Lo que el estudio de Proofpoint encontró sobre los ataques repetidos

Un nuevo estudio de la firma de ciberseguridad Proofpoint ofrece una dosis de realidad aleccionadora a las organizaciones que consideran los pagos de ransomware como una solución rápida. Según la investigación, más de un tercio de las empresas que pagaron una demanda de ransomware fueron posteriormente blanco de un intento de extorsión secundario. En otras palabras, extender el cheque no cierra el capítulo del incidente; para una proporción significativa de víctimas, simplemente abre uno nuevo.

Este hallazgo es relevante porque desafía una suposición común en las salas de juntas durante una crisis: que pagar a los atacantes es la forma más rápida de hacer desaparecer el problema. Los datos de Proofpoint sugieren lo contrario. Una vez que una empresa demuestra que está dispuesta a pagar, puede convertirse en un objetivo recurrente, ya sea por parte del atacante original o de un grupo diferente que ha sabido que la organización es un blanco fácil.

Por qué pagar el rescate no garantiza la seguridad de los datos

El problema central señalado por Proofpoint es que las negociaciones de rescate se basan en la confianza con delincuentes que no tienen ninguna obligación vinculante de cumplir su parte del trato. Pagar para desbloquear archivos cifrados no garantiza que los datos robados no se hayan copiado previamente en otro lugar, ni impide que los atacantes revendan credenciales de acceso, mapas de red o archivos exfiltrados a otros grupos delictivos.

Este es el mecanismo detrás del ciclo de extorsión repetida que describe el estudio. Las operaciones modernas de ransomware recurren cada vez más a la doble extorsión, cifrando sistemas y también robando datos confidenciales antes de exigir el pago. Incluso si se entrega una clave de descifrado como se prometió, los datos robados en sí mismos siguen siendo un pasivo. Pueden utilizarse para un segundo chantaje, venderse en mercados delictivos o ser aprovechados por un actor de amenazas completamente diferente que compre acceso al atacante original. El pago resuelve la interrupción inmediata, pero no hace nada para abordar la exposición subyacente de los datos de la organización.

La creciente amenaza para las pequeñas y medianas empresas

Aunque las grandes empresas han dominado históricamente los titulares sobre ransomware, las empresas más pequeñas y medianas están cada vez más en el punto de mira, a menudo porque tienen menos recursos para invertir en detección, respuesta y recuperación. Estas organizaciones pueden ser especialmente vulnerables al patrón de extorsión repetida que describe Proofpoint, ya que un solo pago exitoso puede marcarlas como dispuestas y capaces de pagar nuevamente.

Esta dinámica ya se está desarrollando con las operaciones de ransomware como servicio que apuntan específicamente a organizaciones más pequeñas. Como se detalla en la cobertura sobre las bandas de ransomware Qilin y The Gentlemen intensifican los ataques a las PYMES, estos grupos compiten por el dominio centrándose en empresas que pueden carecer de la experiencia en negociación, el asesoramiento legal o la infraestructura de respuesta a incidentes que las empresas más grandes pueden desplegar. Cuando una empresa más pequeña paga una vez, es posible que no tenga los recursos para cambiar fundamentalmente su postura de seguridad después, dejando las mismas vulnerabilidades abiertas para el siguiente intento.

Reducir el riesgo: copias de seguridad, cifrado y planificación de incidentes

Los hallazgos de Proofpoint refuerzan un mensaje que los profesionales de seguridad han repetido durante años: la prevención y la preparación importan más que la negociación. Unos pocos pasos prácticos pueden reducir significativamente tanto la probabilidad de un ataque como el daño si ocurre.

En primer lugar, mantenga copias de seguridad fuera de línea o inmutables que se prueben regularmente. El pago del rescate a menudo se convierte en la única opción cuando las copias de seguridad faltan, están desactualizadas o se cifran durante el ataque. En segundo lugar, cifre los datos confidenciales en reposo y en tránsito para que, incluso si los atacantes exfiltran archivos, los datos robados tengan un valor limitado. En tercer lugar, elabore un plan de respuesta a incidentes antes de que ocurra un ataque, no durante el mismo. Este plan debe incluir roles claros, protocolos de comunicación y contactos legales y forenses previamente examinados, para que las decisiones no se tomen bajo pánico y presión de tiempo.

Las organizaciones también deben asumir que cualquier dato afectado por una intrusión podría eventualmente aparecer públicamente o ser revendido, independientemente de si se paga un rescate. Planificar para esa posibilidad, mediante procedimientos de notificación a clientes, ofertas de monitoreo de crédito y revisión legal, es mucho más confiable que esperar que un grupo delictivo elimine los archivos robados después del pago.

Lo que esto significa para usted

Si alguna vez su organización se enfrenta a una demanda de ransomware, la investigación de Proofpoint sugiere que la decisión de pagar no debe considerarse como una resolución garantizada. El riesgo de pago por extorsión repetida de ransomware es real y está documentado: pagar puede marcarlo como un objetivo en lugar de cerrar el incidente. Ya sea que dirija una pequeña empresa o administre la seguridad de una compañía más grande, la suposición más segura es que cualquier evento de ransomware puede no ser un hecho único a menos que aborde las causas raíz que permitieron la intrusión en primer lugar.

Conclusiones clave

  • No asuma que el pago pone fin a la amenaza. Proofpoint descubrió que más de un tercio de las víctimas que pagan se enfrentan a un segundo intento de extorsión.
  • Priorice copias de seguridad inmutables y probadas para que el pago nunca sea su único camino hacia la recuperación.
  • Cifre los datos confidenciales para limitar el daño de la exfiltración incluso si los sistemas se ven comprometidos.
  • Elabore y practique un plan de respuesta a incidentes antes de un ataque, no durante el mismo.
  • Reconozca que las empresas más pequeñas son cada vez más blanco de grupos como Qilin y The Gentlemen, lo que hace que la defensa proactiva sea esencial independientemente del tamaño de la empresa.