Por qué 1 de cada 5 pagos de rescate sigue acabando en traición

Las empresas neozelandesas que están sopesando si pagar una demanda de ransomware acaban de recibir un dato aleccionador. Según informes sobre qué compañías de Nueva Zelanda tienen más probabilidades de ser blanco de los piratas informáticos que manejan ransomware, el 80 % de las víctimas que pagaron recibieron una clave de descifrado funcional y no vieron filtrados sus datos robados, tal como se les prometió. Eso suena tranquilizador hasta que le damos la vuelta a la cifra: en uno de cada cinco casos, las víctimas pagaron y no obtuvieron nada. Sin clave, sin archivos eliminados, sin trato cumplido.

Este es el incómodo núcleo de los riesgos de pagar un rescate por ransomware. Todo el modelo de extorsión depende de que las víctimas crean que los delincuentes cumplirán su palabra, porque una reputación de fiabilidad mantiene el flujo de pagos de futuras víctimas. Pero la reputación entre grupos criminales no es un contrato legal, y los informes dejan claro que algunos operadores simplemente cogen el dinero y se van o, peor aún, vuelven a por más.

Cómo los grupos de ransomware eligen a sus víctimas y las vuelven a extorsionar

Uno de los detalles más preocupantes del informe tiene que ver con un grupo llamado SpaceBears, que al parecer volvió a extorsionar a víctimas que ya habían pagado un rescate una vez. En lugar de considerar el pago como el fin del incidente, estas víctimas se encontraron de vuelta en la casilla de salida, enfrentándose a una segunda exigencia por los mismos datos robados. Esta táctica socava la premisa básica de que pagar resuelve el problema. Si un grupo criminal tiene tus datos, un único pago no garantiza que desaparezcan de su poder ni del de cualquiera a quien se los vendan después.

Los grupos de ransomware suelen centrarse en organizaciones que creen más dispuestas a pagar rápido, a menudo porque el coste del tiempo de inactividad o el daño reputacional supera al propio rescate. Los costes de recuperación tras un ataque son sistemáticamente elevados: cubren la investigación forense, la reconstrucción de sistemas, asesoría jurídica y posibles obligaciones de notificación a los reguladores. Esa presión financiera es exactamente con la que cuentan los atacantes cuando fijan el precio y el plazo.

Reducir la exposición: aspectos básicos de protección de datos e higiene de seguridad

Puesto que hasta un pago con éxito conlleva aproximadamente un 20 % de probabilidades de fracaso y que algunos grupos pueden explotar a las víctimas dos veces, la estrategia más duradera es reducir las probabilidades de que un ataque tenga éxito desde el principio. Esto empieza por una higiene de seguridad básica, pero a menudo descuidada: copias de seguridad periódicas fuera de línea o inmutables a las que el ransomware no pueda llegar, aplicación puntual de parches a vulnerabilidades conocidas, autenticación multifactor en todos los puntos de acceso remoto y segmentación de la red para que una sola cuenta comprometida no pueda desencadenar un cifrado masivo.

La minimización de datos importa tanto como las defensas técnicas. Las organizaciones que almacenan menos datos sensibles, los conservan durante menos tiempo y cifran lo que guardan dejan a los atacantes con menos capacidad de presión incluso si se produce una brecha. Aquí es también donde entender la jurisdicción de la VPN cobra relevancia para empresas y particulares que manejan tráfico sensible. El país donde tiene su base legal un proveedor de servicios determina qué datos se le puede obligar a entregar y qué recursos legales les quedan a las víctimas si algo sale mal. Elegir herramientas y proveedores con una situación jurisdiccional clara y favorable forma parte de una postura defensiva más amplia, no es un aspecto separado de la prevención del ransomware.

Los debates más amplios sobre política digital en Nueva Zelanda también confluyen en este tema. Como demuestran las discusiones sobre los planes de verificación de edad en Nueva Zelanda, el país está debatiendo activamente cuántos datos personales deberían recopilar y conservar las plataformas y los reguladores. Cada nuevo repositorio de información personal almacenada es un blanco potencial para el ransomware, lo que convierte la minimización de datos en una cuestión tanto de política pública como corporativa.

Lo que esto significa para las empresas y los usuarios cotidianos

Para las empresas neozelandesas, la conclusión no es que pagar un rescate siempre sea inútil. La cifra del 80 % muestra que, a menudo, los atacantes cumplen. Pero tratar el pago como una póliza de seguro fiable es un error que los datos no respaldan. Una tasa de fracaso de uno de cada cinco, combinada con casos documentados de extorsión repetida, significa que el pago debería ser el último recurso, sopesado frente a factores legales, financieros y reputacionales, no una respuesta predefinida incrustada en un plan de respuesta a incidentes.

Para los usuarios cotidianos, la lección es similar a menor escala. Las copias de seguridad personales, las contraseñas únicas y la gestión prudente de los archivos adjuntos y enlaces siguen siendo las defensas más baratas y eficaces contra el ransomware que acaba llegando a los particulares a través de campañas de suplantación de identidad. La recuperación a posteriori, tanto si eres una gran empresa como un usuario doméstico, es cara e incierta en comparación con la prevención.

Puntos clave

  • Aproximadamente el 20 % de las víctimas de ransomware que pagan no reciben nada a cambio, pese a las promesas de claves de descifrado y eliminación de datos.
  • Algunos grupos de ransomware, incluido SpaceBears, han vuelto a extorsionar a víctimas que ya habían pagado una vez.
  • Las copias de seguridad fiables fuera de línea y unos controles de acceso sólidos reducen la dependencia de los pagos de rescate.
  • La minimización de datos y la conciencia sobre la jurisdicción de los proveedores reducen la capacidad de presión de los atacantes.
  • Los riesgos de pagar un rescate por ransomware deben integrarse en la planificación de respuesta a incidentes de cualquier organización, no limitarse al coste inmediato de la demanda.

Entender los riesgos de pagar un rescate por ransomware consiste, en última instancia, en reconocer que la prevención, la disciplina de las copias de seguridad y una gestión cuidadosa de los datos ofrecen más certeza que confiar en que una empresa criminal cumpla su parte de un trato de extorsión.