Encuesta de Proofpoint: Pagar a los grupos de ransomware suele ser contraproducente

Los pagos de ransomware rara vez eliminan la amenaza, según una encuesta

Una nueva encuesta de la empresa de seguridad Proofpoint está aportando cifras recientes a una advertencia que las fuerzas del orden repiten desde hace años: pagar a un grupo de ransomware rara vez soluciona el problema. Según la investigación, el 58 por ciento de las empresas encuestadas en el Reino Unido admitió haber pagado un rescate tras un ataque de ransomware. Pero los datos sugieren que esa decisión a menudo invita a más problemas en lugar de un cierre definitivo.

La encuesta reveló que aproximadamente el 22 por ciento de las organizaciones que pagaron un rescate fueron extorsionadas de nuevo por los mismos atacantes, a veces con pagos adicionales relacionados con los mismos datos robados. En algunos casos, las víctimas pagaron una vez para desbloquear sus sistemas y semanas o meses después volvieron a recibir amenazas de filtrar la misma información si no realizaban otro pago. Aún más preocupante, alrededor del 2 por ciento de las víctimas que pagaron nunca recuperó sus archivos, ya sea porque las herramientas de descifrado proporcionadas por los atacantes fallaron o porque los delincuentes nunca tuvieron intención de cumplir su promesa.

Este patrón coincide con lo que el FBI y Europol llevan años advirtiendo a las empresas: los pagos de rescate financian operaciones criminales, rara vez garantizan una resolución limpia y pueden señalar a una organización como un objetivo fácil dispuesto a pagar de nuevo.

Por qué los pagos de rescate invitan a ataques repetidos

La lógica detrás de la extorsión repetida es sencilla desde la perspectiva del delincuente. Una vez que una empresa ha demostrado que pagará para hacer desaparecer un problema, se convierte en un blanco conocido para los atacantes y, a menudo, para otros grupos criminales que compran y venden datos de víctimas en foros clandestinos. Pagar un rescate no significa necesariamente que los datos robados se eliminen. En muchos casos, las copias permanecen en la infraestructura de los atacantes, se comparten con grupos afiliados o se guardan discretamente como palanca para una segunda ronda de exigencias.

Esta es la tensión fundamental que subrayan los datos de Proofpoint: el alivio a corto plazo de pagar para restablecer las operaciones puede generar una responsabilidad a largo plazo. Los atacantes saben que una empresa bajo presión para reanudar su actividad, proteger la confianza de sus clientes y evitar el escrutinio regulatorio tiene más probabilidades de pagar de nuevo que de abandonar y aceptar las consecuencias de una filtración de datos. Ese cálculo es precisamente lo que alimenta la re-extorsión, y es la razón por la que los investigadores de seguridad siguen describiendo el pago de un rescate como una decisión que intercambia una crisis inmediata por una potencialmente mayor y recurrente. La cobertura de esta misma encuesta de Proofpoint sobre ataques repetidos de ransomware señaló que la estructura de incentivos para los atacantes solo se fortalece una vez que una víctima demuestra estar dispuesta a pagar.

Las consecuencias para la privacidad más allá del rescate

Si bien la cobertura del ransomware a menudo se centra en el tiempo de inactividad operativa, las implicaciones para la privacidad merecen la misma atención. Cuando una empresa paga un rescate para evitar la exposición de datos, está confiando efectivamente en que una empresa criminal cumplirá una promesa sin ninguna exigibilidad legal. Los registros de clientes, datos de empleados, detalles financieros e información de salud pueden permanecer expuestos a la reventa o filtración independientemente del pago. Para las personas cuyos datos se encuentran dentro de estos sistemas vulnerados, un pago de rescate no ofrece ninguna garantía real de que su información personal esté segura.

Esto es particularmente relevante para las organizaciones que manejan datos personales sensibles, donde una violación puede desencadenar obligaciones de notificación, sanciones regulatorias y un daño reputacional duradero mucho después de que se haya pagado cualquier rescate. Los hallazgos de la encuesta refuerzan que el ransomware no es solo un incidente de TI. Es un incidente de privacidad con consecuencias que pueden resurgir mucho después de que los titulares iniciales se desvanezcan.

Qué significa esto para usted

Si dirige una empresa o toma decisiones de TI y seguridad para una, la conclusión de esta encuesta es clara: pagar un rescate no es un camino garantizado hacia la resolución y puede aumentar su exposición a futuros ataques. Las decisiones tomadas en el pánico de un incidente activo deben sopesarse frente a la realidad de que los atacantes a menudo conservan los datos robados independientemente del pago, y que una disposición visible a pagar puede convertir a una organización en un objetivo recurrente.

Para los consumidores cotidianos, esto es un recordatorio de que las violaciones de datos vinculadas a ataques de ransomware pueden tener una cola más larga de lo que sugiere la cobertura informativa inicial. La información personal expuesta en un incidente puede reaparecer en filtraciones posteriores, incluso si la empresa afectada informó la situación como resuelta.

Puntos clave

• Casi seis de cada diez organizaciones del Reino Unido encuestadas pagaron un rescate tras un ataque, según los datos de Proofpoint.
• Alrededor del 22 por ciento de quienes pagaron fueron extorsionados de nuevo, a menudo utilizando los mismos datos robados.
• Un pequeño porcentaje de las víctimas que pagaron nunca recuperó el acceso a sus archivos.
• Organismos policiales como el FBI y Europol siguen recomendando no pagar las demandas de ransomware.
• Las empresas deberían invertir en planificación de respuesta a incidentes, copias de seguridad sin conexión y preparación para la notificación de violaciones en lugar de tratar el pago del rescate como una solución rápida.

El ransomware sigue siendo una amenaza persistente, pero esta encuesta añade peso a un mensaje que los profesionales de la seguridad han promovido durante años: pagar no compra tranquilidad. Tanto las organizaciones como los individuos se benefician más de la prevención, la preparación y el escepticismo hacia cualquier promesa hecha por actores criminales que retienen datos robados como rehenes.