Una advertencia conjunta del FBI, la CISA y agencias de la UE ha puesto al grupo de ransomware SafePay en el punto de mira, con EE. UU., Reino Unido y Alemania señalados como objetivos de la campaña global del grupo. El detalle clave para los usuarios cotidianos y las pequeñas empresas: los atacantes van tras las copias de seguridad. Eso hace que la protección de copias de seguridad contra el ransomware SafePay sea una cuestión más importante que simplemente tener una segunda copia de tus archivos.
El artículo original es breve, así que esta publicación se centra en lo que señala la advertencia y en los pasos prácticos que puedes tomar. Cuando describimos el comportamiento típico de los atacantes, refleja los informes públicos generales sobre SafePay y la práctica común del ransomware.
Qué hace el ransomware SafePay y a quién va dirigido
SafePay es un grupo de ransomware, lo que significa que irrumpe en las redes, bloquea los datos y exige un pago para restaurar el acceso. Los informes públicos de amenazas lo describen como una operación de doble extorsión: los atacantes copian los datos de los sistemas de la víctima antes de cifrarlos y luego exigen el pago en criptomonedas. La amenaza es tanto perder el acceso como que se filtren archivos confidenciales.
La advertencia conjunta describe una campaña global, y las agencias involucradas abarcan EE. UU., Reino Unido y Alemania. Los grupos de ransomware rara vez se limitan a las grandes corporaciones. Las pequeñas empresas, clínicas, escuelas y oficinas locales a menudo tienen datos valiosos pero defensas más débiles, lo que los hace atractivos. Las personas con dispositivos de almacenamiento en red en casa o en una oficina en el hogar también pueden estar expuestas.
Los informes públicos sobre SafePay indican que sus operadores suelen entrar robando o adivinando contraseñas y explotando vulnerabilidades en los sistemas de seguridad. Nada de eso es exótico, y es por eso que lo básico importa tanto.
Por qué los atacantes van primero tras las copias de seguridad
Las copias de seguridad son la red de seguridad. Si una víctima puede restaurar desde una copia limpia, la demanda de rescate pierde la mayor parte de su poder de presión. Por eso los atacantes que entienden esto intentan eliminar la red antes de apretar el gatillo. Eliminar, cifrar o corromper las copias de seguridad primero significa que, cuando aparece la nota de rescate, las opciones de recuperación ya han desaparecido.
Este es el cambio que vale la pena asimilar. Muchas personas piensan en una copia de seguridad como algo que simplemente existe. En la práctica, una copia de seguridad que es accesible desde tu red principal, usando las mismas credenciales de inicio de sesión, puede ser encontrada y destruida por cualquiera que obtenga ese acceso. Una copia que está en un disco conectado permanentemente a tu computadora, o una carpeta en la nube que se sincroniza automáticamente, puede ser cifrada junto con todo lo demás.
Cómo proteger las copias de seguridad: copias sin conexión, inmutabilidad y cifrado
Una buena protección de copias de seguridad contra el ransomware SafePay comienza asumiendo que un atacante eventualmente tendrá acceso a tus sistemas principales, y luego asegurándote de que tus copias de seguridad sobrevivan a ese escenario. Tres ideas ayudan:
- Mantén una copia sin conexión o aislada. Un disco externo que se desconecta después de cada copia de seguridad no puede ser cifrado de forma remota. Para las empresas, esto significa copias que no sean accesibles de forma continua desde la red de producción.
- Usa copias de seguridad inmutables. La inmutabilidad significa que una copia de seguridad no puede ser modificada ni eliminada durante un período determinado, ni siquiera por una cuenta de administrador. Muchas herramientas de copia de seguridad y servicios de almacenamiento en la nube ofrecen esto como una configuración. Si un atacante roba credenciales de administrador, las copias bloqueadas permanecen intactas.
- Cifra tus copias de seguridad. El cifrado no impedirá que un atacante elimine datos, pero protege el contenido si se roba una copia. Eso importa en un caso de doble extorsión, donde los datos filtrados forman parte de la presión.
Dos hábitos de apoyo son igual de importantes. Usa credenciales separadas para los sistemas de copia de seguridad, idealmente protegidas con autenticación multifactor, para que una contraseña cotidiana robada no los desbloquee. Y prueba las restauraciones con regularidad. Una copia de seguridad que nunca has restaurado es una suposición, no un plan.
Defensas básicas que detienen la intrusión inicial
Proteger las copias de seguridad es la última línea de defensa. El mejor resultado es mantener a los atacantes fuera. Dado que los informes apuntan a contraseñas robadas o adivinadas y vulnerabilidades explotadas, las defensas más útiles son las poco glamorosas:
- Habilita la autenticación multifactor en el correo electrónico, el acceso remoto, las cuentas en la nube y las consolas de copia de seguridad.
- Usa contraseñas fuertes y únicas almacenadas en un gestor de contraseñas, para que una credencial filtrada no abra múltiples puertas.
- Aplica los parches con prontitud, especialmente en sistemas expuestos a internet como firewalls, herramientas de acceso remoto y software de copia de seguridad. Las fallas conocidas sin parchear son una vía de entrada común.
- Limita el acceso remoto. Desactiva los servicios que no uses y restringe quién puede acceder al resto.
Una VPN puede ayudar a proteger las conexiones remotas a una red de trabajo, pero no sustituye la aplicación de parches ni la MFA, y no protegerá las copias de seguridad por sí sola.
Qué significa esto para ti
Vale la pena señalar la naturaleza internacional de esta advertencia. Que los gobiernos cooperen transfronterizamente en materia de ciberamenazas no es nuevo; alianzas como Five Eyes y la más amplia Fourteen Eyes son conocidas por compartir inteligencia, aunque esos acuerdos conciernen datos de vigilancia y son un asunto separado de este aviso de ransomware. La conclusión para los lectores es más simple: cuando múltiples agencias emiten una advertencia compartida, la amenaza es amplia y no se limita a una región o industria.
Para las personas, eso significa verificar si tus copias de seguridad están verdaderamente separadas de tu computadora. Para las pequeñas empresas, significa preguntar quién puede eliminar tus copias de seguridad y si esa cuenta está protegida por MFA.
Conclusiones prácticas
La protección de copias de seguridad contra el ransomware SafePay se reduce a una breve auditoría que puedes completar esta semana:
- Revisa tu configuración de copias de seguridad. ¿Tienes al menos una copia que esté sin conexión o sea inmutable?
- Separa las credenciales. Asegúrate de que el acceso a las copias de seguridad use inicios de sesión diferentes a los de las cuentas diarias.
- Activa la MFA en todas partes donde se ofrezca, comenzando por el correo electrónico, el acceso remoto y las herramientas de copia de seguridad.
- Instala las actualizaciones pendientes, priorizando firewalls, software de acceso remoto y aplicaciones de copia de seguridad.
- Prueba una restauración de algunos archivos para confirmar que las copias de seguridad realmente funcionan.
Ninguno de estos pasos es complicado, y juntos le quitan a los grupos de ransomware el poder de presión del que dependen. Comienza con la auditoría hoy.
