las grandes corporaciones con profundos bolsillos y equipos de seguridad dedicados. Según Michael Sjøberg y Peter Skovbo de Delta Crisis, las empresas medianas, la columna vertebral de muchas economías nacionales, se encuentran cada vez más paralizadas por atacantes que cifran sistemas críticos y exigen un pago para restaurar el acceso. Su orientación, publicada a través de Handelsblatt, ofrece una rara mirada interna a cómo las empresas negocian realmente con los ciberextorsionadores, y qué pasos pueden reducir el daño antes incluso de que ocurra un ataque.
Por qué las empresas medianas son el nuevo objetivo
Durante años, los titulares sobre ransomware se centraron en hospitales, agencias gubernamentales y corporaciones multinacionales. Esa imagen está cambiando. Los atacantes se han dado cuenta de que las empresas más pequeñas y medianas a menudo carecen de las defensas en capas de las grandes empresas, pero aún así poseen datos valiosos y no pueden permitirse tiempos de inactividad prolongados. Este cambio refleja una tendencia más amplia documentada en otras partes del ecosistema del ransomware, donde algunos grupos han avanzado hacia lo que los investigadores llaman supresión de área de redes de pymes, atacando grupos enteros de organizaciones más pequeñas en lugar de seleccionar minuciosamente a una única víctima de alto valor. La lógica es simple: el volumen reemplaza a la precisión, e incluso los pagos de rescate modestos se acumulan cuando se multiplican entre docenas de víctimas.
La experiencia de Delta Crisis sugiere que una vez que ocurre un ataque, la diferencia entre una empresa que se recupera con daños limitados y una que sufre daños duraderos a menudo se reduce a la preparación y a cómo se maneja la negociación en las primeras horas y días.
Dentro de una negociación de ransomware
Según Sjøberg y Skovbo, negociar con ciberdelincuentes no consiste simplemente en decidir si pagar. Requiere comprender el modelo de negocio del atacante, verificar qué datos se han robado o cifrado realmente, y gestionar la comunicación de manera que ni provoque que el grupo destruya los datos ni señale desesperación que pueda aumentar la demanda. Este es un trabajo delicado, y cada vez se parece más a una industria de servicios profesionales en ambos lados de la mesa. Esa profesionalización es visible en todo el panorama del ransomware de manera más amplia. Los grupos han adoptado modelos estructurados de ransomware como servicio, un patrón también observado en las advertencias sobre la expansión del ransomware Gunra como operación RaaS, donde los afiliados ejecutan ataques utilizando herramientas creadas por un grupo central a cambio de una parte de las ganancias. El resultado es un proceso de extorsión más escalable y repetible, que es exactamente por lo que la estrategia de negociación importa tanto para la víctima.
El punto de entrada de muchos de estos ataques también merece atención. Los atacantes frecuentemente obtienen acceso inicial mediante ingeniería social en lugar de explotar fallos técnicos oscuros. Las campañas que abusan de herramientas como Microsoft Teams para hacerse pasar por personal falso de soporte de TI muestran cómo una sola llamada telefónica o mensaje de chat convincente puede abrir la puerta a un compromiso total de la red, mucho antes de que aparezca cualquier nota de rescate.
Las apuestas de privacidad y exposición de datos
La negociación de ransomware no se trata solo de restaurar el acceso a archivos cifrados. Los grupos modernos de ransomware típicamente roban datos antes de cifrarlos, y luego amenazan con publicar o vender esa información si no se realiza el pago. Este modelo de doble extorsión aumenta considerablemente las apuestas para la privacidad. Los registros de clientes, los datos de empleados y la información comercial confidencial pueden terminar expuestos independientemente de si una empresa paga. Los atacantes también se han vuelto más sofisticados para evadir la detección durante la fase de intrusión, incluyendo técnicas que desactivan directamente las herramientas de seguridad, como se observa en los informes sobre el ransomware GodDamn que abusa de un controlador firmado para desactivar el software antivirus. Ese tipo de sigilo significa que una brecha puede pasar desapercibida durante mucho más tiempo, dando a los atacantes más tiempo para exfiltrar datos sensibles antes de que alguien se dé cuenta de que algo está mal.
Lo que esto significa para ti
Si diriges o trabajas en una empresa mediana, el mensaje de Delta Crisis es claro: la preparación contra el ransomware ya no es opcional, y comienza mucho antes de que ocurra un ataque. La higiene básica, las copias de seguridad fuera de línea, los planes de respuesta a incidentes probados y la formación del personal contra la ingeniería social siguen siendo la defensa más sólida. Si ocurre un ataque, la decisión de si negociar y cómo hacerlo nunca debe tomarse de forma aislada o bajo pánico. Los negociadores experimentados entienden la psicología del atacante, verifican las afirmaciones antes de confiar en ellas, y saben cómo ganar tiempo sin escalar las amenazas contra los datos robados.
Para las personas cuyos datos pueden estar dentro de los sistemas de una empresa, esto también subraya por qué las organizaciones deben transparencia a los clientes cuando ocurre una brecha, ya que las negociaciones de ransomware afectan directamente si la información personal permanece privada o termina filtrada.
Conclusiones clave
Las empresas de todos los tamaños deben tratar el ransomware como un escenario de "cuándo", no de "si". Construye un plan de respuesta a incidentes antes de un ataque, mantén copias de seguridad fuera de línea probadas, e identifica de antemano quién manejará la comunicación si los extorsionadores hacen contacto. Forma al personal para reconocer los intentos de ingeniería social, particularmente la suplantación de identidad a través de herramientas de colaboración cotidianas. Si la negociación se vuelve necesaria, involucra a profesionales experimentados en lugar de improvisar, ya que la forma en que una empresa responde en las primeras horas puede moldear tanto el resultado financiero como la cantidad de datos personales o corporativos que finalmente se exponen.
