Las empresas siguen pagando rescates, según muestran nuevos datos

A pesar de años de orientación que insta a las organizaciones a rechazar las demandas de ransomware, muchas empresas siguen extendiendo cheques a los ciberdelincuentes. Un nuevo estudio de la firma de seguridad Proofpoint descubrió que casi una cuarta parte (22 %) de las empresas que pagaron un rescate fueron atacadas de nuevo con una segunda demanda de extorsión, una cifra que plantea serias dudas sobre si pagar realmente resuelve algo.

La investigación aterriza en un momento en que las autoridades presionan más que nunca para que las organizaciones mantengan la línea frente a los atacantes. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) lleva tiempo desaconsejando el pago de rescates y advierte de que alimenta nuevos ataques y no ofrece ninguna garantía de que los datos robados o cifrados vayan a ser devueltos realmente. Sin embargo, los hallazgos de Proofpoint sugieren que el consejo oficial y las decisiones empresariales reales son a menudo dos cosas muy distintas.

Por qué las empresas pagan de todos modos

Los ataques de ransomware colocan a las compañías en una posición nada envidiable. Cuando los sistemas quedan bloqueados o los datos confidenciales se ven amenazados con ser expuestos públicamente, los directivos a menudo se ven obligados a sopesar el daño reputacional, la exposición regulatoria y el tiempo de inactividad operativa frente al coste del pago del rescate. Para muchas organizaciones, pagar puede parecer la vía más rápida para volver a la normalidad, incluso cuando los expertos en seguridad advierten de que rara vez funciona de forma tan limpia.

Ese cálculo se vuelve aún más delicado si se tiene en cuenta cómo se ha profesionalizado el propio negocio del ransomware. La negociación se ha convertido en una especie de industria artesanal, con empresas contratadas específicamente para comunicarse con los atacantes e intentar reducir las exigencias. Pero esa industria no ha estado exenta de polémica. En un caso notable, un negociador profesional fue condenado a 70 meses de prisión por su papel en un acuerdo con el ransomware BlackCat, un duro recordatorio de que las personas que gestionan estos pagos no siempre actúan en el interés de la empresa. Un caso relacionado que involucra al mismo negociador, identificado como Martino en los registros judiciales, subraya aún más lo turbio y jurídicamente arriesgado que puede volverse el ecosistema del pago de rescates cuando interviene un intermediario.

El coste en privacidad de pagar

La estadística del 22 % de extorsión repetida es significativa porque contradice la justificación principal que la mayoría de las empresas dan para pagar: que el problema desaparece. Si casi una cuarta parte de las víctimas vuelven a ser objetivo después de pagar, el pago no está comprando seguridad. Puede que simplemente confirme a los atacantes que la organización está dispuesta y es capaz de pagar, lo que la convierte en un blanco más atractivo para futuros ataques.

También hay una dimensión de privacidad que a menudo se pasa por alto en estas discusiones. Los ataques de ransomware con frecuencia implican el robo de datos sensibles, registros de clientes, información de empleados, detalles financieros, mucho antes de que se produzca cualquier cifrado. Pagar un rescate no deshace esa exposición. Los atacantes pueden haber copiado ya los datos, y un pago no ofrece ninguna garantía verificable de que vayan a ser eliminados en lugar de vendidos o filtrados más tarde. Para las personas cuyos datos se encuentran en los sistemas de una empresa vulnerada, la negociación del rescate que tiene lugar a puerta cerrada poco tiene que ver con que su información siga siendo privada.

Lo que esto significa para usted

Si usted es un consumidor, estos datos son un recordatorio de que la decisión de una empresa de pagar un rescate no protege necesariamente su información personal. Las notificaciones de violación y las ofertas de supervisión crediticia tras un incidente de ransomware merecen ser tomadas en serio, independientemente de que la empresa afectada diga que ha resuelto la situación con los atacantes.

Si trabaja en TI, seguridad o en la alta dirección, los hallazgos de Proofpoint deberían incorporarse directamente a la planificación de la respuesta a incidentes. El pago nunca debe tratarse como una solución rápida. Las organizaciones que han pagado una vez parecen seguir siendo objetivos atractivos, lo que significa que los planes de recuperación deben incluir un endurecimiento posterior al incidente más robusto, no solo una transferencia bancaria y un suspiro de alivio.

Medidas prácticas

Unos pocos pasos prácticos pueden ayudar a reducir tanto la probabilidad de un ataque como sus consecuencias si se produce:

  • Mantenga copias de seguridad fuera de línea y probadas para que las demandas de cifrado pierdan su ventaja.
  • Trate cualquier incidente de ransomware como una violación de datos por defecto, ya que los atacantes con frecuencia extraen datos antes de cifrarlos.
  • Consulte a las fuerzas de seguridad y a organismos como el NCSC en una fase temprana, en lugar de pasar directamente al pago o la negociación.
  • Si interviene un negociador, examínelo cuidadosamente teniendo en cuenta los riesgos legales que ponen de manifiesto los recientes procesamientos judiciales.
  • Comuníquese de forma transparente con los clientes o empleados afectados, independientemente de que se haya pagado un rescate.

El ransomware no va a desaparecer, y la tentación de pagar para obtener una resolución rápida seguirá siendo fuerte. Pero estos nuevos datos dan más peso a lo que los reguladores llevan años diciendo: pagar un rescate rara vez es el final de la historia, y puede que sea solo el comienzo de una segunda.