Un banco confió en la palabra de hackers de ransomware

Una institución financiera estadounidense, identificada en informes de ciberseguridad como River Bank, reveló un incidente de ciberseguridad importante después de que atacantes de ransomware robaran terabytes de datos confidenciales, incluyendo perfiles de clientes, documentos internos y registros bancarios confidenciales. Tras pagar un rescate, el banco declaró que creía que los atacantes habían eliminado los datos robados, basándose en gran medida en las garantías ofrecidas por el propio grupo criminal.

Este detalle es lo que hace notable la historia. Las negociaciones de ransomware suelen terminar con la promesa de que los archivos robados serán destruidos una vez que se efectúe el pago. Pero no existe un proceso de verificación independiente integrado en estas transacciones. Un banco, o cualquier organización, que confía en la palabra de una banda criminal no tiene una forma real de confirmar que los datos hayan desaparecido. Podrían ser copiados, revendidos o guardados para un segundo intento de extorsión meses después.

Por qué confiar en una banda de ransomware es una apuesta arriesgada

Las operaciones de ransomware están diseñadas para obtener pagos, no para cumplir acuerdos. Una vez que los atacantes han exfiltrado datos, controlan todas las copias de los mismos. Una promesa de eliminación es inaplicable y no existe ningún mecanismo técnico que permita a la organización víctima confirmar su cumplimiento. Incluso si los individuos concretos detrás de un ataque tienen la intención de eliminar su copia, los datos robados suelen pasar por redes de afiliados, intermediarios de acceso inicial o compradores externos antes de que se exija un rescate. Eliminar una copia no significa que todas las copias hayan desaparecido.

Para un banco que maneja perfiles de clientes y registros financieros confidenciales, esto es enormemente importante. Los datos bancarios no son como una contraseña robada que se puede restablecer sin más. Los números de cuenta, los historiales de transacciones y los documentos internos de cumplimiento conservan su valor para el fraude y el robo de identidad mucho después de que se divulgue una violación. Cuando una institución dice a los reguladores y a los clientes que cree que los datos fueron eliminados, básicamente está pidiendo al público que confíe en los mismos actores que irrumpieron y robaron la información en primer lugar.

Este patrón no es exclusivo de un incidente. Investigadores de seguridad y reportes de la industria han demostrado repetidamente que los grupos de ransomware con frecuencia retienen, revenden o filtran datos incluso después de recibir un pago. Tratar la garantía de un grupo criminal como la resolución de una violación, en lugar de como una afirmación no verificada, sienta un precedente preocupante sobre cómo las instituciones financieras comunican los riesgos a los clientes cuyos datos quedaron realmente expuestos.

Qué significa esto para usted

Si tiene una cuenta en una institución que ha divulgado una violación, o incluso en una que (aún) no ha informado de un incidente, la suposición más segura es que cualquier dato involucrado en un ataque de ransomware debe tratarse como comprometido de forma permanente, independientemente de lo que afirmen los atacantes. En la práctica, eso significa:

  • Revise sus estados de cuenta y reportes de crédito detenidamente en busca de actividad desconocida, especialmente en los meses posteriores a cualquier aviso de violación por parte de su banco.
  • Cambie sus contraseñas de banca en línea y active la autenticación multifactor si aún no lo ha hecho, ya que los documentos internos robados a veces pueden incluir información utilizada para responder preguntas de seguridad o restablecer credenciales.
  • Desconfíe de llamadas, mensajes de texto o correos electrónicos no solicitados que mencionen su banco, número de cuenta o transacciones recientes. Los datos bancarios robados se utilizan con frecuencia para elaborar intentos de phishing convincentes.
  • Considere usar una VPN al acceder a la banca en línea en redes Wi-Fi públicas o desconocidas, ya que cifrar su conexión reduce el riesgo de que sus credenciales sean interceptadas aparte de cualquier violación en la propia institución. Servicios como la prueba gratuita de Mozilla VPN ofrecen una forma de bajo compromiso para probar si la navegación cifrada se adapta a sus hábitos bancarios habituales.

Ninguno de estos pasos puede deshacer una violación que ya ocurrió, pero reducen las probabilidades de que los datos robados se traduzcan en un perjuicio financiero directo para usted.

El panorama general para las instituciones financieras

Este incidente pone de manifiesto una tensión más amplia en la forma en que las organizaciones que sufren una violación se comunican con el público. Los reguladores exigen cada vez más la divulgación de incidentes importantes de ciberseguridad, pero las normas de divulgación no obligan a las organizaciones a verificar las afirmaciones hechas por los atacantes antes de repetirlas. Cuando un banco dice a sus clientes que cree que los datos fueron eliminados, esa declaración refleja más esperanza que evidencia. Las instituciones financieras que manejan datos confidenciales de clientes necesitan prácticas de respuesta a incidentes que asuman el peor escenario de retención de información robada, en lugar de mensajes públicos que reproduzcan los propios argumentos de una banda de ransomware.

Puntos clave

Pagar un rescate no garantiza la eliminación de los datos, y ningún banco o empresa puede verificar que un grupo criminal haya destruido realmente los archivos robados. Si su institución financiera ha divulgado una violación, considere sus datos como expuestos de forma indefinida: vigile sus cuentas, refuerce la seguridad de inicio de sesión y manténgase alerta ante intentos de phishing que hagan referencia a datos reales de la cuenta. Confiar en las promesas de actores de ransomware no es una estrategia de seguridad, y tampoco debería ser la suya.