Un caso federal está poniendo el foco en un riesgo incómodo dentro de la economía del ransomware: la persona que contratas para que te ayude puede ser la que se está aprovechando de ti. Los fiscales alegan que un reparador de ransomware dijo a sus clientes que podía descifrar sus archivos, y luego pagó en secreto a los atacantes y se quedó con la diferencia. Este tipo de fraude del intermediario en la recuperación de ransomware golpea a las víctimas dos veces: primero con la extorsión en sí y luego con el ayudante de confianza.
Lo que los fiscales alegan que hizo el reparador
Según lo reportado, las autoridades federales afirman que el hombre cobró a sus clientes más que el rescate exigido, pagó a los criminales y se embolsó el margen. En otras palabras, la presunta oferta era un rescate técnico, mientras que la presunta realidad era un pago de intermediación con una comisión oculta.
Otra cobertura del caso describe al acusado como el propietario de la empresa de remediación de ransomware MonsterCloud, acusado de fraude electrónico por un presunto esquema dirigido a víctimas de ransomware. Estas son acusaciones y los cargos no han sido probados. Aun así, el patrón descrito es simple y vale la pena entenderlo: los clientes creían que estaban pagando por experiencia en descifrado, pero según los fiscales el trabajo era en gran medida un pago de rescate hecho en su nombre.
El problema central no es que un tercero gestionara un pago. Es que, según se alega, a los clientes se les dijo una cosa y se les cobró por otra, con el arreglo real oculto para ellos.
Por qué las víctimas de ransomware son blancos fáciles para los intermediarios
Un incidente de ransomware somete a las organizaciones a una presión intensa. Los sistemas están caídos, el personal no puede trabajar y a menudo hay una cuenta atrás en marcha. En ese momento, una voz segura que ofrece un camino claro a seguir resulta muy atractiva, y pocas víctimas tienen el tiempo o la experiencia para comprobar qué está pasando realmente entre bastidores.
Varios factores hacen que la situación sea propicia para el abuso:
- Brecha de información: La mayoría de las víctimas no pueden distinguir si existe un "método de descifrado propietario" o si simplemente se está usando el descifrador del propio atacante.
- Pagos opacos: Las transferencias de criptomonedas y las negociaciones con criminales ocurren fuera de la vista, por lo que un margen es difícil de detectar.
- Urgencia y secretismo: Las víctimas a menudo quieren mantener el incidente en silencio, lo que reduce el escrutinio del ayudante que contratan.
- Ausencia de estándares claros: El campo de la recuperación está en gran medida sin regular, y cualquiera puede reclamar experiencia.
Esto no es una preocupación nueva. Reportajes anteriores de ProPublica examinaron empresas de recuperación de datos que afirmaban ofrecer una salida ética a los ataques de ransomware. Coberturas más recientes también han descrito a estafadores que se hacen pasar por expertos en recuperación, incluido un afiliado deshonesto que presuntamente contactó a víctimas antes de que los ataques se hicieran públicos. El hilo común es que la desesperación crea un mercado para intermediarios, y no todos son honestos.
Las autoridades también están persiguiendo a personas más cercanas al lado criminal de este ecosistema. Nuestro informe sobre un tribunal de EE. UU. incautando 8,37 millones de dólares en cripto vinculados a un infiltrado de ransomware muestra cómo las autoridades siguen el dinero y a las personas que ayudan a que las operaciones de extorsión tengan éxito.
Cómo evaluar la ayuda durante un incidente de extorsión
Si alguna vez enfrentas un incidente, unas cuantas comprobaciones pueden reducir las probabilidades de ser explotado de nuevo. Lo ideal es prepararlas antes de que algo salga mal.
- Pregunta exactamente cómo funciona el descifrado. Si un proveedor afirma tener un método técnico único, pide detalles por escrito. Las respuestas vagas son una señal de advertencia.
- Exige transparencia sobre cualquier pago. Pregunta si se pagará un rescate, a quién, por qué importe y cuál es la comisión del proveedor. Insiste en costos detallados, con el rescate y la tarifa del servicio separados.
- Consigue el contrato por escrito. El alcance del trabajo, las tarifas y quién gestiona los pagos deben estar claros antes de firmar.
- Verifica credenciales y referencias. Comprueba el historial de la empresa de forma independiente, y desconfía de cualquiera que te contacte sin que lo hayas solicitado, especialmente antes de que un ataque se haya hecho público.
- Involucra a tu aseguradora, a tu asesor legal y a las autoridades. Las aseguradoras de ciberseguridad suelen tener paneles de respuesta verificados, y las partes externas añaden una supervisión que un intermediario solitario no proporcionaría.
- Ten cuidado con la urgencia. La presión para decidir en cuestión de horas, con poca explicación, es una táctica clásica.
Por qué las copias de seguridad, el MFA y el parcheo superan al pago
La mejor manera de evitar todo este problema es no necesitar nunca a un reparador. Las organizaciones con fundamentos sólidos a menudo pueden restaurar sistemas sin negociar con criminales ni contratar a alguien que prometa milagros.
- Copias de seguridad fiables y probadas: Mantén copias fuera de línea o inmutables, y practica su restauración. Una copia de seguridad que nunca has probado es una esperanza, no un plan.
- Autenticación multifactor: Aplica MFA en el correo electrónico, el acceso remoto y las cuentas de administrador para que las credenciales robadas sean mucho menos útiles.
- Parcheo puntual: Cierra rápidamente las vulnerabilidades conocidas en sistemas expuestos a internet y dispositivos VPN.
- Un plan de respuesta a incidentes: Decide de antemano a quién llamarás, quién aprueba los pagos y cómo documentarás las decisiones.
Qué significa esto para ti
Para las empresas, la conclusión es tratar a cualquier proveedor de recuperación como un proveedor que necesita escrutinio, no como un rescatador en el que confiar a ciegas. Para los individuos, la lección es similar: sé escéptico con cualquiera que prometa desbloquear archivos por una tarifa, especialmente si se pone en contacto primero. Recuerda también que pagar un rescate nunca garantiza que tus datos vuelvan, y que cualquier intermediario añade otra parte con interés financiero en el resultado.
El caso sigue en fase de acusación, por lo que los hechos pueden evolucionar. Pero la advertencia se sostiene por sí sola: en una crisis, haz preguntas difíciles sobre quién está haciendo qué con tu dinero.
Conclusiones prácticas
- Refuerza tus defensas ahora con copias de seguridad probadas, MFA y parcheo constante.
- Escribe un plan de respuesta a incidentes que nombre contactos de confianza antes de necesitarlos.
- Exige la divulgación por escrito y detallada de cualquier pago de rescate y comisiones.
- Desconfía de las ofertas de ayuda no solicitadas después o antes de un ataque.
- Involucra a aseguradoras, asesores legales y autoridades desde el principio.
El fraude del intermediario en la recuperación de ransomware prospera con el pánico, y la preparación es el mejor antídoto. Para ver cómo las autoridades persiguen a infiltrados y fondos vinculados al ransomware, lee nuestra cobertura sobre la incautación de 8,37 millones de dólares en cripto vinculada a un infiltrado de ransomware, y luego revisa tus propias defensas antes de que un incidente fuerce la decisión.
