El ransomware se dirige a las víctimas según la probabilidad de pago, no por su prominencia
Durante años, la imagen popular de una víctima de ransomware ha sido un nombre muy conocido: un sistema hospitalario, una aerolínea importante, un fabricante global. Pero un análisis reciente plantea un punto más simple y más útil: el ransomware se dirige a las víctimas según la probabilidad de pago, no por su prominencia. Los atacantes, y específicamente los afiliados que llevan a cabo la mayoría de las intrusiones de ransomware, no persiguen titulares. Persiguen un pago, y eso cambia quiénes terminan en su punto de mira.
La economía detrás de esto es sencilla. La mayoría del ransomware moderno opera bajo un modelo de ransomware como servicio, en el que un grupo central desarrolla el malware y la infraestructura mientras afiliados independientes se encargan de las intrusiones reales. Esos afiliados ganan una comisión solo cuando la víctima paga. Ese único hecho reorganiza todo el proceso de selección de objetivos. En lugar de preguntar "quién causaría el mayor revuelo", los afiliados preguntan "quién es más probable que pague, y con qué rapidez".
Por qué la probabilidad de pago supera el reconocimiento de la marca
Cuando el pago es la única fuente de ingresos, la prominencia se vuelve irrelevante a menos que correlacione con la disposición o la capacidad de pagar. Una marca conocida con copias de seguridad sólidas, un plan de respuesta a incidentes reforzado y un compromiso público de nunca negociar con los atacantes es en realidad un mal objetivo, incluso si vulnerarla generaría más atención mediática. Mientras tanto, una empresa mediana con defensas más débiles, cobertura de ciberseguros y un modelo de negocio que no puede tolerar interrupciones se vuelve mucho más atractiva.
Las señales que elevan la probabilidad percibida de pago de una víctima incluyen evidencia de fondos disponibles, un proceso interno claro para autorizar pagos cuantiosos rápidamente, dependencia de operaciones continuas y un historial (público o inferido) de pagos de rescate anteriores. Las organizaciones que se han negado públicamente a pagar envían la señal opuesta. Stadler Rail, por ejemplo, rechazó una demanda de rescate de 12,3 millones de dólares del grupo de extorsión Everest después de que los atacantes robaran datos técnicos a través de un proveedor, una decisión que reduce el incentivo para que ese mismo grupo priorice objetivos similares en el futuro. El gobierno estatal de Berlín adoptó una postura similar, confirmando que no pagaría a los hackers a pesar de un intento de extorsión activo tras una intrusión en la red. Cada rechazo público erosiona el cálculo de probabilidad de pago que impulsa la toma de decisiones de los afiliados.
El ángulo de la privacidad: el robo de datos no espera una decisión
Esta lógica de selección de objetivos tiene una consecuencia directa para la privacidad que a menudo se pierde en los debates sobre el pago de rescates. Mucho antes de que una víctima decida si paga, los atacantes normalmente ya han exfiltrado datos. Las operaciones de ransomware modernas dependen cada vez más de la doble extorsión, cifrando sistemas y a la vez robando archivos sensibles para usarlos como palanca adicional. Eso significa que la información personal, los registros financieros y las comunicaciones internas pueden quedar expuestos o venderse independientemente del resultado del rescate.
El ataque del grupo ShinyHunters contra la empresa colombiana de servicios financieros Addi.com ilustra claramente este riesgo. El grupo se atribuyó la responsabilidad de robar 16 millones de registros financieros, una escala de exposición que no tiene nada que ver con que Addi.com fuera un objetivo famoso o políticamente significativo. Refleja la misma lógica subyacente: una empresa de servicios financieros que posee grandes volúmenes de datos sensibles representa una oportunidad de alto valor para la extorsión, independientemente del reconocimiento de la marca. Para los usuarios cotidianos, esto significa que tus datos pueden acabar en riesgo simplemente porque la organización que los posee parecía una apuesta segura para un afiliado, no porque fuera un objetivo que cualquiera esperaría.
Qué significa esto para ti
Si la selección de objetivos se rige por la probabilidad de pago en lugar de la prominencia, la conclusión práctica es que ninguna organización, independientemente de su tamaño o visibilidad, puede asumir que es "demasiado pequeña para importar" a los operadores de ransomware. Las empresas más pequeñas, los proveedores de atención médica, las plataformas financieras y las agencias de gobierno locales son con frecuencia atractivos precisamente porque pueden tener defensas menos maduras y una mayor presión operativa para restaurar el acceso rápidamente.
Para las personas, esto refuerza una realidad familiar pero importante: la seguridad de tus datos personales depende en gran medida de la postura de seguridad de cada organización que los posee, no solo de las famosas. Las instituciones financieras, los proveedores de servicios más pequeños y los proveedores dentro de una cadena de suministro son todos puntos de entrada plausibles, como demuestra el incidente de Stadler Rail.
Conclusiones prácticas
Las organizaciones deben tratar la integridad de las copias de seguridad, la planificación de la respuesta a incidentes y la comunicación pública sobre la política de rescates como herramientas que reducen directamente su atractivo para los afiliados que buscan pagos fáciles. Las personas deben asumir que cualquier servicio que posea datos personales o financieros sensibles podría ser objetivo, y deben usar contraseñas sólidas y únicas, habilitar la autenticación multifactor siempre que sea posible y monitorear las cuentas en busca de actividad inusual tras cualquier notificación de brecha. Debido a que el ransomware se dirige a las víctimas según la probabilidad de pago y no por su prominencia, mantenerse vigilante con proveedores más pequeños y menos conocidos es tan importante como estar atento a las noticias sobre ataques a grandes marcas. Ser consciente de cómo se toman estas decisiones es una de las formas más sencillas de anticiparse al riesgo.
