Pagar a los hackers de ransomware no garantiza tranquilidad

Las organizaciones que pagan una demanda de ransomware con la esperanza de hacer desaparecer el problema tal vez quieran reconsiderar esa estrategia. Una nueva investigación recogida por TechRadar descubrió que, si bien el 56% de las víctimas que pagaron un rescate sí recuperaron el acceso a sus sistemas, más de un tercio, el 37%, recibió una segunda exigencia de extorsión poco después de entregar el primer pago. Otro 2% pagó y nunca recuperó sus datos.

Los hallazgos cuestionan la suposición común de que pagar una demanda de ransomware es una transacción sencilla: pagar, obtener una clave de descifrado y seguir adelante. En cambio, los datos sugieren que, para una proporción significativa de las víctimas, el primer pago es considerado por los atacantes como un movimiento inicial más que como una resolución. Esto coincide con lo que ha mostrado otra investigación reciente. Un informe separado sobre ransomware encontró que casi la mitad de las organizaciones pagan y luego negocian, lo que refuerza la idea de que los pagos de ransomware rara vez son un costo limpio y único.

Por qué los hackers vuelven a por más

La lógica detrás de un intento de extorsión repetido es sencilla desde la perspectiva del atacante. Si una organización víctima ya ha demostrado disposición y capacidad para pagar, esa organización se convierte en un objetivo más atractivo para exigencias posteriores. Los grupos de ransomware saben que las empresas bajo presión para restablecer sus operaciones, proteger los datos de los clientes o evitar sanciones regulatorias a menudo están dispuestas a pagar de nuevo antes que arriesgarse a un tiempo de inactividad prolongado o a la divulgación pública de una brecha.

La investigación también destaca otro pliegue en el proceso de negociación del rescate: la flexibilidad de precios. Expertos citados en el informe señalan que los operadores de ransomware con frecuencia reducen su demanda inicial, y algunos descuentos llegan a alcanzar hasta un 96 % del precio original solicitado. Esto no es generosidad. Refleja una estrategia de negociación donde el primer número se infla deliberadamente, y el objetivo real es simplemente extraer algún pago, cualquier pago, de la víctima. Comprender esta dinámica es importante porque demuestra que las demandas de rescate no son precios fijos establecidos por un mercado racional. Son ofertas iniciales en una negociación diseñada para maximizar lo que una organización ya estresada está dispuesta a pagar.

En conjunto, las demandas iniciales infladas, los grandes descuentos y el patrón de extorsión repetida pintan un cuadro de un ecosistema construido alrededor de la presión en lugar del intercambio justo. Una vez que una víctima paga, los atacantes tienen la prueba de que la presión funciona, y ese dato puede utilizarse de nuevo, ya sea contra la misma organización o compartirse en círculos criminales como evidencia de que un objetivo merece la pena perseguir.

Lo que esto significa para usted

Para particulares, pequeñas empresas y grandes corporaciones por igual, la conclusión no es que nunca deba pagarse un rescate bajo ninguna circunstancia (esa es una decisión que cada organización debe sopesar en función de su propia tolerancia al riesgo y sus obligaciones legales). Más bien, la conclusión es que el pago nunca debe tratarse como una solución garantizada. Cualquiera que esté considerando pagar un rescate necesita planificar la posibilidad de que no sea la última exigencia y de que la recuperación de los datos no esté asegurada incluso después de que el dinero cambie de manos.

Esto es especialmente relevante para las organizaciones más pequeñas y los particulares que pueden no contar con equipos dedicados de respuesta a incidentes. El mismo informe sobre ransomware que muestra que las víctimas pagan y luego vuelven a negociar subraya que incluso las empresas con buenos recursos tienen dificultades para cerrar el ciclo después de un ataque. Sin el apoyo de una respuesta profesional a incidentes, las probabilidades de un resultado favorable después del pago no son necesariamente mejores para los objetivos más pequeños.

La implicación práctica es que la prevención y la preparación importan mucho más que la habilidad para negociar una vez ocurrido el hecho. Unas copias de seguridad fiables y fuera de línea, procedimientos de recuperación probados y una seguridad sólida de los puntos finales reducen la presión que los atacantes tienen en primer lugar. Si una organización nunca necesita plantearse pagar porque puede restaurar a partir de copias de seguridad, todo el ciclo de extorsión, incluido el riesgo de una segunda exigencia, se vuelve irrelevante.

Medidas prácticas

  • Mantenga copias de seguridad periódicas y probadas, almacenadas fuera de línea o en un entorno separado y aislado, para que la recuperación no dependa de la cooperación del atacante.
  • Trate cualquier pago de rescate como una decisión empresarial con un riesgo real de exigencias posteriores, no como una resolución garantizada.
  • Involucre a las fuerzas de seguridad y a profesionales experimentados en respuesta a incidentes antes de tomar decisiones de pago, ya que a menudo tienen información sobre el historial del grupo atacante.
  • Invierta en una higiene de seguridad básica, que incluya la aplicación de parches, la autenticación multifactor y la segmentación de la red, para reducir las posibilidades de ser víctima en primer lugar.

En última instancia, esta investigación es un recordatorio de que un pago de ransomware no compra un cierre, compra una oportunidad. Las organizaciones que planifican la resiliencia en lugar de confiar en la negociación están en una posición mucho más sólida, tanto si alguna vez se enfrentan a una demanda de rescate como si no.