Una nueva investigación procedente de Singapur ofrece un incómodo recordatorio a las empresas que sopesan si pagar una demanda de ransomware: el pago a menudo no pone fin a la pesadilla. Según informa Singapore Business Review, el 50% de las organizaciones locales afectadas por ataques de extorsión entregaron dinero a sus atacantes, y una proporción sorprendente de esas víctimas de ransomware que pagaron se encontraron posteriormente con una segunda exigencia.

El hallazgo contradice la suposición común de que pagar un rescate es una forma rápida de hacer desaparecer un problema costoso. Para muchas organizaciones, parece hacer lo contrario: indica a los grupos delictivos que la víctima está dispuesta y en condiciones de pagar, lo que la convierte en una candidata ideal para una segunda ronda.

Lo que reveló la investigación

La cifra principal del estudio es simple pero aleccionadora. La mitad de las organizaciones singapurenses encuestadas que sufrieron un ataque de ransomware o extorsión optaron por pagar a sus atacantes. Es una decisión al azar que se toma bajo una enorme presión, a menudo con sistemas cifrados, operaciones paralizadas y un inminente daño a la reputación en juego.

Lo que hace que este conjunto de datos sea especialmente notable es el seguimiento: una parte significativa de quienes pagaron no lograron cerrar el incidente. En cambio, recibieron una segunda demanda de extorsión, ya fuera del mismo grupo que volvía por más o de un actor relacionado que explotaba el mismo acceso o los datos filtrados. Este patrón no es exclusivo de Singapur. Han surgido hallazgos similares en otros lugares, incluido un análisis que muestra que las bandas de ransomware vuelven a extorsionar al 22% de las víctimas que ya pagaron, y una investigación independiente realizada en Nueva Zelanda reveló que aproximadamente 1 de cada 5 pagos de rescate fueron traicionados por atacantes que regresaron a por más a pesar de haber recibido el pago.

En conjunto, estos datos dibujan un panorama consistente en diferentes mercados: pagar un rescate no garantiza seguridad de manera fiable y, en un número significativo de casos, puede aumentar las probabilidades de volver a ser atacado.

Por qué los atacantes vuelven a por más

La lógica de comportamiento aquí es simple si se considera desde la perspectiva del delincuente. Una víctima que ya ha pagado demuestra tres cosas valiosas para un extorsionador: tiene dinero disponible, ha decidido que pagar es preferible a la alternativa y puede carecer de las defensas técnicas necesarias para evitar una nueva intrusión.

Las operaciones de ransomware se asemejan cada vez más a empresas con sus propias métricas internas. Un cliente que paga, en términos directos, es un cliente potencial probado. Algunos grupos también operan como afiliados o franquicias, lo que significa que los datos o el acceso a la red de una víctima pueden revenderse o reutilizarse por un grupo delictivo completamente diferente, dando lugar a una segunda demanda que nada tiene que ver con el grupo responsable del primer ataque. De cualquier manera, la víctima asume el riesgo por partida doble.

Esta dinámica es precisamente la razón por la que las agencias de ciberseguridad y los investigadores llevan tiempo advirtiendo que no se debe considerar el pago del rescate como una solución, sino como un parche temporal y poco fiable.

Más allá de los pagos de rescate: construir defensas reales

Si el pago no es una solución garantizada, ¿en qué deberían centrar sus esfuerzos las organizaciones y las personas? La respuesta está en reducir las probabilidades de un ataque exitoso en primer lugar y en limitar los daños cuando se produce.

Esto empieza por lo básico: mantener copias de seguridad sin conexión y probadas, para que los datos cifrados puedan restaurarse sin negociar con los atacantes. También implica reforzar los controles de acceso remoto, ya que las credenciales comprometidas y los protocolos de escritorio remoto expuestos siguen siendo puntos de entrada habituales para los grupos de ransomware. Cifrar el tráfico sensible y utilizar conexiones VPN seguras y bien configuradas para el trabajo remoto e híbrido puede reducir la superficie de ataque de la que dependen los delincuentes para afianzarse inicialmente. La formación de los empleados para detectar intentos de phishing, que siguen siendo uno de los principales métodos de distribución de las cargas de ransomware, completa una estrategia de defensa por capas que no depende de la esperanza de que los atacantes cumplan su palabra.

Lo que esto significa para usted

Para las pequeñas y medianas empresas en particular, esta investigación debería remodelar la planificación de la respuesta a incidentes. Si su organización sufre alguna vez un ataque de ransomware, la decisión de pagar no debe tratarse como una estrategia de salida limpia. Presupueste y planifique como si el pago pudiera comprar solo un alivio temporal, no una solución permanente. Eso significa contar con un plan de respuesta a incidentes documentado, orientación jurídica y normativa preparada de antemano y la comprensión clara de que pagar puede invitar a nuevos ataques en lugar de ponerles fin.

Para las personas y los trabajadores remotos, la conclusión es más personal: los puntos débiles que explotan los atacantes, desde el software sin parches hasta las conexiones no seguras, suelen ser prevenibles con medidas básicas de higiene más que con herramientas costosas.

Conclusiones clave

  • La mitad de las organizaciones de Singapur afectadas por ataques de extorsión pagaron a sus atacantes, según la nueva investigación.
  • Una proporción notable de las víctimas de ransomware que pagaron recibieron una segunda demanda de extorsión, lo que coincide con hallazgos similares a nivel mundial.
  • El pago debe considerarse como último recurso y no como una solución garantizada a un ataque activo.
  • Las copias de seguridad sólidas, el acceso remoto seguro y la concienciación sobre el phishing reducen las probabilidades de tener que enfrentarse alguna vez a esa decisión.
  • Las organizaciones deben planificar la respuesta a incidentes asumiendo que los atacantes pueden regresar, en lugar de suponer que el pago pone fin a la amenaza.

En última instancia, la investigación es un llamado a cambiar el enfoque de las decisiones de pago reactivas a la prevención proactiva. Las empresas mejor posicionadas para resistir un ataque de ransomware son aquellas que nunca tienen que decidir si pagar vale la pena el riesgo.