El arresto de un conocido negociador de ransomware, reportado por Dark Reading, ha planteado una pregunta incómoda para cualquier organización que alguna vez haya tenido que planificar una brecha: ¿qué sucede cuando la persona que contratas para lidiar con los atacantes está trabajando para el otro lado? El caso es un recordatorio contundente de que la verificación de amenazas internas de los negociadores de ransomware pertenece a todo plan de respuesta a incidentes, no solo a los controles técnicos que lo rodean.
El artículo fuente enmarca la lección como una necesidad de una supervisión más sólida de los programas de proveedores. Esta publicación analiza cómo funciona la negociación, qué revela el arresto y qué pueden hacer al respecto las pequeñas empresas y los usuarios preocupados por la privacidad.
Cómo funcionan realmente la extorsión y la negociación de ransomware
Cuando una empresa es víctima de ransomware, una de las primeras llamadas suele ser a un negociador profesional. Su trabajo es comunicarse con los atacantes, evaluar la situación e intentar reducir el daño. Actúan como un amortiguador entre las víctimas presas del pánico y los criminales que pueden estar exigiendo un pago para restaurar los sistemas o para mantener privados los datos robados.
Ese acuerdo solo funciona si la víctima confía completamente en el intermediario. El negociador ve la demanda de rescate, se entera de qué datos fueron tomados y, a menudo, comprende cuánto puede permitirse pagar la víctima y con qué urgencia necesita recuperar los sistemas. Las víctimas suelen tener poca capacidad para verificar nada de esto de forma independiente. Están en crisis, con poco tiempo y dependiendo de la experiencia del negociador.
La extorsión también es cada vez más difícil de gestionar. Una encuesta global reportada por The Register encontró que el 37% de los ataques de ransomware ahora incluyen amenazas personales, ya sean psicológicas o físicas. A medida que aumenta la presión sobre las víctimas, también aumenta su dependencia de las personas que las guían.
Qué revela el arresto del negociador sobre el riesgo interno
La mayor parte de la planificación de seguridad se centra en atacantes externos y, en menor medida, en los empleados. Los proveedores externos suelen ser tratados como confiables por defecto, especialmente los especialistas traídos durante una emergencia. El arresto muestra la debilidad de esa suposición. Un intermediario con acceso a negociaciones sensibles ocupa una posición de enorme influencia, y si los intereses de esa persona divergen de los del cliente, el cliente puede nunca saberlo.
Esto no es una preocupación puramente hipotética. La cobertura relacionada en vpn.social detalla cómo un exnegociador de DigitalMint recibió 70 meses por un acuerdo con BlackCat, y un informe separado cubre cómo el negociador Martino fue sentenciado a 70 meses por vínculos con BlackCat. Esas piezas cubren los detalles concretos del caso y subrayan el punto más amplio: la relación con el negociador depende de una confianza que rara vez se audita.
La conclusión del reporte de Dark Reading no es que todos los negociadores sean sospechosos. Es que un proveedor con este nivel de acceso merece el mismo escrutinio que cualquier otro insider de alto riesgo.
A qué están expuestas las víctimas y sus datos cuando se compromete un proveedor
Si un negociador u otro proveedor de respuesta se ve comprometido, o está actuando en contra del cliente, la exposición puede extenderse mucho más allá del rescate en sí. Según el papel que desempeña un negociador, las áreas de preocupación incluyen:
- Estrategia de negociación: el presupuesto de la víctima, los plazos y la disposición a pagar son visibles para el intermediario.
- Detalles de los datos robados: los negociadores suelen enterarse de qué se tomó, lo cual es importante para cualquiera cuyos datos personales estuvieran en esos archivos.
- Toma de decisiones: el asesoramiento sobre si pagar, retrasar o resistir determina el resultado para la empresa y para las personas afectadas.
- Comunicaciones: cada mensaje hacia y desde los atacantes pasa por el negociador.
Para las personas, el riesgo es indirecto pero real. Los clientes, pacientes y empleados cuyos datos se encuentran dentro de una organización comprometida no tienen voz en la elección del proveedor, pero soportan las consecuencias si esa elección sale mal.
Cómo verificar a los proveedores de respuesta a brechas antes de necesitarlos
El mejor momento para evaluar a un negociador o a una firma de respuesta a incidentes es antes de un ataque, cuando puedes hacer preguntas con calma. El artículo fuente hace un llamado a una supervisión más sólida de los programas de proveedores, y estos pasos son una forma práctica de aplicar esa idea. Son buenas prácticas generales, no requisitos extraídos del caso.
- Elige a tus proveedores con antelación. Seleccionar una firma bajo presión no deja espacio para la debida diligencia. Crea una lista corta verificada como parte de tu plan de respuesta a incidentes.
- Pregunta sobre los controles internos. ¿Cómo verifica la firma a su propio personal? ¿Quién puede acceder a las negociaciones con clientes, y se registra y revisa ese acceso?
- Pon las expectativas por escrito. Los contratos deben cubrir la confidencialidad, los conflictos de interés y la divulgación de cualquier relación con actores de amenazas u otras partes.
- Mantén un segundo par de ojos sobre las decisiones. Asegúrate de que tu propio liderazgo, asesor legal o aseguradora revisen las decisiones importantes en lugar de dejarlas en manos de una sola persona.
- Limita el intercambio de datos. Da a los proveedores solo lo que necesiten y mantén registros de lo que recibieron.
- Revisa la relación periódicamente. Trata a los proveedores de respuesta como parte de tu programa de riesgo de terceros, con verificaciones periódicas en lugar de una aprobación única.
Qué significa esto para ti
Si diriges una pequeña empresa, es posible que no tengas un equipo de seguridad dedicado, lo que hace que la confianza en los proveedores sea aún más importante. Pregunta a tu aseguradora cibernética o proveedor de TI con qué firmas de respuesta trabajan y averigua cómo se supervisan esas firmas. Unas pocas preguntas hechas ahora cuestan mucho menos que una mala decisión tomada en medio de una crisis.
Si eres un particular, el paso práctico es limitar lo que las organizaciones tienen sobre ti. Comparte solo los datos que un servicio realmente necesita, usa contraseñas únicas y autenticación multifactor, y presta atención a las notificaciones de brechas para que puedas actuar rápidamente si tu información queda expuesta. No puedes verificar al proveedor de respuesta a incidentes de una empresa, pero puedes reducir el daño si algo sale mal.
Conclusiones clave
El arresto de un conocido negociador de ransomware es un recordatorio de que los intermediarios pueden ser un riesgo interno, y que la verificación de amenazas internas de los negociadores de ransomware debe estar junto a las copias de seguridad y la aplicación de parches en tu plan de preparación. Elige proveedores antes de una crisis, haz preguntas difíciles sobre sus controles y mantén una supervisión independiente de las decisiones importantes.
Para detalles concretos del caso, lee nuestra cobertura del exnegociador de DigitalMint sentenciado. Para ver por qué la confianza en los proveedores importa aún más a medida que escala la extorsión, revisa la encuesta sobre amenazas personales en ataques de ransomware.
