Lo que muestran los nuevos datos sobre pagos de ransomware

Un nuevo informe de la firma de seguridad Proofpoint, publicado el miércoles, ofrece una confirmación incómoda para cualquiera que haya considerado pagar a una banda de ransomware para que un problema desaparezca: una proporción significativa de las víctimas que pagan terminan enfrentando una segunda demanda de extorsión. El informe refuerza algo que investigadores de seguridad y equipos de respuesta a incidentes llevan años defendiendo: que las negociaciones con ransomware no se realizan de buena fe y que pagar no garantiza que el atacante vaya a retirarse realmente.

Los datos de Proofpoint añaden cifras concretas a un patrón que los defensores sospechaban desde hace tiempo a partir de casos anecdóticos. Las organizaciones que ceden a una demanda de rescate no están comprando un cierre definitivo. A menudo están comprando una segunda ronda de presión para que el mismo atacante, o un grupo completamente distinto, vuelva a pedir más.

Por qué pagar un rescate invita a un segundo ataque

La lógica detrás de la extorsión repetida es sencilla si se piensa desde la perspectiva del atacante. El modelo de negocio de un grupo de ransomware depende por completo de que las víctimas crean que el pago pone fin a la crisis. Pero no hay ningún contrato legal, ningún mecanismo de ejecución y ningún riesgo reputacional lo bastante fuerte como para garantizar la palabra de un atacante una vez que el dinero se ha movido. Si una víctima ya ha demostrado voluntad y capacidad de pagar, se convierte en un objetivo más atractivo, no en una cuenta saldada.

Esta es una de las razones por las que los investigadores de seguridad describen la negociación con ransomware como algo fundamentalmente distinto a una transacción comercial normal. No hay ningún incentivo para que la otra parte se marche de verdad. Un grupo criminal que ha conseguido extraer un pago una vez tiene toda la motivación para probar si la misma organización pagará de nuevo, ya sea volviendo a cifrar sistemas, amenazando con filtrar por segunda vez datos robados previamente o simplemente reabriendo una nueva demanda vinculada a la brecha original.

Esta dinámica está estrechamente relacionada con lo que el sector denomina doble extorsión o multiextorsión, en la que los atacantes no solo cifran archivos, sino que también roban datos de antemano, lo que les proporciona múltiples puntos de presión para exprimir a la víctima incluso después de haber cobrado el rescate. Los hallazgos de Proofpoint sugieren que, incluso después de que esa campaña inicial de presión tenga éxito, el pozo no se seca necesariamente.

Cómo las brechas no detectadas facilitan la reextorsión

Una de las razones por las que la extorsión repetida funciona tan bien para los atacantes es que muchas víctimas no comprenden del todo el alcance de una brecha en el momento en que deciden pagar. Si una organización descubre archivos cifrados y negocia un rescate sin identificar antes exactamente qué datos fueron accedidos, copiados o dejados como puerta trasera, ha aceptado un precio sin saber lo que realmente está comprando a cambio.

Esta brecha entre la detección y la respuesta es un tema recurrente en la investigación sobre ransomware. Como se explicaba en un informe relacionado sobre fallos en la detección de ransomware, casi la mitad de las víctimas de ransomware pierden datos antes de darse cuenta de que el ataque está en marcha. Esa demora importa enormemente en este contexto: si una víctima no sabe que un atacante extrajo datos semanas antes de desplegar el ransomware, pagar para desbloquear archivos no soluciona el problema de la información robada que permanece en un servidor criminal, la cual puede ser monetizada de nuevo con una segunda demanda, vendida por separado o utilizada para una nueva amenaza de filtración en el futuro.

Medidas defensivas: copias de seguridad, monitoreo y planificación de respuesta a incidentes

La conclusión práctica del informe de Proofpoint no es que el pago de rescates nunca deba hacerse bajo ninguna circunstancia. Es que el pago nunca debe considerarse una resolución garantizada. Las organizaciones, y los particulares que gestionan redes o negocios más pequeños, salen mejor parados si invierten por adelantado en prevención y detección, en lugar de hacerlo más tarde en la negociación.

Eso implica mantener copias de seguridad periódicas, probadas y fuera de línea, para que los archivos cifrados puedan restaurarse sin pagar a nadie. Implica invertir en herramientas de monitoreo capaces de detectar accesos no autorizados a los datos antes de que los atacantes tengan tiempo de extraer grandes volúmenes de información confidencial. Y supone disponer de un plan de respuesta a incidentes antes de que ocurra un ataque, que incluya una investigación forense para determinar exactamente qué fue accedido, no solo si los archivos fueron cifrados.

Lo que esto significa para ti

Para los propietarios de pequeñas empresas y los particulares, el mensaje de esta investigación es claro: no asumas que pagar un rescate es la solución rápida y limpia que parece en el momento. Los atacantes que ya han demostrado estar dispuestos a extorsionarte una vez tienen tanto los medios como el motivo para hacerlo de nuevo. La verdadera defensa contra los ataques repetidos de extorsión con ransomware no es una mejor estrategia de negociación, sino reducir las probabilidades de que te encuentres en esa posición desde el principio, mediante copias de seguridad sólidas, una detección más rápida y un plan de respuesta claro.

Medidas prácticas

  • Trata el pago de un rescate como último recurso, no como una solución garantizada, ya que los datos de Proofpoint muestran que los atacantes vuelven con frecuencia con nuevas exigencias.
  • Prioriza las copias de seguridad fuera de línea y probadas para que el cifrado por sí solo no pueda forzar una decisión de pago.
  • Invierte en herramientas de detección que identifiquen la extracción de datos de forma temprana, ya que una detección tardía da a los atacantes más poder para la extorsión repetida.
  • Elabora un plan de respuesta a incidentes antes de que ocurra un ataque, que incluya pasos forenses para determinar el alcance completo de cualquier brecha.
  • Asume que cualquier dato robado antes del pago de un rescate seguirá representando un riesgo futuro, independientemente de lo que prometan los atacantes.