El arresto del fundador de Monster Cloud, Zohar Pinhasi, ha puesto el foco en un rincón incómodo de la industria de respuesta a incidentes. Según lo reportado, el caso del negociador de ransomware arrestado Monster Cloud se centra en afirmaciones de que la empresa pagó en secreto a los operadores de ransomware por claves de descifrado y luego facturó a sus clientes como si el trabajo de recuperación fuera propio. Las acusaciones no han sido probadas en un tribunal, y esta publicación se basa únicamente en los limitados detalles disponibles en el informe fuente.
De qué se acusa a Monster Cloud
La acusación es clara. Las víctimas de ataques de ransomware acudieron a Monster Cloud para obtener ayuda y recuperar sus datos. En lugar de realizar la recuperación por sí misma, se alega que la empresa pagó silenciosamente a los criminales detrás del ataque por una clave de descifrado, y luego cobró al cliente por lo que parecía un servicio de recuperación legítimo.
El informe fuente no proporciona más detalles, como cuántos clientes se vieron afectados, cuánto dinero cambió de manos o qué cargos enfrenta Pinhasi. Esas lagunas importan, y los lectores deben tratar con cautela cualquier cifra o afirmación más allá de la acusación básica hasta que se haga pública más información. Pinhasi está acusado, no condenado.
Cómo las víctimas son explotadas dos veces en la recuperación de ransomware
El problema central que plantea este caso es la doble exposición de las víctimas de ransomware. Primero, los atacantes cifran los sistemas y exigen el pago. Segundo, en el escenario aquí alegado, el intermediario al que acude una víctima en busca de ayuda es quien oculta lo que realmente está sucediendo.
Esto funciona porque las víctimas en una crisis de ransomware están bajo una presión intensa. Los sistemas están caídos, el personal no puede trabajar y los clientes pueden verse afectados. Pocas organizaciones tienen el conocimiento técnico para juzgar si una afirmación de recuperación es real. Confían en la palabra del proveedor y, a menudo, no tienen visibilidad de lo que sucede entre bastidores.
Si un proveedor paga un rescate sin decírselo al cliente, varias cosas pueden salir mal:
- El cliente no puede tomar una decisión informada sobre si pagar o no.
- El cliente puede ser incapaz de justificar el pago adecuadamente en términos legales, de seguros o regulatorios.
- La factura final puede no reflejar lo que realmente se hizo, haciendo que el servicio parezca experiencia técnica cuando fue un pago de intermediación.
La transparencia es la línea divisoria. Pagar un rescate es una decisión legal y ética que corresponde a la víctima, y esa decisión nunca debería tomarse por ella en secreto.
Por qué los pagos de rescate siguen financiando a grupos criminales
Cada pago de rescate, se divulgue o no, envía dinero a las personas que llevaron a cabo el ataque. Esos ingresos pagan herramientas, infraestructura y la siguiente ronda de víctimas. Cuando los pagos se canalizan a través de intermediarios, el flujo se vuelve más difícil de ver, lo que dificulta que las víctimas, las aseguradoras y las autoridades entiendan cuánto se está pagando realmente.
Pagar tampoco ofrece garantía de un resultado limpio. Los costos pueden escalar mucho más allá de la demanda inicial. Para poner en contexto lo caro que puede llegar a ser la extorsión, consulte nuestro informe sobre cómo Weil, WilmerHale y Goodwin presuntamente pagaron alrededor de $50M en extorsión cibernética. Esa historia muestra que incluso organizaciones con abundantes recursos pueden terminar firmando cheques muy grandes.
Qué verificar antes de contratar a un proveedor de recuperación o negociador
Nada en este caso significa que todos los negociadores o empresas de recuperación sean poco fiables. Pero es un recordatorio útil para hacer preguntas directas antes de firmar cualquier cosa. Considere estas verificaciones:
- Pregunte cómo se gestionan los pagos. Un proveedor confiable debe indicar claramente si alguna vez pagará un rescate en su nombre, y solo con su aprobación escrita explícita.
- Exija facturación detallada. Las facturas deben separar la mano de obra propia del proveedor de cualquier costo de terceros, incluido cualquier pago a los atacantes.
- Obtenga el alcance por escrito. El contrato debe describir qué trabajo de recuperación se realizará y cómo se medirá el éxito.
- Pida referencias verificables. Hable con clientes anteriores cuando sea posible y confirme las credenciales de la empresa de forma independiente.
- Involucre a su aseguradora y a su asesor legal desde el principio. Pueden ayudarle a evaluar proveedores y garantizar que cualquier decisión sobre el pago quede documentada y sea lícita.
- Solicite pruebas de recuperación. Pregunte cómo obtuvo el proveedor la capacidad de descifrado y qué pruebas se realizaron antes de comprometerse con un plazo.
Qué significa esto para usted
Si dirige una pequeña empresa, es quien más probablemente sentirá presión para aceptar la primera oferta de ayuda. Puede que no tenga un equipo de seguridad dedicado ni una relación establecida con una empresa de respuesta a incidentes. Por eso vale la pena elegir un proveedor antes de una crisis, no durante una.
Para las personas y los empleados, la lección es similar: cuando una organización dice que los datos se recuperaron, es razonable preguntar cómo. Esté atento a intentos posteriores de phishing o extorsión después de cualquier incidente, y cambie las credenciales que puedan haberse visto expuestas.
Conclusiones clave
La historia del negociador de ransomware arrestado Monster Cloud aún está en desarrollo, y las acusaciones siguen sin probarse. Aun así, destaca un riesgo práctico: las personas que contrata para resolver una crisis deberían ser tan transparentes como esperaría de cualquier contratista. Esto es lo que debe hacer ahora:
- Evalúe a cualquier proveedor de recuperación para asegurarse de que tenga políticas claras sobre pagos de rescate y facturación detallada.
- Preseleccione un proveedor de respuesta a incidentes y revise el contrato antes de necesitarlo.
- Mantenga copias de seguridad fuera de línea y probadas para depender menos de las claves de descifrado.
- Active la autenticación multifactor en el correo electrónico, el acceso remoto y las cuentas de administrador.
- Aplique parches a los sistemas expuestos a internet con prontitud.
Una prevención sólida es la mejor manera de evitar encontrarse alguna vez en una posición en la que deba confiar a un desconocido una decisión tan costosa.
