La apuesta de un banco por la honestidad criminal
En lo que respecta al ransomware, una de las partes más extrañas de todo el modelo de negocio criminal es la promesa que sigue al pago: entrega el dinero y eliminaremos tus datos robados. River Financial Corporation, la empresa matriz del banco River Bank & Trust con sede en Alabama, parece haber tomado esa promesa al pie de la letra. En un formulario 8-K presentado ante la Comisión de Bolsa y Valores, el banco reveló que "tomó medidas para intentar suprimir los datos afectados, incluida la obtención de declaraciones" de los atacantes, en esencia una garantía por escrito de que la información robada sería destruida. Resulta llamativo que la presentación no confirme explícitamente si River Bank pagó realmente un rescate, a pesar de que obtener tales "declaraciones" de los operadores de ransomware suele ocurrir únicamente después de que el dinero cambia de manos.
Esta revelación llega en un momento incómodo para cualquiera que se sienta inclinado a confiar en una promesa de eliminación de datos por parte del ransomware. La acción de las fuerzas de seguridad contra la operación de ransomware LockBit reveló que los datos de las víctimas permanecían en la infraestructura del grupo incluso en casos en los que las víctimas ya habían pagado la extorsión. En otras palabras, la casilla marcada como "datos eliminados" en la que tantas empresas confían para cerrar el incidente y tranquilizar a reguladores, clientes y sus propias juntas directivas era, al menos en algunos casos documentados, simplemente falsa.
Por qué una promesa de eliminación de datos en el ransomware rara vez se sostiene
Todo el concepto de pagar a una banda de ransomware para que elimine los datos se basa en una contradicción evidente: le estás pidiendo a una organización criminal, la misma que irrumpió en tu red y robó registros sensibles, que renuncie voluntariamente a su ventaja. No existe un mecanismo de cumplimiento, ni un registro de auditoría, ni un recurso legal si el grupo guarda una copia, la vende en un mercado de la web oscura o la utiliza más adelante para una segunda ronda de extorsión. Los investigadores de seguridad llevan mucho tiempo advirtiendo que los vídeos, capturas de pantalla o declaraciones escritas de "prueba de eliminación" ofrecidos por los grupos de ransomware son imposibles de verificar por diseño. La desarticulación de LockBit simplemente aportó pruebas contundentes de lo que muchos en la comunidad de seguridad ya suponían.
Para una entidad financiera, esto tiene una importancia enorme. Los bancos custodian algunos de los datos personales más sensibles que existen, como números de la Seguridad Social, detalles de cuentas e historiales de transacciones. Cuando esa información es extraída durante una intrusión, la promesa de un delincuente de eliminarla no ofrece ninguna protección real a los clientes cuyos datos quedaron expuestos. Ofrece, como mucho, un argumento para una presentación regulatoria.
Cómo ocurrió la filtración
El incidente de River Bank no ocurrió en el vacío. Según informes anteriores de inteligencia de amenazas, la filtración estuvo vinculada al acceso de un actor no autorizado a través de una vulnerabilidad en un protocolo VPN obsoleto, un detalle que analizamos en nuestra cobertura anterior del incidente de ransomware de River Bank & Trust. La infraestructura de acceso remoto desactualizada sigue siendo uno de los puntos de entrada más comunes para los grupos de ransomware, precisamente porque a menudo se sitúa en el perímetro de la red, es fácil de escanear y con frecuencia se pasa por alto en los ciclos de gestión de parches. Una vez dentro, los atacantes normalmente se mueven lateralmente, localizan los repositorios de datos valiosos y extraen la información antes de activar siquiera la carga útil del ransomware, lo que significa que el robo suele ocurrir mucho antes de que alguien note algo extraño.
Qué significa esto para usted
Si es cliente de River Bank & Trust, o de cualquier institución que haya revelado un incidente de ransomware, la realidad práctica es esta: ninguna promesa de los atacantes de eliminar sus datos debe tratarse como una garantía de seguridad. Una vez que la información sale de la red de una empresa en un ataque de ransomware, debe considerarse permanentemente comprometida, independientemente de las garantías que se obtengan posteriormente. Eso significa monitorear sus cuentas e informes de crédito en busca de actividad inusual, estar alerta ante intentos de phishing que hagan referencia a detalles reales de la cuenta (una táctica de seguimiento común cuando los datos bancarios robados circulan entre grupos criminales) y considerar la posibilidad de congelar su crédito si entre los datos expuestos se encontraban números de la Seguridad Social o números de cuenta.
Para las empresas e instituciones financieras que observan cómo se desarrolla esta historia, la lección es más amplia. Depender de una promesa de eliminación de datos del ransomware como parte de una estrategia de respuesta a incidentes, y mucho menos presentarla ante los reguladores como una medida mitigadora, envía una señal equivocada sobre la seriedad con la que una organización aborda la protección de datos. Las copias de seguridad verificadas, la segmentación de la red y la aplicación puntual de parches en la infraestructura de acceso remoto, como las puertas de enlace VPN, hacen mucho más por proteger los datos de los clientes que cualquier garantía obtenida de una empresa criminal.
Puntos clave
- Trate cualquier promesa de un grupo de ransomware de eliminar datos robados como no verificable e inaplicable, no como una protección auténtica.
- Si tiene cuentas en una institución que ha revelado una filtración, vigile de cerca los estados de cuenta y los informes de crédito, y considere congelar su crédito.
- Extreme la precaución con los mensajes de phishing que hagan referencia a detalles precisos de cuentas o datos personales en las semanas y meses posteriores a un incidente revelado.
- Las organizaciones deben priorizar la aplicación de parches en vulnerabilidades conocidas de VPN y acceso remoto, ya que los protocolos obsoletos siguen siendo un punto de entrada principal para los grupos de ransomware.
A medida que las investigaciones sobre ransomware siguen sacando a la luz la brecha entre lo que los grupos criminales prometen y lo que realmente hacen, tanto los consumidores como las empresas deberían actuar como si los datos robados nunca desaparecieran del todo, sin importar la declaración que ofrezca por escrito un grupo de ransomware.
