El ransomware solía ser un problema simple y brutal: los atacantes bloqueaban tus archivos y exigían un pago por la clave. Hoy el panorama es más complicado. Esta guía ofrece una explicación del ransomware de doble extorsión para lectores generales, basada en un reciente comentario en japonés de Masaya Kinoshita que describe cómo el daño del ransomware se ha vuelto cada vez más sofisticado y grave.

El punto central es que la táctica dominante ahora es la "doble extorsión". Los atacantes ya no solo cifran datos. También roban información y amenazan con filtrarla si no se cumplen sus exigencias. Ese cambio transforma lo que significa la defensa, tanto para las organizaciones como para las personas cuyos datos estas organizaciones poseen.

Cómo funciona la doble extorsión

En un ataque de ransomware clásico, los criminales cifran los archivos de la víctima y exigen dinero para el descifrado. La pregunta principal de la víctima es si puede restaurar sus sistemas.

La doble extorsión añade una segunda palanca. Antes o durante el cifrado, los atacantes copian información sensible fuera de la red de la víctima. Luego presentan dos amenazas a la vez:

  • Paga, o tus sistemas permanecen bloqueados.
  • Paga, o tus datos robados se publican.

El comentario describe esto como el enfoque dominante, no uno exótico. La segunda amenaza es lo que hace que la táctica sea tan efectiva. Incluso una víctima con un plan de recuperación perfecto aún enfrenta la perspectiva de que registros de clientes, datos de empleados o documentos internos aparezcan en público.

Por qué las copias de seguridad por sí solas ya no resuelven el problema

Hacer copias de seguridad de los datos sigue siendo esencial. La fuente enfatiza garantizar copias de seguridad robustas como una de las medidas específicas que las organizaciones deben adoptar, porque las buenas copias de seguridad permiten a una víctima restaurar las operaciones sin pagar por una clave de descifrado.

Pero las copias de seguridad solo responden a la amenaza del cifrado. No hacen nada respecto a las copias robadas. Restaurar tus archivos desde una copia de seguridad limpia no recupera tus datos del servidor de un atacante. Una vez que la información ha sido exfiltrada, la víctima ha perdido el control sobre quién la ve, y los criminales lo saben.

Por eso la fuente combina las copias de seguridad con otras medidas, como la autenticación multifactor. Impedir que los atacantes entren, o que se muevan libremente una vez dentro, es la única forma de prevenir el robo desde el principio. Las copias de seguridad son una herramienta de recuperación, no una herramienta de prevención.

Qué significan los sitios de filtraciones como RansomHouse para tus datos personales

La presión detrás de la doble extorsión a menudo se aplica públicamente. La fuente se refiere a un sitio llamado RansomHouse, un ejemplo de los sitios de filtraciones donde los grupos de extorsión nombran a las víctimas y amenazan con publicar o realmente publican material robado. El video discutido en el comentario destaca este tipo de sitio como parte de la amenaza actual.

Para las personas comunes, el punto clave es que puedes verte afectado sin ser nunca el objetivo. Si una empresa, clínica, escuela o proveedor que posee tu información es vulnerado, tus datos pueden ser parte de lo que se roba. Una publicación en un sitio de filtraciones es una señal de que el grupo está presionando a la organización, no una prueba de que la afirmación sea precisa. Por ejemplo, nuestra cobertura de la publicación de Everest ransomware sobre Capgemini Engineering señala que tales afirmaciones generalmente no están verificadas en el momento en que aparecen.

Un ejemplo reciente de este patrón es la brecha de Uber Freight, donde el grupo Helix afirmó tener casi 1 millón de archivos después de publicar la empresa en su sitio de filtraciones en la dark web. La empresa dijo que estaba investigando un incidente de seguridad de datos. Si quieres entender a dónde va la información robada después, nuestra explicación sobre qué pasa con tus datos después de una brecha cubre la reacción en cadena que puede seguir.

Qué significa esto para ti

La mayoría de los lectores no administran una red corporativa, pero aún forman parte de la historia de la doble extorsión. Tus datos viven en los sistemas de otras personas, y no puedes controlar su seguridad. Lo que sí puedes controlar es cuánto daño te causa una filtración.

Un conjunto de datos personales publicado o vendido puede alimentar phishing, intentos de apropiación de cuentas y suplantación de identidad. Reutilizar contraseñas empeora esto, porque una credencial filtrada puede desbloquear varias cuentas. La buena noticia es que unos pocos hábitos limitan drásticamente las consecuencias.

Pasos prácticos para individuos y pequeñas organizaciones

Para individuos:

  • Usa una contraseña única para cada cuenta, almacenada en un gestor de contraseñas.
  • Activa la autenticación multifactor donde se ofrezca, comenzando por el correo electrónico, la banca y el almacenamiento en la nube.
  • Sé escéptico ante mensajes inesperados que hagan referencia a tus datos reales, ya que los datos filtrados hacen que las estafas sean más convincentes.
  • Si te notifican sobre una brecha, cambia inmediatamente la contraseña afectada y cualquier otra que coincida con ella.
  • Comparte solo la información personal que un servicio realmente necesita.

Para pequeñas organizaciones:

  • Mantén copias de seguridad robustas, y almacena al menos una copia fuera de línea o separada de tu red principal para que los atacantes no puedan cifrarla también.
  • Exige autenticación multifactor para el personal, especialmente para el acceso remoto y las cuentas de administrador.
  • Recopila y retén menos datos sensibles. La información que no posees no puede ser robada.
  • Prepara un plan de incidentes que cubra el robo de datos, no solo la recuperación de sistemas, incluyendo a quién notificarías.

Puntos clave

Entender el ransomware de doble extorsión explicado en términos sencillos se reduce a una idea: el cifrado es el ataque visible, y el robo es el duradero. Las copias de seguridad protegen tus operaciones, pero solo la prevención, como la autenticación multifactor y limitar qué datos se almacenan, reduce la posibilidad de una filtración.

Para ver qué sucede típicamente después de que se lleva la información, lee nuestra guía sobre qué pasa con tus datos después de una brecha, y revisa el informe de Uber Freight y Helix como un ejemplo reciente de una publicación de extorsión en un sitio de filtraciones. Luego toma diez minutos hoy para activar la autenticación multifactor en tus cuentas más importantes.