El verdadero motor de ganancias del ransomware no es el cifrado

Durante años, la defensa contra el ransomware se ha centrado en un momento: el instante en que los archivos se bloquean. Pero nuevos hallazgos cubiertos por The National CIO Review dejan claro que el cifrado suele ser la parte menos valiosa de un ataque de ransomware para los delincuentes que lo perpetran. La verdadera ganancia proviene del robo de datos, y esa ganancia no se detiene cuando se paga el rescate o se restauran los sistemas.

Según el informe, el 54 % de las organizaciones afectadas pagó la demanda de rescate. Eso por sí solo no es sorprendente, dado lo disruptivos que pueden ser los sistemas cifrados. Lo que llama la atención es lo que ocurrió después: el 37 % de esas organizaciones que pagaron recibió posteriormente otra demanda del mismo atacante o de uno diferente. En otras palabras, más de un tercio de las víctimas que pensaron que habían cerrado el incidente se encontraron de nuevo en el punto de partida, negociando una vez más por los mismos datos robados.

Por qué los datos robados siguen generando ganancias para los atacantes

Una vez que los atacantes extraen datos antes de desplegar el cifrado, obtienen múltiples fuentes de ingresos independientes que no dependen de que los sistemas de la víctima permanezcan bloqueados. El informe describe varias de ellas:

  • Amenazas de divulgación pública: Los atacantes amenazan con filtrar archivos confidenciales a menos que se realice un segundo pago, incluso después del rescate original por las claves de descifrado.
  • Reventa de datos robados: La información se vende en mercados criminales a otros actores de amenazas, independientemente de si la víctima original pagó algo.
  • Abuso de credenciales: Los nombres de usuario, contraseñas y tokens de acceso encontrados en los archivos robados se reutilizan para comprometer otras cuentas o sistemas, a veces en organizaciones asociadas o proveedores.
  • Ataques posteriores: Los detalles recopilados de una brecha, como diagramas de red, contratos con proveedores o comunicaciones internas, facilitan intrusiones futuras más dirigidas.

Por eso, los investigadores de seguridad describen cada vez más el ransomware moderno como un problema de robo de datos con cifrado añadido, y no al revés. El cifrado interrumpe las operaciones durante días o semanas. Los datos robados pueden ser utilizados como arma durante meses o años.

Un ejemplo reciente de esta dinámica que se desarrolló públicamente involucró la brecha de Tata Electronics que filtró secretos del iPhone 18 Pro, donde un grupo de ransomware autodenominado World Leaks publicó información confidencial de productos no lanzados tras acceder a los sistemas internos. Casos como este ilustran cómo los datos corporativos robados conservan valor para los atacantes mucho más allá de la intrusión inicial, y cómo las amenazas de divulgación por sí solas pueden forzar a las organizaciones a tomar decisiones difíciles incluso sin una carga de cifrado en funcionamiento.

Por qué pagar no garantiza que la historia termine

La cifra del 37 % de demandas repetidas merece especial atención porque socava una suposición común: que pagar un rescate cierra el incidente. En realidad, una vez que los datos han salido de la red de una organización, la víctima no tiene forma de verificar que las copias fueron destruidas, que el atacante no revenderá la información o que otro grupo no haya obtenido ya los mismos archivos. Pagar resuelve el problema del cifrado. No hace nada para abordar el problema del robo de datos, porque esos datos ya están fuera del control de la víctima en el momento en que son extraídos.

Esto tiene implicaciones directas sobre cómo las organizaciones piensan en la preparación ante el ransomware. La planificación de copias de seguridad y recuperación es importante para volver a poner los sistemas en línea, pero no hace nada para evitar una filtración, una reventa o un segundo intento de extorsión. Prevenir la exfiltración en primer lugar, mediante la segmentación de redes, controles de acceso estrictos y la minimización de la cantidad de datos confidenciales almacenados o accesibles, es tan importante como la planificación de la recuperación.

Lo que esto significa para usted

Ya sea que gestione la TI para una pequeña empresa o simplemente proteja sus propias cuentas, la lección de estos datos es la misma: asuma que cualquier brecha que involucre su información podría resultar en una exposición continua, no en un incidente único. Si una empresa con la que interactúa divulga un ataque de ransomware, trátelo como un riesgo abierto. Las contraseñas reutilizadas, las credenciales de cuentas antiguas y los datos personales vinculados a esa brecha pueden resurgir en intentos de relleno de credenciales o estafas posteriores mucho después de que los titulares desaparezcan.

Para las organizaciones, la conclusión es tratar la minimización de datos y la segmentación de redes como defensas centrales contra el ransomware, no como ideas secundarias. Limitar qué datos confidenciales son accesibles desde un único punto comprometido reduce la cantidad que los atacantes pueden robar incluso si logran entrar.

Recomendaciones prácticas

  • Use contraseñas únicas para cada cuenta y actualícelas si se le notifica una brecha que involucre sus datos, incluso meses después.
  • Habilite la autenticación multifactor siempre que sea posible para reducir el valor de las credenciales robadas.
  • Si dirige un negocio, audite qué datos confidenciales se almacenan y quién puede acceder a ellos; menos datos expuestos significan menos ventaja para los atacantes.
  • No asuma que un incidente de ransomware terminó una vez que se pagó el rescate o se restauraron los sistemas. Monitoree signos de datos filtrados o nuevos intentos de extorsión.
  • Segmente las redes para que un solo dispositivo o cuenta comprometida no pueda exponer todo su entorno de datos.

La mayor ventaja del ransomware no es el cifrado que acapara titulares. Es el robo de datos que ocurre discretamente de antemano y que sigue generando valor para los atacantes mucho después de que la crisis inicial parezca resuelta.