Un año después: lo que realmente ocurrió en Nevada

Un año después de que actores de amenazas se infiltraran silenciosamente en los sistemas estatales de Nevada, los funcionarios comparten nuevos detalles sobre cómo se desarrolló el ataque y cómo respondió el estado. Según la Oficina de Tecnología del Gobernador, los hackers permanecieron indetectados dentro de las redes estatales durante un período prolongado antes de desplegar el ransomware a finales de agosto. Ese tipo de tiempo de permanencia, en el que los atacantes merodean dentro de una red trazando sistemas y puntos de acceso antes de atacar, es un sello distintivo de las operaciones de ransomware sofisticadas y uno de los problemas más difíciles de detectar en tiempo real para los defensores.

Cuando el ransomware finalmente se activó, interrumpió los servicios estatales y obligó a los funcionarios a tomar una decisión crítica: pagar el rescate o reconstruir. Nevada eligió no pagar.

Por qué Nevada se negó a pagar el rescate

El informe posterior a la acción del estado atribuye esa decisión a la confianza en sus sistemas de respaldo. En lugar de negociar con los extorsionadores, Nevada se apoyó en los respaldos de datos existentes para reconstruir desde cero los sistemas afectados. Los resultados, según se detalla en el informe, fueron significativos: los servicios esenciales se restauraron en 28 días, y aproximadamente el 90% de los datos estatales afectados por el ataque se recuperaron sin enviar un solo dólar a los atacantes.

Ese resultado importa más allá de las fronteras de Nevada. Los grupos de ransomware dependen de la suposición de que las víctimas no tienen otra opción más que pagar. Cuando una organización puede demostrar que sus respaldos están actualizados, aislados de la red principal y que realmente se pueden restaurar, elimina gran parte de la ventaja que tienen los atacantes. Es una dinámica similar a la que se desarrolla en otros intentos de extorsión de alto perfil, incluidos los casos en los que se aborda y soborna directamente a personas internas para que ayuden a los atacantes a obtener acceso, como se vio en el complot de soborno por ransomware con un informante interno de Tesla, donde la capacidad de una empresa para resistir la tentación financiera y el compromiso interno resultó tan importante como sus defensas técnicas.

Avanzando hacia la confianza cero

Tras el ataque, el liderazgo tecnológico de Nevada ha señalado un cambio hacia un modelo de seguridad de confianza cero en el futuro. La confianza cero es un marco construido sobre una premisa simple: ningún usuario, dispositivo o aplicación es de confianza automática, incluso si ya está dentro del perímetro de la red. Cada solicitud de acceso debe verificarse, de forma continua, independientemente de dónde se origine.

Ese enfoque aborda directamente la vulnerabilidad que permitió a los atacantes de Nevada operar indetectados durante tanto tiempo. La seguridad de red tradicional a menudo asume que todo lo que ya está dentro del perímetro es seguro, que es exactamente el punto ciego que permitió a los intrusos moverse antes de desplegar el ransomware. Un modelo de confianza cero requeriría verificación continua en cada paso, lo que dificultaría mucho más que un atacante permanezca tranquilamente dentro de un sistema mientras planea un golpe mayor.

Qué significa esto para ti

La mayoría de los lectores no administran una red de gobierno estatal, pero las lecciones de la experiencia de Nevada se aplican igualmente a individuos y pequeñas organizaciones. El ransomware no discrimina por tamaño, y los mismos principios que salvaron a Nevada de pagar un rescate, respaldos confiables y limitar cuánto puede moverse un intruso una vez dentro, son cosas que cualquiera puede poner en práctica.

Comienza con los respaldos. Si aún no tienes una copia de tus archivos importantes almacenada en algún lugar separado de tus dispositivos principales y cuentas en la nube, ya sea en una unidad externa o en un servicio que controles, ahora es el momento de configurarlo. El objetivo es la redundancia: si una copia se ve comprometida o cifrada, otra permanece intacta.

También presta atención a cuánto acceso tiene cualquier cuenta o dispositivo individual. Usar contraseñas únicas, habilitar la autenticación multifactor y limitar los privilegios administrativos en dispositivos compartidos son versiones a pequeña escala del principio de confianza cero que Nevada ahora está adoptando a nivel estatal.

El panorama general

La experiencia de Nevada es un caso de estudio útil precisamente porque no terminó en un pago. La negativa del estado a pagar, respaldada por respaldos funcionales y un cronograma de recuperación rápido, demuestra que la planificación de la resiliencia puede reducir la ventaja de la que dependen los grupos de ransomware. También ilustra por qué los gobiernos estatales y locales, a menudo con fondos y personal insuficientes en comparación con los equipos de seguridad del sector privado, siguen siendo objetivos atractivos: los atacantes apuestan a que la recuperación será demasiado costosa o demasiado lenta, y que la víctima simplemente pagará para que el problema desaparezca.

Conclusiones prácticas:

  • Mantén respaldos que estén separados de tu red o dispositivos principales, y comprueba que realmente se restauren correctamente.
  • Habilita la autenticación multifactor en todos los lugares donde se ofrezca, especialmente en cuentas con datos sensibles.
  • Limita los privilegios de cuentas y dispositivos para que un solo inicio de sesión comprometido no pueda otorgar acceso amplio.
  • Vigila la actividad inusual en las cuentas, ya que los atacantes a menudo acechan indetectados durante semanas o meses antes de atacar.
  • Sigue cómo las organizaciones en las que confías, desde el gobierno local hasta el departamento de TI de tu trabajo, están actualizando sus prácticas de seguridad tras incidentes como el de Nevada.

Los ataques de ransomware no van a desaparecer, pero la recuperación de Nevada demuestra que la preparación, no solo la prevención, puede determinar si un ataque se convierte en una catástrofe o en una interrupción manejable.