Más de ocho meses después de que uno de los condados más ricos de Estados Unidos sufriera un ciberataque devastador, las dolorosas y costosas consecuencias aún no han terminado.
La Asamblea Legislativa del condado de Suffolk, en el este de Long Island, votó la semana pasada a favor de citar a declarar a cuatro empleados del condado con conocimiento del ataque de ransomware «Fall 2022 » de , que dejó inoperativos los sitios web, los servidores y las bases de datos del condado. A principios de este mes, la provincia anunció la contratación de su primer responsable de seguridad de la información (CISO) de la Agencia de Servicios de Información de California ( ), el Sr.. Asimismo, reconoció que la ausencia de un plan independiente de respuesta ante incidentes el año pasado probablemente contribuyó a que la recuperación se prolongara.
Con cada nuevo titular, siento un pequeño nudo en el estómago. Han pasado ya muchos meses y las autoridades siguen tratando de esclarecer qué ocurrió y por qué. En mi sector, oigo hablar de ciberataques casi todas las semanas, pero este me afectó personalmente.
El pasado mes de septiembre, mi madre sufrió una caída y se rompió el brazo, por lo que me apresuré a volver desde mi piso de Nueva York a la casa donde crecí, en el condado de Suffolk, para ayudar a cuidarla. El ciberataque se produjo dos días después, lo que obligó al condado a cerrar su página web y otras aplicaciones en línea que prestaban servicio a los 1.5 millones de residentes de la zona. La policía estatal tuvo que intervenir para ayudar a los servicios de emergencia locales comprobando matrículas, antecedentes de detenciones, órdenes de detención y otros datos esenciales durante los controles de tráfico, mientras que los operadores del 911 registraban las llamadas a mano. Se ha suspendido el servicio de correo electrónico de 10,000 empleados de la administración pública. El recuento de votos de las elecciones de mitad de legislatura se retrasó . Y el mercado inmobiliario local —que tiene una gran importancia en cualquier lugar, pero sin duda en el elegante East End de Long Island— sufrió un duro golpe, ya que no podía tramitar las consultas de títulos de propiedad ni otros trámites.
Durante los meses siguientes, cuidé de mi enérgica madre mientras se sometía a fisioterapia, y observé cómo el condado —menos enérgico, más desorientado y en decadencia— avanzaba a duras penas en su propio proceso de rehabilitación. Un informe forense de « » reveló que los piratas informáticos accedieron al sistema ocho meses antes del ataque real del ransomware « », en December 2021, a través de una vulnerabilidad en la oficina del secretario del condado. Tras obtener acceso, los intrusos, que pasaron desapercibidos, instalaron un software de minería de bitco , herramientas de exfiltración y sistemas de vigilancia; crearon cuentas falsas y recopilaron unos 26,000 números de la Seguridad Social y casi medio millón de números de permiso de conducir.
Ese informe, a pesar de sus conclusiones que dan que pensar, solo cuenta la mitad de la historia. A raíz del ataque han salido a la luz numerosas revelaciones que demuestran que Suffolk constituye un lamentable ejemplo de falta de seriedad en materia de ciberseguridad.
El coste de la actividad empresarial
En lugar de pagar un rescate de 2.5 millones de dólares a los piratas informáticos, el condado optó por restablecer los servicios por sus propios medios. Se tardó más de cinco meses en volver a poner en funcionamiento la página web y, aún hoy, algunos servicios en línea, como la consulta de títulos de propiedad y el pago de las facturas de alcantarillado, siguen sin estar disponibles.
«. La lamentable realidad es que los ciberdelincuentes tuvieron más acceso a la red de la secretaría electoral que el propio departamento de TI del condado.»Steve Bellone, presidente del condado de Suffolk
El coste de la respuesta a la filtración y de la restablecimiento de los servicios ascenderá a un total de 5.7 millones de dólares, según las últimas estimaciones del condado, aunque los expertos en seguridad señalan que esa cifra podría aumentar.
Si el condado debería haberse resignado y haber pagado el rescate es objeto de un debate (considerable) en , aunque muchos expertos sostienen que pagar un rescate expone a una empresa al riesgo de sufrir nuevos ataques. Una vez que los piratas informáticos originales (y otros) vean que está dispuesto a pagar, es posible que sigan acudiendo a la fuente de ingresos.
[Lea también: Descubriendo el arte de la negociación con los autores de ransomware]
¿Qué es lo que no se puede discutir? La pésima preparación del condado.
Lo que se ve y lo que no se ve
La falta de visibilidad sobre los puntos finales de la red hizo que el condado se viera obligado a actuar con precipitación durante las primeras semanas tras el ataque. «La lamentable realidad es que los ciberdelincuentes tuvieron más acceso a la red de la secretaría que el propio departamento de TI del condado», declaró el ejecutivo del condado, Steve Bellone, en una rueda de prensa de « » celebrada en febrero. Una gestión eficaz de los puntos finales , que incluyera un análisis completo de activos y un inventario, habría sido de gran ayuda para los equipos de seguridad una vez detectada la filtración.
El hecho de no contar con un CISO —una figura con autoridad que hubiera podido alertar a los responsables de la administración local sobre la falta de preparación, orientarles en el proceso de introducir mejoras rentables y tomar las riendas tras el ataque de los piratas informáticos— no ayudó en absoluto. Para muchas administraciones estatales y locales, que a menudo carecen de liquidez y no tienen grandes conocimientos en materia de ciberseguridad, un CISO parece un lujo y un ciberataque, una amenaza lejana y poco probable. Esta última suposición es totalmente erró ; la primera, aunque comprensible, tiene soluciones alternativas.
[Lea también: Cómo pueden los CISO combatir el agotamiento y prolongar sus carreras profesionales]
Suffolk barajó 30 candidatos para su primer puesto de CISO antes de decidirse por Kenneth Brancik, antiguo responsable de ciberseguridad del Mount Sinai Health System, quien percibirá un salario anual de 184,214 dólares, según informó Newsday . Es posible que ese coste resulte inasequible para algunos ayuntamientos y otras pequeñas empresas, pero opciones como o el programa de uso compartido de responsables de seguridad de la información (CISO) están ganando popularidad como forma de sufragar los costes de la experiencia en ciberseguridad.
Participar en una iniciativa que abarca todo el estado
La participación en los programas estatales de « » ( ) también está proporcionando cada vez más a las entidades municipales, tribales y de los condados información y orientación —¡y financiación!— a las que no habrían tenido acceso por sí mismas. Cuarenta y ocho estados han solicitado una parte del programa de subvenciones para la ciberseguridad « » , de cuatro años de duración y dotado con 1.000 millones de dólares, que forma parte de la ley de gasto en infraestructuras de 1.2 billones de dólares de la Administración Biden, aprobada en 2021. A medida que ese dinero ha ido llegando a los estados en los últimos meses, los responsables estatales lo están utilizando para compartir servicios con entidades de su propio estado.
«El día en que sufra un ataque, [debería] tener un plan preparado para ponerlo en práctica de inmediato, en lugar de andar a ciegas e intentar averiguar qué hay que hacer.»Richard Donoghue, asesor jurídico del Comité de Investigación de Intrusiones Cibernéticas de la Asamblea Legislativa del Estado de Nueva York
El Departamento de Tecnología de la Información del estado de New Hampshire, por ejemplo, está ayudando a los ayuntamientos, los sistemas escolares y los distritos de abastecimiento de agua a implantar la autenticación multifactorial y a formar al personal de TI. Illinois está compartiendo los servicios de su centro de operaciones de seguridad estatal, lo que proporciona capacidades mejoradas de detección en los terminales para mejorar la visibilidad de la red en los condados, los municipios, los departamentos del sheriff, los servicios del 911 y los distritos de abastecimiento de agua.
«Nuestro objetivo durante el primer año es lograr la mayor cobertura y visibilidad posibles para la defensa compartida en todo el estado», declaró recientemente Adam Ford, director de seguridad de la información (CISO) de Illinois, a Statescoop.
La importancia de un plan de respuesta ante incidentes
Pero podría decirse que el error más grave de Suffolk fue la falta de un plan de respuesta ante incidentes de . Los ciberataques ya no son una cuestión de «si», sino de «cuándo». Va a suceder, por mucho que lo planifique. Por lo tanto, disponer de un plan de actuación ante brechas de seguridad es esencial y, tal vez, la herramienta más importante del arsenal de una empresa. Suffolk no contaba con un plan de este tipo, lo que contribuyó de manera significativa al tiempo y al dinero que le ha costado al condado recuperarse.
Aunque el condado cuenta con un plan general de respuesta ante emergencias, este «no se centraba específicamente en las intrusiones cibernéticas», declaró Richard Donoghue, asesor jurídico de la Comisión de Investigación de Intrusiones Cibernéticas, designada especialmente por la Asamblea Legislativa, al diario Newsday a principios de este mes. «El día en que sufra un ataque», prosiguió, «debería tener un plan preparado para ponerlo en práctica de inmediato y responder sin demora, en lugar de andar dando vueltas y tratando de averiguar qué hay que hacer».
[Lea también: 5 pasos para elaborar un plan de respuesta ante incidentes sólido como una roca]
En las próximas semanas se verá con mayor claridad cuánto dolor y cuántas indemnizaciones se podrían haber evitado, una vez que las cuatro personas citadas a comparecer, que conocen las prácticas informáticas de Suffolk, se vean obligadas a testificar ante la comisión de investigación.
El brazo de mi madre se ha curado, pero su médico dice que seguirá notando las secuelas durante los próximos meses. La recuperación podría prolongarse fácilmente durante un año. Lo mismo ocurre, al parecer, con el condado de Suffolk, que sigue teniendo que dar explicaciones y asumir sus errores del pasado. Se espera que la comisión de investigación presente su informe final en torno al primer aniversario del atentado.
Sin duda, veremos más ruedas de prensa con el presidente del condado Bellone, quien luce una abundante melena de pelo blanco. ¿Puede ser aún más blanco? El tiempo —y quizá más citaciones judiciales— lo dirá.
