Por qué los ataques de ransomware ahora se centran en el robo de datos, no en el cifrado

Durante años, el manual de ransomware estándar era simple: entrar, cifrar archivos, pedir un rescate por la clave de descifrado. Las copias de seguridad eran la respuesta. Restaurar sistemas, ignorar la nota de rescate, seguir adelante. Ese manual está en gran medida obsoleto.

Los grupos de ransomware de hoy se han adaptado al hecho de que muchas organizaciones se recuperan del cifrado sin problemas. Así que han cambiado la palanca de presión. Antes de bloquear nada, los atacantes ahora copian silenciosamente archivos confidenciales, registros financieros, datos de empleados, información de clientes, fuera de la red. El cifrado se ha vuelto casi secundario, a veces se omite por completo. La verdadera amenaza es un sitio de filtraciones públicas donde los datos robados se publican si no se paga. Esta es la amenaza de extorsión de datos por ransomware que los investigadores de seguridad han estado siguiendo de cerca, y cambia lo que significa realmente "estar preparado" para organizaciones de todos los tamaños.

El patrón no está aislado en una sola región o industria. Los informes sobre incidentes de ransomware en India, por ejemplo, encontraron que la mayoría de los ataques ahora implican robo de datos en lugar de cifrado puro, según el análisis de Proofpoint de la actividad de ransomware allí. La misma dinámica se está reproduciendo más cerca de casa, incluso en el área metropolitana de St. Louis.

Lo que se sabe sobre los incidentes en el área de St. Louis

Según informes de CHR Solutions, una empresa de TI y ciberseguridad con sede en St. Louis, el ransomware ha afectado a sistemas escolares, redes municipales y empresas locales en el área metropolitana en los últimos meses. La firma, que trabaja directamente con organizaciones regionales para cerrar brechas de seguridad, presenta esto como un problema local y recurrente en lugar de un titular lejano. Los detalles específicos sobre incidentes individuales son limitados en los informes disponibles, pero el patrón descrito refleja lo que está sucediendo a nivel nacional: las redes del sector público y las pequeñas y medianas empresas son objetivos frecuentes, a menudo porque tienen menos recursos de seguridad dedicados que las grandes empresas.

Los distritos escolares y las redes municipales son objetivos particularmente atractivos para los ataques basados en extorsión. Albergan grandes volúmenes de datos personales, incluidos registros de estudiantes, empleados y residentes, y a menudo enfrentan presión pública para evitar interrupciones, lo que puede hacer que sean más propensos a negociar. Cuando los atacantes saben que la palanca no es solo "¿puede funcionar sin sus archivos?", sino "¿puede permitirse que estos datos se publiquen?", la presión para pagar aumenta significativamente.

Cómo la doble extorsión cambia el cálculo para pequeñas y medianas empresas

La doble extorsión, cifrar sistemas mientras se amenaza con filtrar datos robados, cambia fundamentalmente la ecuación de riesgo para las organizaciones más pequeñas. Una empresa con copias de seguridad sólidas y probadas solía tener un camino claro hacia la recuperación: restaurar y reconstruir. Pero las copias de seguridad no impiden que un sitio de filtraciones publique contratos de clientes, números de Seguro Social de empleados o datos comerciales propietarios.

Esto es enormemente importante para las pequeñas y medianas empresas que pueden asumir que las copias de seguridad por sí solas constituyen una defensa contra el ransomware. Un ejemplo reciente de cómo se desarrollan estas amenazas de filtración en la práctica involucra el presunto ataque del grupo de ransomware Play a Kreysler & Associates, donde el grupo siguió su modelo operativo típico de amenazar con publicar datos robados en lugar de depender únicamente del cifrado para forzar el pago. Casos como este ilustran que la palanca de negociación que tienen los atacantes ha pasado de "bloqueamos sus sistemas" a "tenemos sus datos y los publicaremos". Eso es un riesgo reputacional, legal y regulatorio que la restauración de copias de seguridad simplemente no puede solucionar.

Para las organizaciones más pequeñas sin equipos de seguridad dedicados, este cambio significa que la planificación de respuesta a incidentes debe contemplar escenarios de exposición de datos, no solo tiempo de inactividad del sistema.

Medidas prácticas de endurecimiento que abordan el riesgo de extorsión

Las copias de seguridad siguen siendo esenciales, pero ya no son suficientes por sí solas. Las organizaciones que se toman en serio la reducción del riesgo de extorsión deben centrarse en algunas áreas que van más allá de la recuperación ante desastres tradicional:

  • Limitar lo que los atacantes pueden robar. Reducir la retención de datos donde sea posible y segmentar las redes para que una sola cuenta comprometida no dé acceso a todo.
  • Monitorear la exfiltración, no solo el cifrado. Las herramientas de detección que marcan transferencias de datos salientes inusuales pueden detectar un ataque antes de que los archivos abandonen la red, lo que a menudo es más temprano de lo que detectaría un monitoreo centrado en el cifrado.
  • Reforzar los controles de identidad. La autenticación multifactor y las cuentas privilegiadas estrictamente gestionadas siguen siendo de las barreras más efectivas contra el acceso inicial que los atacantes necesitan para robar datos en primer lugar.
  • Crear un plan de respuesta a incidentes que aborde las amenazas de filtración. Los pasos legales, de comunicación y de notificación regulatoria deben trazarse antes de que ocurra un ataque, no durante el mismo.

Lo que esto significa para usted

Si el plan de ransomware de su organización todavía se centra principalmente en procedimientos de copia de seguridad y restauración, está abordando la amenaza de ayer. La amenaza de extorsión de datos por ransomware significa que el riesgo real a menudo es lo que los atacantes ya copiaron antes de que usted notara un problema. Esto aplica ya sea que sea un distrito escolar, una oficina municipal o una pequeña empresa que maneja datos de clientes. Asumir que es demasiado pequeño para ser un objetivo ya no es una apuesta segura; las organizaciones más pequeñas suelen ser elegidas precisamente porque tienen menos defensas implementadas.

Puntos clave

  • Los ataques de ransomware priorizan cada vez más el robo de datos y las amenazas de filtración sobre el cifrado puro, un patrón que se observa tanto a nivel regional como internacional.
  • Recuperarse del cifrado con copias de seguridad no elimina el riesgo de que los datos robados se publiquen.
  • Las organizaciones pequeñas y medianas, incluidas las escuelas y las redes municipales, siguen siendo objetivos frecuentes debido a los recursos de seguridad limitados.
  • Una defensa efectiva ahora requiere monitorear la exfiltración de datos, reforzar los controles de acceso y planificar la respuesta a incidentes contemplando la posibilidad de una filtración pública, no solo el tiempo de inactividad del sistema.