La llamada al servicio técnico se recibió en el número 7 a.m. una mañana de verano del año 2021. Según él, todos los iconos del escritorio de la persona que llamaba se habían quedado en blanco. Nada funcionó.
Al otro lado de la línea, John Abercrombie supo de inmediato qué había salido mal. El director del servicio técnico de una pequeña empresa de construcción comercial del norte de California le indicó a la persona que llamaba que desconectara su ordenador de inmediato. Un minuto después, Abercrombie recibió otra llamada de una sucursal con la misma queja.
«En ese momento pensé: “Estamos perdidos”», recuerda ahora.
Abercrombie llamó para despertar a un técnico que vivía más cerca de la sede central de la empresa: «No me importa si va en pijama: ¡vaya allí y empiece a desenchufar todo!», le dijo.
Para entonces, más de un centenar de servidores y ordenadores de sobremesa de la empresa habían sido infectados con malware. El ataque de ransomware « » no solo había bloqueado los datos de la empresa, sino que también había cifrado los archivos del sistema operativo, lo que dejó los equipos inoperativos. Y la desgracia de Abercrombie no hacía más que empezar.
A continuación, llamó a su compañía de seguros cibernéticos , que le recomendó un abogado. A su vez, dicho abogado contrató a un equipo de respuesta ante incidentes de que pudiera ayudarle a solucionar el problema, máquina
por máquina.
Se tardó aproximadamente una semana en volver a poner en marcha la empresa, en parte porque los atacantes llevaban un tiempo indeterminado infiltrados en la red y habían eliminado manualmente algunas de sus copias de seguridad en línea. En total, Abercrombie trabajó jornadas de 15 horas durante un mes para reconstruir los sistemas desde cero y que la empresa volviera a la normalidad.
Al final, su compañía de seguros pagó el rescate —una cantidad de seis cifras, en la franja baja— y la empresa pudo descifrar los archivos que los piratas informáticos habían devuelto.
John Abercrombie no es el nombre real de ese hombre. Se han modificado algunos detalles del ataque para proteger la identidad de su empresa, con el fin de evitar que se convierta en blanco de nuevos ataques. Pero su historia es habitual. Más de 3,700 empresas denunciaron un ataque de ransomware al FBI en 2021, según un informe reciente de la Comisión de Seguridad Nacional y Asuntos Gubernamentales del Senado titulado « » (), disponible en. Es casi seguro que esa cifra representa un recuento muy inferior al número real de ataques.
El ransomware sigue siendo un peligro evidente y inminente tanto para las pequeñas empresas como para las grandes empresas internacionales. Y si los dirigentes empresariales no cuentan con un plan detallado para hacer frente a esta situación, podrían encontrarse en serios apuros. A continuación se indica lo que deben hacer los responsables para poner en marcha su plan en caso de que se enfrenten a un ataque.
Una conocida historia de malware relacionada con delitos reales
Desde (Campbell Soup, ) hasta (Colonial Pipeline, ), y desde (pequeños comercios familiares, ) hasta (gobiernos en su totalidad,): ninguna organización es inmune a los ataques de ransomware. Se trata de un problema que lleva décadas afectando a organizaciones y particulares.
«. En ese momento pensé: “Estamos perdidos”.»John Abercrombie, director de asistencia técnica en el sector de la construcción comercial
El primer caso conocido de un ataque de ransomware tuvo lugar allá por el año 1989. El malware conocido como «Troya del SIDA» se propagaba a través de un disquete infectado y mostraba un mensaje en el que se exigía el pago de una cantidad comprendida entre 189 y 378 dólares.
Hoy en día, el problema es mucho mayor. El informe « 2022 Investigaciones sobre fugas de datos» de Verizon , disponible en , ha revelado un aumento alarmante de los ataques de ransomware, cada vez más sofisticados. El aumento del 13 % en el número de ataques registrado en 2021 supuso el mayor incremento de los últimos cinco años. Las organizaciones han pagado casi 1.3 000 millones de dólares en criptomonedas a las bandas de ransomware desde el año 2020, según un análisis de Endpoint basado en datos de Chainalysis, empresa especializada en blockchain. Eso supone aproximadamente cuatro veces la cantidad total abonada entre el 2016 y el 2020.
En 2021, los servicios de inteligencia, las bandas criminales y los «hacktivistas» de Rusia recibieron hasta un 74 % de los pagos por ransomware realizados por empresas occidentales, lo que equivale a unos 400 millones de dólares en criptomonedas, según informa Chainalysis. Un estudio publicado en junio por « » de Microsoft reveló que Rusia ha atacado a 128 organizaciones en 42 países fuera de Ucrania desde que comenzó la guerra, entre las que se incluyen gobiernos, centros de estudios, organizaciones humanitarias, proveedores de TI y empresas de infraestructuras críticas . Los ataques rusos dirigidos contra han tenido éxito en el 29 % de los casos. Al menos una cuarta parte de estas intrusiones que han tenido éxito han dado lugar al robo de datos.
La respuesta más eficaz ante ataques como estos no ha cambiado mucho desde que apareció por primera vez el ransomware. Si dispone de copias de seguridad fuera de línea actualizadas, podrá formatear los equipos infectados, restaurar los datos y continuar con su jornada laboral. Es posible que pierda datos correspondientes a unas cuantas horas, pero eso sigue siendo mejor que pagar un rescate, lo cual puede que le permita —o no— recibir las claves para descifrar los datos robados.
«Una vez que su red se ha visto comprometida, disponer de buenas copias de seguridad fuera de línea es lo mejor que puede esperar», señala Josh Bryant, director sénior de gestión técnica de cuentas de Tanium.
No existe una solución fácil para la actual epidemia de ransomware
Entonces, ¿por qué sigue siendo el ransomware un problema tan grave?
Una de las razones es que muchas organizaciones no realizan copias de seguridad de forma adecuada, señala Mike Meikle, un consultor de seguridad con amplia experiencia que calcula que dedica aproximadamente el 20 % de su tiempo a resolver problemas relacionados con el ransomware. En concreto, las organizaciones no realizan las pruebas necesarias para asegurarse de que sus copias de seguridad sean fiables y contengan todos los datos más críticos y actualizados que una empresa necesita para recuperarse.
La otra razón importante es que el sector del ransomware se ha vuelto más sofisticado. El auge del «ransomware como servicio» (RaaS) facilita que los atacantes con menos conocimientos puedan lanzar ataques. ¿Por qué dedicar tiempo y dinero a desarrollar su propio malware cuando puede simplemente alquilar el de otra persona? Muchos atacantes colaboran con intermediarios de acceso inicial —otros piratas informáticos que consiguen acceder a las redes y venden esas puertas traseras a las bandas—, lo que facilita aún más la tarea.
Últimamente, las bandas se han vuelto más selectivas a la hora de elegir a sus víctimas, centrándose más en organizaciones con grandes recursos económicos que en las pequeñas empresas. Según Chainalysis, el pago medio por ransomware aumentó de unos 25,000 dólares en 2019 a casi 120,000 dólares en 2021. Los atacantes dedican cada vez más tiempo a permanecer ocultos en el interior de la red de una empresa, desplazándose lateralmente, buscando vulnerabilidades y sustrayendo datos confidenciales.
Además, han adoptado un modelo de negocio secundario: la extorsión. Según la empresa de gestión de riesgos cibernéticos Kroll, casi ocho de cada 10 ataques de ransomware perpetrados durante el primer semestre de 2021 incluían la amenaza de publicar los datos sustraídos en Internet.
Sin embargo, los vectores de ataque más habituales se han mantenido prácticamente iguales a lo largo de los años: vulnerabilidades de software que no se han corregido y personas a las que se engaña para que revelen sus credenciales de acceso o ejecuten código malicioso.
«Impedir ese acceso inicial supone un reto enorme», afirma Bryant, de Tanium. «Por muchos controles técnicos que se implementen, los atacantes siempre pueden engañarle para conseguir acceso a su entorno». «Y una vez que están dentro, pueden subsistir de lo que les ofrece el entorno y desplazarse lateralmente».
Qué hacer tras un ataque de ransomware
Si tiene la mala suerte de sufrir un ataque de malware, lo primero que debe hacer es ponerse en contacto con su departamento jurídico, afirma Bryant. A su vez, pueden ponerse en contacto directamente con su compañía de seguros cibernéticos y con su equipo de respuesta ante incidentes.
«. Una vez que los hackers han accedido al sistema, pueden aprovechar los recursos disponibles y desplazarse lateralmente.»Josh Bryant, director sénior de gestión técnica de cuentas de Tanium.
En caso de que se interpusiera una demanda, cualquier medida adoptada por el equipo de IR quedaría protegida frente a su divulgación en virtud del secreto profesional entre abogado y cliente. Los abogados también se encargarían de notificar el incidente a las autoridades competentes, como la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) , dependiente del Departamento de Seguridad Nacional ( ), o el Centro de Denuncias de Delitos en Internet (IC3) (IC3) del FBI .
Y lo que es más importante, debe poner en marcha un plan de recuperación para toda la organización, uno que ya sepa cómo aplicar. «Realizar periódicamente simulacros o ejercicios teóricos en los que participen todas las partes interesadas relevantes puede contribuir en gran medida a garantizar una recuperación completa tras un ataque informático», añade Bryant.
[Lea también: 5 pasos para elaborar un plan de respuesta ante incidentes sólido como una roca]
Tras detectar una intrusión, deberá determinar cómo lograron acceder los atacantes y adónde se dirigieron a continuación. ¿Se le ha pasado algo por alto a su sistema de alertas? ¿Dispone de los controles adecuados en relación con los privilegios de acceso de los empleados? «Limitar la capacidad de actuación de un adversario eliminará la gran mayoría de las amenazas de ransomware», afirma Bryant. Si los atacantes no pueden desplazarse lateralmente por su red, es más probable que busquen un objetivo más fácil.
Según él, el hecho de que acabe pagando un rescate depende de la situación. Se trata de una decisión en la que es necesario sopesar los riesgos y los beneficios, y que suele ser responsabilidad de los departamentos jurídico y ejecutivo. Bryant recomienda plantear preguntas como: ¿Cuál es el nivel de pérdidas aceptable? ¿Podríamos soportar estar una semana o un mes sin datos si nuestras copias de seguridad en línea más recientes se vieran comprometidas?
«Aunque decida descifrar los datos, sigue siendo recomendable llevar a cabo una investigación exhaustiva para asegurarse de que los atacantes no hayan dejado nada atrás y, a continuación, borrar y reinstalar sus sistemas a partir de copias de seguridad válidas y fiables», afirma Bryant.
Y, por supuesto, querrá hacer todo lo que esté en su mano para garantizar que no vuelva a producirse un ataque informático.
John Abercrombie realiza ahora copias de seguridad de todos los servidores críticos de su empresa en un dispositivo instalado en las propias instalaciones que replica las copias de seguridad en un almacenamiento en la nube utilizando credenciales de acceso distintas a las del resto de la red. La empresa ha implantado un nuevo software de protección de terminales basado en inteligencia artificial ( ) y un software de seguridad del correo electrónico, y ha contratado a una empresa especializada en detección y respuesta gestionadas (MDR) para que se encargue de su gestión. Ha configurado un sistema de autenticación de dos factores y ha puesto en marcha un programa de formación contra el phishing para todos sus empleados.
El próximo brote de malware
Abercrombie recuerda que lo más aterrador del ataque de ransomware que sufrió su empresa fue darse cuenta de que no había nada que impidiera que volvieran a atacarles.
«Hay muchas bandas de ransomware por ahí», afirma. «No es como si uno fuera a decir: “Vaya, uno de nuestros competidores les ha dado una paliza el mes pasado, así que les dejaremos pasar”.» «Así pues, desde que se produjo el incidente, nos hemos centrado al máximo en la seguridad».
¿Cuál es el mejor consejo de Abercrombie para los demás? «Elabore un plan», dice él. «Así que, cuando suceda —y sucederá—, no se quedará atascado tratando de averiguar qué hacer».
