La extorsión mediante ransomware se está volviendo más personal. Según un informe reciente de Cybersecurity News, los grupos criminales se centran cada vez más en el ransomware dirigido a empleados y familias, utilizando información disponible públicamente para que las amenazas resulten directas y creíbles. Este cambio convierte un incidente corporativo en algo que puede llegar a la vida familiar de un trabajador.

La buena noticia es que gran parte de lo que estos grupos utilizan es información que las personas pueden reducir, proteger o eliminar. Esto es lo que describe el informe y lo que puedes hacer al respecto.

Cómo surgió el ransomware dirigido a empleados y familias

El informe lo describe como la siguiente etapa de la extorsión. Los primeros grupos de ransomware dependían del cifrado de archivos: bloquear los datos de una empresa y exigir un pago por la clave. Muchos grupos añadieron después el robo de datos y las amenazas de filtrar los archivos robados si la víctima se negaba a pagar.

El paso más reciente aleja la presión de la red y la dirige hacia las personas. Los criminales ahora pueden estudiar las redes sociales, los datos filtrados, los registros públicos y las páginas de las empresas para identificar a familiares, direcciones particulares, escuelas y rutinas diarias. Esos detalles les permiten escribir mensajes que se sienten personales y creíbles.

El objetivo, como lo expresa el informe, es simple: hacer que resistirse al rescate parezca demasiado costoso. Una amenaza que nombra a un familiar tiene un impacto muy distinto al de un mensaje genérico sobre hojas de cálculo filtradas.

Cómo los criminales crean perfiles de empleados y familiares

Ninguna de las fuentes mencionadas en el informe es exótica. Son los rastros ordinarios que la mayoría de las personas deja atrás:

  • Redes sociales: Las publicaciones públicas, las fotos etiquetadas, las listas de amigos y los check-ins pueden revelar familiares, escuelas, aficiones y rutinas.
  • Datos filtrados: La información expuesta en filtraciones anteriores puede añadir direcciones, números de teléfono y cuentas de correo electrónico a un perfil.
  • Registros públicos: Los registros vinculados a un nombre o una dirección pueden ayudar a relacionar a un empleado con los miembros de su hogar.
  • Páginas de empresas: Los listados de personal, las biografías y los perfiles profesionales muestran quién trabaja dónde y en qué puesto.

De forma individual, cada pieza parece inofensiva. Combinadas, permiten a un atacante pasar de "esta persona trabaja en la empresa objetivo" a "esta es su familia, y aquí es donde están durante el día". Esa combinación es lo que hace que el mensaje parezca creíble, y es la razón por la que el riesgo se extiende más allá del empleado que aparece en la página web de una empresa.

Reducir tu huella pública y la exposición de tu familia

No puedes borrar tu historial, pero puedes hacer que la creación de perfiles sea más difícil y lenta. El punto central del informe es que la higiene de privacidad habitual ayuda, así que empieza por ahí.

Protege las cuentas sociales. Configura los perfiles como privados siempre que sea posible y revisa quién puede ver las listas de amigos, las fotos etiquetadas y las conexiones familiares. Pide a tus familiares que hagan lo mismo, ya que una cuenta pública de un cónyuge o un hijo puede revelar información sobre ti.

Limita los detalles sobre rutinas y ubicación. Evita publicar ubicaciones en tiempo real, nombres de escuelas, horarios habituales o el exterior de tu casa. Publicar a posteriori es más seguro que publicar en directo.

Audita lo que ya es público. Busca tu propio nombre, número de teléfono y dirección para ver qué aparece. Comprueba si hay listados en buscadores de personas y perfiles antiguos que ya no uses. Los servicios de eliminación de datos y las solicitudes de exclusión pueden ayudar a eliminar algunos de estos listados, aunque los resultados varían y es posible que tengas que repetir el proceso.

Refuerza la seguridad de tus cuentas. Dado que los datos filtrados pueden alimentar estos perfiles, usa contraseñas únicas, un gestor de contraseñas y autenticación multifactor. Una VPN puede añadir una capa de privacidad a tu tráfico de navegación, pero no elimina la información que ya es pública, así que considérala una herramienta más entre varias.

Separa la identidad laboral de la personal. Considera usar una dirección de correo electrónico distinta para las cuentas personales que para las profesionales, y sé prudente con la cantidad de detalles que incluyes en los perfiles profesionales.

Qué significa esto para ti

Si trabajas para cualquier organización, formas parte de su superficie de ataque y, de forma indirecta, también lo hace tu hogar. Los atacantes no necesitan comprometer tus dispositivos para presionarte; solo necesitan encontrar suficiente información pública para sonar convincentes.

Eso no significa que un mensaje que nombre a tu familia sea prueba de que el atacante tiene acceso a tu vida. Los detalles recopilados de fuentes públicas pueden parecer alarmantes sin reflejar ninguna brecha más profunda. Sabiendo esto, puedes responder con calma: no respondas ni pagues por tu cuenta, guarda el mensaje y repórtalo al equipo de seguridad de tu empleador y, cuando corresponda, a las autoridades.

Qué deberían hacer ahora los empleadores y las personas

Para los empleadores:

  • Tratar la exposición de los empleados y sus familias como parte de la planificación de incidentes, no como algo secundario.
  • Revisar qué detalles del personal aparecen en las páginas de la empresa y considerar si cada nombre, cargo y foto necesita ser público.
  • Dar a los empleados una vía clara y sin juicios para reportar rápidamente mensajes amenazantes o personales.
  • Ofrecer orientación sobre la configuración de privacidad y las opciones de eliminación de datos, especialmente para los directivos y el personal con acceso a sistemas sensibles.

Para las personas:

  • Revisa la configuración de privacidad de tus redes sociales esta semana.
  • Búscate a ti mismo y solicita la eliminación de los listados innecesarios.
  • Habla con los miembros de tu familia, incluidos los adolescentes, sobre lo que comparten públicamente.
  • Decide de antemano a quién avisarías si recibieras un mensaje amenazante.

Estos grupos también están creciendo de otras formas. Para poner en contexto cómo se están expandiendo y reclutando sus operaciones, consulta nuestra cobertura sobre cómo el grupo de ransomware Moondancer recluta afiliados en LatAm.

En conclusión

El ransomware dirigido a empleados y familias demuestra que la extorsión ya no se trata solo de sistemas corporativos. Se trata de las personas conectadas a ellos. No puedes controlar lo que los criminales intentan, pero sí puedes controlar cuánto encuentran. Audita tu huella pública, protege tus cuentas sociales y usa herramientas de eliminación de datos y de privacidad para reducir el perfil que cualquiera puede construir sobre ti y tu familia. Unas pocas horas de limpieza ahora pueden hacer que un mensaje amenazante resulte mucho menos convincente después.