Grupo de ransomware detrás de las brechas en ANC, SAA y Pick n Pay

Un único grupo de ransomware ha logrado violar la seguridad de algunas de las instituciones más reconocidas de Sudáfrica, incluyendo al Congreso Nacional Africano (ANC), Anglo American, Mediclinic, South African Airways (SAA) y Pick n Pay. El hilo conductor de estos incidentes es el ransomware de doble extorsión, una táctica que se ha convertido en el manual de operaciones predeterminado para los ciberdelincuentes que apuntan a grandes organizaciones en Sudáfrica y más allá.

Lo que hace notable esta cadena de violaciones no es solo el tamaño o la prominencia de las víctimas, sino que un único actor de amenazas haya podido infiltrarse repetidamente en sectores muy distintos: un partido político, un gigante minero, un proveedor de atención médica privada, una aerolínea nacional y un gran minorista. Ese abanico dice mucho sobre cómo operan hoy los grupos de ransomware y por qué el ransomware de doble extorsión en Sudáfrica se ha convertido en un problema tan persistente para las organizaciones que poseen datos de clientes, pacientes o ciudadanos.

¿Qué sucedió? El grupo de ransomware detrás de las brechas en ANC, SAA y Pick n Pay

Según los informes, la misma amenaza de ransomware ha sido vinculada a intrusiones en el ANC, Anglo American, Mediclinic, SAA y Pick n Pay. En lugar de apuntar a una sola industria o tipo de organización, este grupo ha lanzado una red amplia sobre organismos cercanos al gobierno, gigantes corporativos, proveedores de atención médica y minoristas orientados al consumidor. Esa amplitud sugiere que el grupo es oportunista, atacando cualquier red que pueda comprometer en lugar de ceñirse a un sector o motivo específico.

Cada una de estas organizaciones posee categorías de datos distintas pero igualmente sensibles. El ANC tiene información política y de membresía. Anglo American, como empresa minera global, tiene datos corporativos y operativos. Mediclinic tiene registros de salud de pacientes. SAA tiene datos de pasajeros y viajes. Pick n Pay tiene datos de fidelización de clientes y transacciones. El hecho de que un solo grupo haya podido abarcar todos estos entornos diferentes subraya que los operadores de ransomware hoy no solo buscan un tipo de botín; buscan influencia, donde sea que puedan encontrarla.

Cómo se diferencia el ransomware de doble extorsión de los ataques tradicionales

El ransomware tradicional era relativamente simple: los atacantes cifraban los archivos de la víctima y exigían un pago a cambio de una clave de descifrado. Con el tiempo, las organizaciones mejoraron su defensa contra este modelo manteniendo copias de seguridad fuera de línea, lo que significaba que podían restaurar sus sistemas sin tener que pagar el rescate.

Los grupos de ransomware se adaptaron. El ransomware de doble extorsión añade una segunda capa de presión. Antes de cifrar los sistemas de la víctima, los atacantes primero copian o exfiltran silenciosamente los datos confidenciales de la red. Una vez que se activa el cifrado y se entrega la demanda de rescate, la víctima se enfrenta a dos amenazas distintas: pagar para que los sistemas vuelvan a estar en línea, y pagar de nuevo (o además) para evitar que los datos robados se publiquen o vendan en línea.

Este enfoque neutraliza la defensa de las copias de seguridad en la que confían muchas organizaciones. Incluso si una empresa puede restaurar sus sistemas a partir de copias de seguridad sin pagar un rescate, aún debe lidiar con el hecho de que sus datos, ya sean registros financieros, información de salud o bases de datos de clientes, están en manos de delincuentes que amenazan con filtrarlos. Precisamente por eso la doble extorsión se ha convertido en la estrategia de ransomware dominante: da a los atacantes un segundo punto de influencia incluso cuando el primero falla.

Por qué esto es importante si eres cliente de estas organizaciones

Si eres miembro del ANC, paciente de Mediclinic, viajero frecuente de SAA, cliente de Smart Shopper de Pick n Pay o estás vinculado con Anglo American de alguna manera, este tipo de violación no es solo un problema corporativo abstracto. Es un riesgo directo para tu información personal. Los ataques de doble extorsión apuntan específicamente al tipo de datos que tienen valor más allá de la propia organización: nombres, datos de contacto, números de identificación, información financiera, registros de salud y datos de programas de fidelización.

Cuando esos datos caen en manos de un grupo de ransomware, no necesariamente se mantienen contenidos. Los registros robados en filtraciones como estas suelen publicarse, venderse o circular en foros criminales, a veces mucho después de que el incidente inicial desaparezca de los titulares. La magnitud de la exposición puede ser enorme. Para hacerse una idea de lo grandes que pueden ser estos efectos secundarios, la filtración de datos en México que expuso 195 millones de identidades muestra hasta qué punto puede llegar una sola intrusión a gran escala una vez que los datos de identidad robados comienzan a circular.

A diferencia de las campañas cibernéticas vinculadas a Estados, que a menudo se centran en el espionaje o la disrupción de infraestructuras, como se vio en los ataques patrocinados por Estados informados en Singapur, los grupos de ransomware de doble extorsión tienen motivaciones económicas. Eso significa que los datos que te roban se tratan como una mercancía, algo para monetizar mediante pagos de rescate, reventa o filtraciones públicas diseñadas para presionar a la organización víctima.

Pasos prácticos para proteger tus datos tras una filtración de terceros

No puedes controlar si una organización con la que haces negocios sufre una violación de seguridad, pero sí puedes controlar cómo respondes y qué tan expuesto permaneces después.

• Verifica si tu información formó parte de alguna notificación de violación de datos del ANC, Anglo American, Mediclinic, SAA o Pick n Pay, y sigue las indicaciones específicas que proporcionen.
• Cambia las contraseñas de cualquier cuenta vinculada a estas organizaciones, especialmente si reutilizaste esa contraseña en otros sitios.
• Activa la autenticación de dos factores siempre que esté disponible, particularmente en cuentas financieras, de salud y de fidelización.
• Revisa los estados de cuenta bancarios y de crédito en busca de transacciones desconocidas, ya que los datos financieros y de identidad suelen ser el activo más valioso que se roba en estas filtraciones.
• Ten cuidado con los intentos de phishing posteriores, ya que los datos personales robados se utilizan con frecuencia para crear correos o mensajes fraudulentos convincentes que hacen referencia a información real de la cuenta.

El panorama general del ransomware de doble extorsión en Sudáfrica

El hecho de que un grupo de ransomware haya podido alcanzar a un partido político, un conglomerado minero, una red de atención médica, una aerolínea y un minorista ilustra cómo el ransomware de doble extorsión en Sudáfrica se ha convertido en un riesgo compartido entre sectores, no en un problema de nicho para una sola industria. Las organizaciones son responsables de proteger sus redes, pero los individuos también desempeñan un papel en limitar el daño una vez que se produce una violación.

Mantenerse informado sobre qué organizaciones con las que interactúas se han visto afectadas, actualizar tus credenciales de inmediato y estar atento a señales de uso indebido son pasos prácticos y alcanzables. Las filtraciones de datos que involucran a grandes instituciones seguirán ocurriendo, pero la rapidez con la que respondas a ellas puede marcar la diferencia entre una molestia menor y un grave problema de robo de identidad.