Por qué pagar un rescate no pone fin al problema

Cuando el ransomware bloquea los sistemas de una empresa, el instinto de pagar y seguir adelante es comprensible. Una nueva encuesta de la firma de seguridad Proofpoint, que abarca 953 empresas, sugiere que ese instinto puede resultar contraproducente. Según los hallazgos, las organizaciones que pagan un rescate suelen convertirse en objetivos más atractivos, no menos. Una vez que un grupo criminal confirma que una víctima está dispuesta a pagar, esa misma víctima puede quedar marcada para un ataque posterior.

Esto es importante porque la lógica detrás de los pagos de rescate siempre se ha basado en un simple intercambio: dinero a cambio de dar el caso por cerrado. Los directivos aprueban los pagos creyendo que así se restauran los sistemas, se eliminan los datos robados, se limitan las interrupciones del negocio y se protege a los clientes. La investigación de Proofpoint indica que este intercambio es mucho menos fiable de lo que la mayoría de las organizaciones suponen. Pagar no necesariamente pone fin a la relación con el atacante; en algunos casos, inicia una nueva.

La lógica empresarial detrás de una segunda exigencia

Los grupos de ransomware operan como negocios, y los negocios buscan clientes recurrentes. Una empresa que ya ha demostrado que pagará es, desde la perspectiva criminal, una fuente de ingresos probada. Tiene capital de trabajo, un equipo directivo dispuesto a autorizar el pago rápidamente y, presumiblemente, aún presenta las vulnerabilidades que permitieron que el primer ataque tuviera éxito.

Ese último punto es crítico. Pagar un rescate resuelve la crisis inmediata, pero rara vez corrige las brechas de seguridad subyacentes que permitieron la entrada de los atacantes. Si el mismo vector de phishing, el software sin parches o el punto de acceso remoto expuesto siguen presentes después del incidente, nada impide que el mismo grupo, o un afiliado que compró acceso a los mismos datos de la víctima, lo intente de nuevo. Nuestra cobertura anterior sobre la investigación de Proofpoint acerca de quienes pagan rescates profundiza en la frecuencia con que ocurren estos incidentes repetidos y por qué el pago en sí mismo puede funcionar como una señal para otros grupos criminales de que el objetivo es vulnerable.

Reducir el riesgo de extorsión antes de que comience

La buena noticia es que las organizaciones no están indefensas. Las medidas que reducen el riesgo del ransomware son en gran medida las mismas que los equipos de seguridad han recomendado durante años, solo que ahora cobran más urgencia a la luz de estos datos.

Mantener copias de seguridad sin conexión y probadas sigue siendo la forma más eficaz de evitar tener que enfrentarse a la decisión de pagar o no pagar. Si los sistemas pueden restaurarse desde una copia de seguridad sin necesidad de la clave de descifrado del atacante, toda la premisa de la extorsión se desmorona. La segmentación de la red también es importante: limitar hasta dónde puede moverse un atacante una vez dentro reduce el radio de afectación de cualquier compromiso individual, lo que a su vez reduce la ventaja del atacante durante una negociación de rescate.

La supervisión continua de amenazas y la detección en endpoints ayudan a detectar intrusiones antes de que escalen a eventos de cifrado completo. Muchos ataques de ransomware se desarrollan a lo largo de días o semanas entre el acceso inicial y la carga útil final; esa ventana es una oportunidad para intervenir. Las prácticas de acceso remoto seguro, incluido el uso de una VPN para conexiones cifradas y la autenticación multifactor para cualquier persona que inicie sesión desde fuera de la red corporativa, cierran uno de los puntos de entrada más comunes que explotan los delincuentes. Ninguna de estas medidas garantiza inmunidad, pero en conjunto reducen las probabilidades de que una empresa termine frente a una nota de rescate.

Lo que esto significa para usted

Si su organización alguna vez es víctima de ransomware, los hallazgos de Proofpoint sugieren que no se debe tratar el pago como una solución definitiva. Antes de autorizar cualquier pago, vale la pena preguntarse si la vulnerabilidad subyacente ha sido identificada y cerrada, porque si no es así, el pago podría ser simplemente la primera cuota de una relación continua con el atacante.

Este también es un momento para involucrar a las fuerzas del orden de forma temprana, en lugar de como algo secundario. Las agencias que rastrean grupos de ransomware a veces pueden ofrecer herramientas de descifrado, inteligencia de amenazas sobre el comportamiento de una banda específica o contexto sobre si un grupo tiene un historial de extorsiones repetidas. Recurrir a expertos en respuesta a incidentes externos antes de tomar la decisión de pagar, en lugar de después, le da a una organización una visión más clara de sus opciones reales.

Para las empresas más pequeñas sin equipos de seguridad dedicados, el cálculo es similar pero los recursos son más limitados. Esto hace que la prevención sea aún más importante: prácticas básicas como copias de seguridad periódicas, software actualizado y herramientas de acceso remoto seguro logran más para reducir el riesgo de lo que cualquier decisión posterior al incidente jamás podrá.

Puntos clave

La lección principal de esta encuesta de Proofpoint es sencilla: un pago de rescate compra tiempo, no necesariamente seguridad. Las organizaciones deben tratar cada incidente de ransomware como evidencia de una brecha de seguridad que necesita ser corregida, independientemente de si se realiza un pago. Entre los pasos prácticos que vale la pena priorizar se incluyen mantener copias de seguridad sin conexión, segmentar las redes, monitorear en busca de signos tempranos de intrusión y proteger el acceso remoto con autenticación robusta y conexiones cifradas.

Lo más importante es que cualquier decisión de pago se tome junto con un plan de remediación serio, no en lugar de uno. Las bandas de ransomware manejan un negocio, y los datos sugieren que saben exactamente a qué clientes vale la pena facturarles dos veces.