Lo que muestran los nuevos datos sobre la reextorsión del ransomware

Nuevas cifras reportadas por Connor Jones en DataBreaches.Net confirman lo que los investigadores de seguridad sospechaban desde hace años: pagar a una banda de ransomware no termina con el calvario, a menudo solo marca el inicio de la segunda ronda. Según los datos de una encuesta citada en el informe, el 58 por ciento de las organizaciones británicas afectadas decidió pagar un rescate el año pasado. De las que pagaron, el 22 por ciento fue atacada de nuevo por el mismo grupo delictivo u otro diferente que exigió un segundo pago.

Eso significa que aproximadamente una de cada cinco organizaciones que tomó la difícil decisión de pagar no obtuvo nada duradero a cambio de su dinero. El ciclo de extorsión simplemente se reinició, a veces en cuestión de semanas. Este patrón de pagos de extorsión repetida de ransomware se está convirtiendo en una característica definitoria del panorama actual de amenazas, y está obligando a los equipos de seguridad y a los ejecutivos a replantearse todo el cálculo sobre si pagar es alguna vez una respuesta racional.

Por qué pagar una vez invita a un segundo ataque

La lógica detrás de la extorsión repetida es sencilla desde la perspectiva delictiva. Una vez que una organización demuestra que está dispuesta a pagar, se convierte en un objetivo marcado. Los operadores de ransomware mantienen registros de qué víctimas cedieron, con qué rapidez pagaron y cuánto estaban dispuestas a entregar. Esa información a menudo circula entre redes de afiliados y a veces se vende o comparte entre grupos delictivos que operan bajo un modelo de ransomware como servicio.

Una víctima que paga 500.000 dólares una vez ha señalado efectivamente que tiene tanto las reservas de efectivo como la tolerancia al riesgo para pagar de nuevo. Los atacantes saben que una segunda intrusión, incluso una menos sofisticada, tiene buenas posibilidades de éxito si las vulnerabilidades subyacentes que permitieron la primera brecha nunca se remediaron por completo. En muchos casos de doble y triple extorsión, los datos robados ni siquiera se eliminan después del pago, a pesar de las promesas en contrario, dejando la puerta abierta para una demanda posterior basada en la amenaza de publicar esa misma información robada.

Precisamente por eso las agencias de aplicación de la ley, incluido el FBI, han aconsejado sistemáticamente no pagar los rescates. El pago no garantiza la recuperación de datos, no garantiza la eliminación de los archivos robados y, como muestran estos nuevos datos, no garantiza que los atacantes se mantengan alejados.

Defensas proactivas que reducen el riesgo de ransomware

Si pagar no resuelve el problema de manera confiable, el camino más sostenible es reducir las probabilidades de una brecha exitosa en primer lugar. Varias capas defensivas aparecen constantemente en los hallazgos de respuesta a incidentes como la diferencia entre un incidente contenido y uno catastrófico.

La segmentación de red limita hasta dónde puede moverse un atacante una vez que obtiene un punto de apoyo inicial. En lugar de una red plana donde una sola credencial comprometida abre el acceso a todo, los entornos segmentados obligan a los atacantes a luchar por cada centímetro adicional, dando tiempo a los defensores para detectar y responder.

Los controles de acceso de confianza cero asumen que ningún usuario o dispositivo es automáticamente confiable, incluso dentro del perímetro corporativo. Cada solicitud de acceso se verifica, lo que dificulta mucho que las credenciales robadas por sí solas desbloqueen sistemas críticos.

Las copias de seguridad confiables, probadas y fuera de línea siguen siendo una de las defensas más eficaces disponibles contra el ransomware. Los archivos cifrados dejan de ser un elemento de presión cuando una organización puede restaurar sus operaciones a partir de copias de seguridad limpias sin negociar con nadie. La palabra clave es probadas: las copias de seguridad que no se han verificado mediante ejercicios reales de restauración suelen fallar justo cuando más se necesitan.

La autenticación multifactor, la aplicación oportuna de parches a los sistemas expuestos a Internet y la supervisión continua de movimientos laterales inusuales completan la línea base que separa a las organizaciones que se recuperan rápidamente de aquellas que terminan enfrentando una segunda demanda de extorsión.

Lo que las organizaciones deberían hacer en lugar de pagar

Cuando ocurre un incidente de ransomware, el instinto de pagar rápidamente y hacer que el problema desaparezca es comprensible, especialmente bajo la presión de clientes, reguladores o una junta directiva que exige una resolución rápida. Pero los datos de extorsión repetida dejan claro que el pago no es una estrategia de salida fiable. Las organizaciones se benefician más si involucran a las fuerzas del orden desde el principio, contratan a profesionales de respuesta a incidentes que puedan evaluar el alcance real de la exposición de datos y son transparentes con las partes interesadas afectadas, en lugar de asumir que un pago silencioso hará que el problema desaparezca.

Lo que esto significa para usted

Ya sea que gestione la TI de una pequeña empresa o supervise la política de seguridad en una organización más grande, estos datos son una señal clara para reasignar prioridades. El dinero destinado a fondos de contingencia para rescates se gasta mucho mejor en proyectos de segmentación, implantación de confianza cero e infraestructura de copias de seguridad que se pruebe con regularidad. Las pólizas de ciberseguro y los contratos de respuesta a incidentes también deben revisarse para asegurarse de que enfatizan la prevención y la capacidad de recuperación en lugar de simplemente cubrir un pago.

Para las personas, la conclusión es similar a menor escala: contraseñas seguras y únicas, autenticación multifactor y copias de seguridad periódicas de los dispositivos personales y familiares reducen la probabilidad de que una sola infección de ransomware se convierta en una pesadilla repetida.

Conclusiones prácticas

  • Trate el pago de rescate como último recurso, no como un primer plan de respuesta; los datos muestran que a menudo no logra poner fin a la amenaza.
  • Invierta en segmentación de red para que una sola cuenta comprometida no pueda exponer todo un entorno.
  • Adopte los principios de confianza cero para el acceso interno y remoto, verificando cada solicitud en lugar de confiar únicamente en la ubicación de red.
  • Mantenga copias de seguridad fuera de línea y probadas regularmente para que la recuperación no dependa de negociar con delincuentes.
  • Elabore un plan de respuesta a incidentes ahora, antes de que ocurra un ataque, para que las decisiones no se tomen bajo el pánico y la presión.

El aumento de los pagos por extorsión repetida de ransomware es un argumento sólido para desviar los recursos de la negociación reactiva hacia la defensa proactiva. Las organizaciones que realicen ese cambio ahora estarán mucho mejor posicionadas que aquellas que todavía esperan que un solo pago haga desaparecer el problema.