Un doble golpe para el sector financiero de Hong Kong

Dos historias de ciberseguridad coincidieron en Hong Kong con apenas 24 horas de diferencia: un grupo de ransomware autodenominado Orova reivindicó brechas en cinco empresas hongkonesas, entre ellas al menos una gestora de activos regulada, y la Comisión de Valores y Futuros (SFC) impuso su primera sanción relacionada con un ataque de ransomware. Los informes indican que la SFC reprendió y multó a una corporación autorizada con 2,1 millones de dólares de Hong Kong por fallos de ciberseguridad vinculados a un ataque de ransomware, una penalización que los reguladores presentaron como una señal de que la alta dirección, y no solo los departamentos de TI, es responsable de la resiliencia cibernética.

La coincidencia temporal no fue tanto una casualidad como una convergencia. Los grupos de ransomware han puesto cada vez más el punto de mira en las empresas de servicios financieros porque poseen precisamente el tipo de datos sensibles de clientes que hace que la extorsión sea efectiva, y reguladores como la SFC llevan meses advirtiendo que piensan exigir responsabilidades a las entidades autorizadas cuando esas defensas fallen.

Cómo la doble extorsión cambió las reglas del ransomware

El ransomware tradicional era, en cierto modo, un problema más sencillo. Los atacantes cifraban los archivos de la víctima y exigían un pago a cambio de la clave de descifrado. Las organizaciones que disponían de copias de seguridad fiables y desconectadas de la red podían a menudo restaurar sus sistemas sin pagar ni un céntimo, neutralizando así la ventaja del atacante.

La doble extorsión, táctica iniciada por el grupo de ransomware Maze a finales de 2019, cerró esa brecha. En lugar de limitarse a cifrar los archivos, los atacantes primero roban una copia de los datos sensibles de la víctima. Incluso si la organización puede restaurar sus sistemas desde las copias de seguridad y se niega a pagar por el descifrado, los atacantes siguen teniendo una segunda baza: amenazan con publicar los datos robados en un portal de filtraciones de la dark web a menos que se pague un rescate. Esto cambia por completo el cálculo. Las copias de seguridad protegen contra la interrupción operativa, pero no hacen nada para evitar una fuga de datos. Esa es precisamente la presión que Orova parece estar ejerciendo contra las cinco víctimas reportadas en Hong Kong.

Este patrón no es exclusivo de Hong Kong ni de Orova. Las entidades financieramente reguladas de todo el mundo almacenan registros de clientes, historiales de transacciones y documentos de identidad que son valiosos tanto para los delincuentes como, cuando quedan expuestos, profundamente perjudiciales para las personas cuyos datos acaban en un sitio de filtraciones. Es el mismo riesgo subyacente que salió a la luz cuando una agencia estatal de inversiones del Reino Unido expuso datos sensibles de 51 funcionarios públicos durante aproximadamente 40 horas: una vez que los datos están fuera, el tiempo y la contención importan enormemente, pero la exposición en sí no se puede deshacer.

Por qué la multa de la SFC importa más allá de Hong Kong

Lo que hace notable este momento no es solo que otro grupo de ransomware haya reivindicado víctimas. Es que un regulador financiero haya pasado de las directrices a la aplicación. La multa de la SFC, según se informa la primera vinculada específicamente a un incidente de ransomware, envía un mensaje que se ha ido gestando en la regulación financiera mundial: los fallos de ciberseguridad ya no se tratan como meros incidentes técnicos. Son fallos de cumplimiento con consecuencias financieras y reputacionales reales para la empresa y, cada vez más, para los directivos que aprueban la gestión de riesgos.

Los grupos de ransomware no necesitan encontrar un zero-day novedoso para entrar. Muchas brechas comienzan con fallos mucho más mundanos: software sin parchear, controles de acceso débiles o empleados que pican en el phishing. Esa es en parte la razón por la que las vulnerabilidades sin parchear siguen siendo un punto de entrada tan persistente; incluso errores de alto perfil como el detallado en reportajes recientes sobre un zero-day de Windows sin parchear ilustran cómo los atacantes pueden explotar brechas que existen mucho antes de que haya un parche disponible. Ahora se espera que las empresas reguladas traten ese tipo de exposición como un problema de gobernanza, no como un simple tique de TI.

Qué significa esto para usted

Si es cliente, empleado o socio de una empresa de servicios financieros, incidentes como este son un recordatorio de que la seguridad de sus datos depende en gran medida de decisiones que se toman muy por encima del departamento de TI. Los consejos de administración y la alta dirección están ahora explícitamente obligados a garantizar la resiliencia cibernética en jurisdicciones como Hong Kong, lo que con el tiempo debería empujar a las empresas hacia protecciones de base más sólidas: mejores hábitos de copias de seguridad, aplicación de parches más rápida y controles de acceso más rigurosos.

Para los particulares, los consejos prácticos no han cambiado mucho, pero ahora importan más. Supervise las cuentas que tenga en cualquier empresa que haya notificado una brecha, sea escéptico ante comunicaciones inesperadas que mencionen detalles de su cuenta y considere la supervisión de crédito si una empresa confirma que sus datos formaban parte de una filtración. La doble extorsión significa que incluso las empresas que recuperan sus sistemas rápidamente pueden tener sus datos circulando, así que no dé por sentado que un incidente de ransomware resuelto implica que su información está a salvo.

Puntos clave

Las brechas de Orova y la multa de la SFC ilustran juntas hacia dónde se dirige la responsabilidad en materia de ransomware: los reguladores ya no se conforman con que las empresas se limiten a recuperarse de un ataque. Quieren pruebas de que tomaron medidas razonables para prevenirlo en primer lugar. Para los lectores, los pasos prácticos siguen siendo los mismos independientemente de la jurisdicción: pregunte a cualquier entidad financiera con la que trabaje sobre sus políticas de notificación de brechas, active la autenticación multifactor siempre que esté disponible y trate cualquier notificación de brecha como un aviso para revisar la actividad de su propia cuenta, no como una mera formalidad rutinaria.