Una nueva variante de un viejo manual de extorsión

Las bandas de ransomware han dependido durante mucho tiempo del miedo y la urgencia para presionar a las víctimas a pagar. Ahora, según informes sobre un esquema denominado 'Ransom Busters', al menos un afiliado de ransomware ha encontrado un nuevo ángulo: hacerse pasar por las mismas personas que se supone que deben ayudar a las víctimas a recuperarse.

En lugar de simplemente exigir el pago y desaparecer tras el ataque, este actor supuestamente se acerca a las víctimas con ofertas de asistencia, presentándose como un servicio de recuperación de incidentes. El detalle es que esta 'ayuda' no es neutral. Parece diseñada para desviar los pagos de rescate fuera de los canales legítimos y de vuelta a los bolsillos del mismo ecosistema criminal que causó la brecha en primer lugar.

Este es un cambio significativo en las tácticas. Las operaciones tradicionales de ransomware se construyen en torno a una transacción simple, aunque brutal: cifrar datos, exigir pago, proporcionar una clave de descifrado (quizás). Al insertar una capa falsa de recuperación en ese proceso, los atacantes pueden manipular a víctimas desesperadas dos veces: una durante la brecha inicial, y otra mientras intentan encontrar una salida.

Por qué las víctimas son especialmente vulnerables a esta artimaña

Las organizaciones afectadas por ransomware a menudo operan en modo de crisis. Los sistemas están caídos, los ejecutivos están bajo presión y quienes toman decisiones buscan desesperadamente cualquier camino creíble para restaurar las operaciones. Ese entorno es exactamente lo que hace efectivo un 'servicio de recuperación' falso. Las víctimas no necesariamente examinan cada oferta de ayuda con ojo escéptico; buscan una resolución rápida.

Esta táctica también juega con una tendencia más amplia de actores de ransomware que difuminan la línea entre atacante y ayudante. Hace eco de otros casos recientes donde los actores de amenazas se han hecho pasar por roles de confianza para obtener acceso o influencia, como el Silent Ransom Group haciéndose pasar físicamente por personal de TI en bufetes de abogados para manipular a los empleados desde dentro. Ya sea que la suplantación ocurra en persona o a través de una marca falsa de recuperación, el objetivo es el mismo: explotar la confianza en el momento exacto en que una organización está menos equipada para verificar con quién está realmente tratando.

Los grupos de ransomware también han demostrado que están dispuestos a atacar una amplia gama de sectores cuando se presenta la oportunidad, como se vio cuando el grupo SpaceBears atacó al proveedor de telecomunicaciones francés Stellar. Tácticas como el esquema 'Ransom Busters' sugieren que incluso después de un ataque inicial, las víctimas de todas las industrias no pueden asumir que el peligro ha pasado una vez que comienzan las negociaciones.

Las consecuencias de privacidad de los servicios falsos de recuperación

Las implicaciones de privacidad aquí van más allá del ángulo financiero. Cuando una víctima interactúa con lo que cree que es un servicio legítimo de recuperación, puede compartir detalles sensibles sobre su red, su exposición de datos, su toma de decisiones interna e incluso su disposición a pagar. Si ese 'servicio' está realmente controlado por, o afiliado con, el atacante, toda esa información fluye directamente de vuelta a los responsables de la brecha.

Eso crea un ciclo de retroalimentación que beneficia al atacante en cada etapa: recibe el pago, obtiene inteligencia sobre cómo está respondiendo la víctima, e incluso puede tener una segunda oportunidad de extraer dinero bajo la apariencia de asistencia legítima. Para cualquier organización que ya esté lidiando con datos comprometidos, este tipo de esquema multiplica la exposición en lugar de resolverla.

Qué significa esto para ti

Si tu organización es víctima de ransomware alguna vez, la presión por encontrar una solución rápida puede ser intensa, pero este esquema es un recordatorio de que no toda oferta de ayuda durante una crisis es genuina. Las empresas de recuperación, negociadores y consultores de ciberseguridad siempre deben verificarse de forma independiente, idealmente a través de referencias, reputaciones establecidas o tu proveedor de seguro cibernético, en lugar de mediante contactos que aparecen sin previo aviso justo después de un ataque.

También vale la pena recordar que las empresas legítimas de respuesta a incidentes no suelen aparecer de la nada con ofertas no solicitadas inmediatamente después de una brecha. Cualquier contacto inesperado que ofrezca ayudar con la negociación del rescate o la recuperación de datos merece un escrutinio adicional antes de que cualquier información, o dinero, cambie de manos.

Conclusiones prácticas

  • Verifica cualquier servicio de recuperación de incidentes o negociación a través de canales confiables e independientes antes de interactuar, especialmente si se comunican contigo primero.
  • Involucra a las autoridades y a tu proveedor de seguro cibernético desde el principio; pueden ayudar a distinguir entre socios legítimos de recuperación y actores oportunistas.
  • Evita compartir información detallada sobre tu brecha, sistemas o intenciones de pago con cualquier parte cuyas credenciales no hayan sido confirmadas.
  • Trata las ofertas de ayuda no solicitadas después de una brecha con el mismo escepticismo que aplicarías a la nota de rescate original.

Esquemas como 'Ransom Busters' demuestran que la extorsión por ransomware no siempre termina cuando aparece la nota de rescate. Mantener la cautela sobre en quién confías después de un ataque es tan importante como defenderse de la brecha inicial.