Si su equipo de seguridad respiró un poco más tranquilo el año pasado cuando los titulares sobre ransomware parecían disminuir, nuevas investigaciones sugieren que ese alivio pudo haber sido prematuro. Según informes de ZDNET, la aparente disminución de la actividad del ransomware no fue en absoluto una retirada de los ciberdelincuentes. Fue una reorganización, con atacantes cambiando objetivos, métodos y estrategias de monetización en lugar de retirarse. Para las empresas que están construyendo estrategias de defensa contra ransomware basadas en el panorama de amenazas del año pasado, esto es una importante llamada de atención.
Por qué la 'disminución' del ransomware fue un espejismo
A primera vista, una caída en los incidentes de ransomware reportados parece una buena noticia. Pero los investigadores señalan que las cifras brutas de incidentes pueden ser engañosas. Algunos grupos de ransomware cambian de marca, se dividen o guardan silencio solo para reaparecer con nuevos nombres. Otros pasan de ataques de alto volumen y bajo valor a operaciones más focalizadas contra organizaciones que pueden pagar rescates más grandes. Cuando se mide el éxito únicamente por el número de titulares, se pasa por alto el cambio subyacente en la estrategia. La amenaza no se redujo, cambió de forma, y esa distinción importa enormemente para la forma en que las empresas asignan presupuestos de seguridad y atención.
Cómo los grupos de ransomware están reorganizando sus tácticas
La reorganización se manifiesta de varias maneras. Los atacantes combinan cada vez más el robo de datos con el cifrado, de modo que incluso una empresa con copias de seguridad sólidas aún enfrenta la amenaza de que se filtren datos confidenciales si se niega a pagar. Este modelo de doble extorsión es exactamente lo que ocurrió cuando Stadler Rail rechazó una demanda de rescate de 12,3 millones de dólares de un grupo que se autodenomina Everest, apostando a que su resiliencia superaba el riesgo de la exposición de datos. Otros grupos se están volviendo más creativos a nivel técnico. La cepa de ransomware GodDamn que abusa de un controlador firmado para desactivar herramientas antivirus muestra cómo los atacantes están encontrando formas de eludir las defensas que las empresas asumen que funcionan en segundo plano. Y el ransomware no se limita a objetivos obvios como finanzas o salud. El ataque a Cropwise, la plataforma de agricultura de precisión vinculada al Grupo Syngenta, reivindicado por un grupo llamado ShadowByt3$, es un recordatorio de que cualquier industria que posea datos operativos valiosos es un blanco potencial.
Las 4 defensas fundamentales que las empresas necesitan ahora
Ante esta reorganización, los investigadores de seguridad señalan un puñado de defensas fundamentales que siguen siendo esenciales sin importar cómo cambie el panorama de amenazas. Primero, copias de seguridad resilientes y probadas, aisladas de la red principal, para que el cifrado de los sistemas de producción no comprometa también su ruta de recuperación. Segundo, controles sólidos de identidad y acceso, incluida la autenticación multifactor, dado que las credenciales robadas o débiles siguen siendo uno de los puntos de entrada más comunes para los atacantes. Tercero, aplicación oportuna de parches y gestión de vulnerabilidades, cerrando las brechas que permiten a los atacantes infiltrarse antes de que los defensores siquiera lo noten. Cuarto, segmentación de la red, que limita hasta dónde puede moverse un atacante una vez que está dentro, conteniendo el daño en lugar de permitir que un punto de apoyo inicial se convierta en un compromiso total de la red.
Ninguna de estas ideas es nueva, pero la reorganización de las tácticas de ransomware es un recordatorio de que omitir cualquiera de ellas crea una brecha que los atacantes buscan activamente explotar.
Dónde encajan las VPN y el acceso cifrado en la resiliencia frente al ransomware
El acceso remoto seguro juega un papel silencioso pero crucial en este conjunto de defensas. Las VPN y otras herramientas de conexión cifrada ayudan a garantizar que los datos que se mueven entre empleados remotos, sucursales y sistemas centrales no estén expuestos a interceptación, y pueden configurarse para aplicar el tipo de acceso segmentado que limita el movimiento lateral si las credenciales se ven comprometidas. Combinar una VPN con políticas de acceso estrictas significa que, incluso si un atacante consigue un punto de apoyo, no obtiene automáticamente un mapa de toda la red. Esto es especialmente relevante ahora que los grupos de ransomware apuntan cada vez más a organizaciones más pequeñas y agencias que pueden no contar con equipos de seguridad dedicados, como se vio en el caso de una agencia del gobierno de EE. UU. que pagó aproximadamente 1 millón de dólares a un grupo llamado Kairos tras el robo de 2 TB de datos. El acceso cifrado y segmentado no detendrá todos los ataques, pero aumenta el costo y la complejidad para los atacantes, lo que a menudo es suficiente para que busquen un objetivo más fácil.
Qué significa esto para usted
Si dirige TI o seguridad para una pequeña o mediana empresa, la conclusión clave no es el pánico, sino la recalibración. No asuma que los titulares más ligeros del año pasado significan que la amenaza ha pasado. Los grupos de ransomware son negocios adaptativos por derecho propio, y responden a lo que funciona. Eso significa que sus defensas deben ser igualmente adaptables, revisadas regularmente en lugar de tratadas como una lista de verificación única.
Recomendaciones prácticas
Audite su estrategia de copias de seguridad y confirme que las copias estén aisladas y se prueben regularmente para la restauración, no solo para la creación. Revise quién tiene acceso a qué, y refuerce la autenticación multifactor en todas las cuentas remotas y privilegiadas. Manténgase al día con los parches, especialmente en sistemas expuestos a Internet y en la propia infraestructura de VPN. Por último, evalúe si la segmentación de su red y la configuración de acceso remoto seguro realmente contendrían a un atacante que haya superado su primera línea de defensa, en lugar de asumir que nunca se pondrá a prueba. Las organizaciones que tratan las estrategias de defensa contra ransomware a nivel empresarial como una disciplina continua, no como un proyecto terminado, son las que mejor posicionadas están para resistir cualquiera que sea la forma que adopte la amenaza a continuación.
