Según informes, investigadores federales han identificado a ejecutivos de dos empresas distintas de negociación de incidentes cibernéticos que mantenían relaciones inusualmente estrechas con el grupo de extorsión ShinyHunters. De acuerdo con el reportaje de KrebsOnSecurity resumido por Security Arsenal, un ejecutivo con sede en Estados Unidos supuestamente fue más allá y ayudó a operar el sitio web utilizado para presionar a las víctimas para que pagaran. La acusación sobre el sitio de extorsión del negociador de rescates de ShinyHunters sigue siendo solo eso, una acusación, pero plantea una pregunta difícil para cualquiera cuyos datos estén en una empresa que algún día podría ser vulnerada: ¿quién está realmente al otro lado de la mesa?
Lo que los investigadores alegan sobre los negociadores y ShinyHunters
El reportaje afirma que investigadores federales, trabajando con datos del FBI, identificaron a ejecutivos de dos empresas de negociación que tenían contacto cercano con ShinyHunters. Se alega que uno de ellos, un ejecutivo con sede en Estados Unidos, ayudó a operar el sitio que el grupo utilizaba para presionar a las víctimas para que pagaran rescates.
Vale la pena tener en cuenta algunos puntos. El resumen disponible no presenta cargos, y las afirmaciones provienen de reportajes sobre lo que los investigadores sospechan. Ni los ejecutivos ni sus empresas son nombrados en el material que revisamos, por lo que no especularemos sobre identidades. Trate esto como una historia en desarrollo y espere que los detalles cambien a medida que se confirme más información.
Cómo funcionan la negociación de rescates y los sitios de extorsión
Cuando una empresa es víctima de un robo de datos o un ataque de ransomware, a menudo contrata a una empresa externa para gestionar la comunicación con los atacantes. Estos negociadores normalmente verifican qué fue robado, intentan reducir la demanda y organizan el pago si la empresa decide pagar. Debido a que hablan directamente con los criminales, poseen conocimiento sensible: cuánto puede permitirse la víctima, qué datos fueron tomados y qué tan urgente es la fecha límite de la empresa.
Los sitios de extorsión son la herramienta de presión del otro lado. Grupos como ShinyHunters utilizan un sitio web para nombrar a las víctimas, amenazar con publicar datos robados e impulsar a las empresas hacia un acuerdo. El sitio es parte de la propuesta de venta: cuanto más creíble y aterradora sea la amenaza, más probable es que una víctima pague.
Por eso la acusación importa. Si un negociador también ayudó a operar el sitio de presión, la misma persona podría, en teoría, ser tanto el asesor de confianza de la víctima como un participante en la amenaza. Eso es un conflicto de intereses de manual, y la víctima podría no saberlo.
Por qué importa un conflicto de intereses en la respuesta a incidentes
La respuesta a incidentes depende de la confianza. Una empresa vulnerada entrega registros, detalles de la red e información comercial sensible a las personas que la ayudan a recuperarse. Si cualquiera de esos asesores tiene vínculos con los atacantes, varias cosas podrían salir mal:
- La ventaja negociadora puede filtrarse. Conocer el presupuesto o la fecha límite de una víctima ayuda a un extorsionador a fijar el precio.
- El asesoramiento puede estar sesgado. Un asesor en conflicto podría inclinar a una empresa hacia pagar en lugar de recuperarse por otra vía.
- El manejo de datos se vuelve incierto. Se supone que el pago compra la eliminación de los datos robados, pero, como en otros casos recientes de extorsión, no hay forma de estar seguro de que los datos realmente hayan desaparecido.
Para los clientes, pacientes, estudiantes o empleados cuyos registros están dentro de la empresa vulnerada, esto está fuera de su control. Usted no elige al negociador y rara vez se entera de quién fue. A nivel de toda la industria, esa es una razón para exigir una verificación más clara y la divulgación de conflictos, y para que los reguladores y las aseguradoras examinen cómo se evalúa a estas empresas.
Qué significa esto para usted
Usted no puede auditar a los socios de respuesta a incidentes de sus proveedores. Lo que sí puede hacer es limitar el daño si sus datos terminan en las manos equivocadas, sin importar quién haya gestionado la negociación. Asuma que un pago no garantiza que su información haya sido destruida, y que los detalles robados pueden reutilizarse en estafas posteriores. Los grupos de extorsión y los imitadores también explotan las noticias sobre brechas: un correo falso de sextorsión de ShinyHunters, por ejemplo, supuestamente ha utilizado detalles reales de brechas para hacer que las amenazas parezcan creíbles.
Qué hacer si una empresa que usted utiliza sufre una brecha
Cuando llega un aviso de brecha, actúe en lugar de esperar a que se aclare la historia:
- Cambie las contraseñas reutilizadas. Comience por el servicio vulnerado, luego por cualquier otra cuenta que comparta la misma contraseña. Use una contraseña única para cada cuenta, idealmente almacenada en un gestor de contraseñas.
- Active la autenticación multifactor. Prefiera una aplicación de autenticación o una llave de hardware en lugar de SMS cuando sea posible.
- Esté atento a correos de phishing y extorsión. Sea escéptico ante mensajes que citen detalles reales sobre usted y exijan dinero o una acción urgente. No responda, no haga clic en enlaces ni abra archivos adjuntos. Diríjase directamente al sitio oficial de la empresa.
- Verifique el aviso mismo. Confirme que proviene de la empresa a través de un canal que pueda verificar, ya que los atacantes imitan las notificaciones de brechas.
- Monitoree sus cuentas. Revise los extractos bancarios y de tarjetas, y considere un congelamiento de crédito si el aviso indica que se expusieron datos financieros o de identidad.
La conclusión
El presunto vínculo entre un negociador de rescates y un sitio de extorsión de ShinyHunters aún no es un caso resuelto, pero muestra cuánto de la respuesta a brechas depende de una confianza que las personas no pueden ver. Hasta que los hechos se establezcan por completo, el enfoque sensato es protegerse de la misma manera cada vez: contraseñas únicas, autenticación multifactor y una sana sospecha de cualquier mensaje que se apoye en sus datos filtrados para asustarlo. Haga esas cosas después de cualquier aviso de brecha, y reducirá el valor de lo que sea que los atacantes, o sus intermediarios, estén reteniendo.
