Casi la mitad sigue pagando, pero primero regatean

Un nuevo informe que circula pinta un panorama familiar pero incómodo: casi la mitad de las organizaciones afectadas por el cifrado de ransomware terminan pagando el rescate. La particularidad es que aproximadamente la mitad de esas víctimas no entregan simplemente la cantidad total exigida. En cambio, negocian, y a menudo consiguen que los atacantes acepten menos del precio original antes de desbloquear los archivos cifrados.

A simple vista, podría parecer una pequeña victoria para las víctimas. Lograr que un grupo criminal reduzca su precio se siente como una victoria menor en una situación por lo demás mala. Pero la historia más importante aquí no es sobre quién es mejor regateando, sino sobre lo que significa que el pago de rescates y la negociación con delincuentes se hayan convertido en una parte normalizada de la respuesta de las organizaciones a los ciberataques.

Por qué las empresas pagan en lugar de abandonar

El ransomware funciona cifrando los archivos y sistemas de una organización, haciéndolos inservibles hasta que se proporcione una clave de descifrado, normalmente a cambio de un pago. Para las empresas sin copias de seguridad sólidas, o aquellas bajo presión para restaurar las operaciones rápidamente, pagar puede parecer la vía más rápida para volver a la normalidad. Ese cálculo se justifica aún más fácilmente cuando el atacante está dispuesto a bajar el precio, algo que, según el informe, ocurre con frecuencia.

Esta dinámica de negociación no es nueva en la economía del ransomware. Muchas operaciones de ransomware funcionan ahora como empresas, con chats de soporte, portales de pago y, sí, margen para negociar. Esa profesionalización es parte de por qué el pago se ha convertido en un resultado tan común, en lugar de un último recurso.

Pero pagar no garantiza una resolución limpia. Incluso cuando se paga un rescate y se entrega una clave de descifrado, no hay garantía de que los atacantes no hayan copiado ya datos confidenciales antes de cifrarlos. Ese es un detalle crítico que a menudo se pasa por alto en las conversaciones sobre la negociación de rescates: el pago suele ser para restaurar el acceso a los archivos, no para deshacer una brecha que quizás ya haya ocurrido.

El riesgo de privacidad que se esconde tras cada pago de rescate

Aquí es donde la historia conecta con un problema de privacidad mucho mayor. Los ataques de ransomware implican cada vez más el robo de datos junto con el cifrado, lo que significa que los atacantes extraen copias de archivos confidenciales antes de bloquear los originales. Informes relacionados han descubierto que el 49% de las víctimas de ransomware pierden datos antes de detectar el ataque, lo que significa que para cuando llega una demanda de rescate, el daño a los datos personales y organizacionales quizás ya se haya producido.

Ese detalle importa enormemente para cualquier persona cuya información personal se encuentre dentro de los sistemas de una organización, ya sea un empleador, un proveedor de atención sanitaria, una escuela o un minorista en línea. Una negociación exitosa del monto del rescate no deshace un robo de datos que ya ocurrió. Tampoco impide que los atacantes vendan o filtren esos datos más tarde, independientemente de si el rescate se pagó en su totalidad, se negoció a la baja o se rechazó por completo.

Pagar un rescate, incluso uno reducido, también corre el riesgo de reforzar el modelo de negocio en sí. Cada pago exitoso, negociado o no, indica a los atacantes que el ransomware sigue siendo rentable, lo que mantiene intacta la estructura de incentivos para futuros ataques contra otras organizaciones.

Lo que esto significa para ti

La mayoría de las personas que leen estadísticas sobre pagos de ransomware no son las que deciden si pagar. Esa decisión suele recaer en los líderes de TI, los ejecutivos o los equipos de respuesta a incidentes. Pero las consecuencias se extienden a los empleados, clientes y cualquier persona cuyos datos residan en los sistemas afectados.

Si recibes una notificación de brecha de una empresa que sufrió un ataque de ransomware, tómala en serio independientemente de que la noticia mencione el pago de un rescate. El robo de datos puede ocurrir antes de que comience el cifrado, por lo que un rescate pagado y un sistema restaurado no significan necesariamente que tu información esté segura. Estate atento a señales de robo de identidad, supervisa tus cuentas y considera la supervisión de crédito si la organización la ofrece tras un incidente.

Para las empresas y los equipos de TI, la tendencia a la negociación es un recordatorio de que la planificación de la respuesta debe tener en cuenta la exposición de los datos, no solo el tiempo de inactividad del sistema. Las copias de seguridad ayudan a evitar pagar por una clave de descifrado, pero no impiden que los datos robados se filtren o vendan si los atacantes ya los exfiltraron de antemano.

Conclusiones prácticas

  • No asumas que un rescate pagado significa que tus datos nunca fueron copiados o expuestos; pregunta directamente a las organizaciones afectadas qué se confirmó como robado.
  • Supervisa las cuentas y la actividad crediticia después de cualquier notificación de brecha, incluso si la empresa dice que el rescate se resolvió.
  • Si diriges un negocio, prioriza la detección temprana y la segmentación de la red para que los atacantes tengan menos tiempo para exfiltrar datos antes de que llegue el cifrado.
  • Entiende que la negociación del rescate reduce el costo, no el riesgo; la exposición de datos robados sigue siendo una amenaza separada y duradera.

Es probable que las tendencias de pago de rescates sigan siendo noticia a medida que más organizaciones sopesen el costo de pagar frente al costo de reconstruir. Pero para los usuarios cotidianos, la verdadera lección no son las tácticas de negociación, sino mantenerse alerta a lo que sucede con tus datos mucho después de que los titulares sobre un pago de rescate se desvanezcan.