Cuando aparece una nota de rescate en las pantallas de una empresa, el instinto suele ser tratarlo como una emergencia de TI: aislar la red, llamar al equipo de seguridad, evaluar los daños en los servidores. Pero un creciente corpus de orientación, detallado recientemente por Cyber Daily en su desglose de la toma de decisiones ante la extorsión cibernética, deja claro que pagar o rechazar un rescate va mucho más allá de una decisión técnica. Es una decisión legal, financiera y, sobre todo, de privacidad que afecta a cada cliente, empleado y socio cuyos datos residen en los sistemas vulnerados.

El campo minado legal detrás de la decisión de pagar un rescate

Uno de los aspectos que más se pasan por alto en la extorsión cibernética es que pagar a los delincuentes no siempre es legalmente sencillo. Dependiendo de quién esté detrás del ataque, el pago de un rescate puede exponer a la organización que paga al riesgo de sanciones, en particular cuando el actor de la amenaza o su infraestructura están vinculados a una entidad o jurisdicción sancionada. Las organizaciones que se apresuran a pagar sin una revisión legal pueden enfrentarse a un escrutinio normativo además de la propia brecha. Tal como describimos en nuestra cobertura anterior sobre cómo los pagos por ransomware conllevan el riesgo de sanciones de la OFAC, la decisión de pagar no se reduce a si la empresa puede permitirse la exigencia. Se trata de si el pago en sí mismo es legal y de si la organización ha realizado la diligencia debida para averiguarlo.

Esta es precisamente la razón por la que la respuesta a la extorsión cibernética no puede recaer únicamente en el departamento de TI. Los asesores legales, los responsables de cumplimiento normativo y, a menudo, las fuerzas del orden deben formar parte de la conversación desde el primer momento posible, no ser convocados después de que el pago ya se haya transferido.

Por qué esto es un problema de privacidad, no solo de TI

Antes, el ransomware consistía principalmente en bloquear archivos. Eso ha cambiado. Los grupos de extorsión modernos roban cada vez más los datos antes de cifrar nada, y luego utilizan la amenaza de exposición como palanca. Este cambio convierte cada incidente de ransomware en un incidente de privacidad de datos, independientemente de si los sistemas se restauran finalmente.

Hemos visto esta evolución acelerarse en tiempo real. Algunos grupos han ido más allá de amenazar directamente a la organización víctima y ahora amenazan con contactar a los propios clientes de la empresa, ejerciendo presión al dirigirse a las personas cuya información personal está realmente en juego. Esta táctica cambia por completo el cálculo: ni siquiera el pago completo del rescate garantiza que los datos robados de los clientes no se filtren, se vendan o se utilicen para nuevas extorsiones.

Las organizaciones que sopesan una exigencia de rescate deben preguntarse no solo "¿podemos recuperar nuestros sistemas?", sino "¿qué sucede con los datos personales de todas las personas en nuestros sistemas, sin importar lo que decidamos?". Un pago de rescate puede comprar una clave de descifrado. No borra el hecho de que los datos sensibles quedaron expuestos a delincuentes en primer lugar.

Pagar no garantiza la seguridad

Incluso cuando las organizaciones pagan, no hay pruebas fiables de que eso ponga fin al problema. Una investigación de Proofpoint descubrió que una proporción significativa de las empresas que pagan un rescate se enfrentan a intentos de extorsión repetidos, a veces por parte de los mismos atacantes que vuelven para obtener un segundo pago. Estos datos socavan una de las justificaciones más comunes para pagar: la creencia de que así el problema desaparece.

Algunas organizaciones han optado por un camino completamente distinto. Stadler Rail, el fabricante de trenes suizo, se negó públicamente a pagar una demanda de rescate multimillonaria después de que los atacantes robaran datos a través de un proveedor externo, apostando a que el rechazo era menos arriesgado que legitimar la economía de la extorsión. Mientras tanto, el panorama del ransomware sigue cambiando; un resumen reciente de la industria que rastrea qué grupos dominan el entorno actual de amenazas muestra que pagar a una banda no reduce el riesgo global derivado de las docenas de otras que siguen activas.

Lo que esto significa para usted

Ya sea que dirija una pequeña empresa o gestione la seguridad de una gran corporación, la decisión de pagar o no pagar nunca debe tomarse de forma aislada por quien administra los servidores. Requiere una revisión legal para la exposición a sanciones y riesgos normativos, una evaluación de privacidad sobre exactamente a qué datos se accedió y una comprensión realista de que el pago no ofrece ninguna garantía contra futuras extorsiones o filtraciones. Para los consumidores de a pie, la conclusión es diferente pero relacionada: la seguridad de sus datos personales después de una brecha depende en gran medida de las decisiones que tomen empresas con las que quizá nunca interactúen directamente, razón por la cual entender cómo gestionan las organizaciones la extorsión cibernética es importante incluso si usted no es quien se enfrenta a la nota de rescate.

Conclusiones prácticas

Las organizaciones deben elaborar un plan de respuesta a incidentes antes de que ocurra un ataque, que incluya explícitamente al asesor legal y la evaluación de privacidad junto con la remediación técnica. Nunca trate la decisión de pagar un rescate como algo puramente financiero; los riesgos de sanciones y de cumplimiento normativo son reales y pueden agravar la brecha original. Asuma que cualquier dato sustraído puede estar ya comprometido independientemente del pago, y planifique las notificaciones a clientes y empleados en consecuencia. Por último, recuerde que la estrategia más segura a largo plazo contra la extorsión cibernética no es un pago rápido del rescate, sino defensas más sólidas que impidan que el intento de extorsión tenga éxito en primer lugar.