La llamada de soporte técnico llegó a las 7 a.m. en una mañana de verano en 2021. Todos los iconos en el escritorio de la persona que llamó habían quedado en blanco, dijo. Nada funcionó.
En el otro extremo de la línea, John Abercrombie sabía inmediatamente lo que había salido mal. El director de soporte técnico de una pequeña empresa de construcción comercial en el norte de California le indicó a la persona que llama que desenchufara su computadora de inmediato. Un minuto más tarde, Abercrombie recibió otra llamada de una sucursal con la misma queja.
“En ese momento, me digo: ‘Estamos tan malinterpretados’”, recuerda ahora.
Abercrombie llamó para despertar a un técnico que vivía más cerca de las oficinas centrales de la empresa: “No me importa si está en sus PJ: ¡baje allí y comience a desenchufar las cosas!” dijo.
Para entonces, más de cien servidores y escritorios de la empresa habían sido infectados con malware. El ataque de ransomware no solo había bloqueado los datos de la empresa, sino que también había cifrado los archivos del sistema operativo, lo que dejaba las máquinas inoperables. Y la desgracia de Abercrombie solo estaba comenzando.
La siguiente llamada que realizó fue a su compañía de ciberseguros , que recomendó un abogado. Ese abogado, a su vez, contrató a un equipo de respuesta a incidentes que podría ayudarlo a limpiar el desorden, una máquina
a la vez.
Se tardó alrededor de una semana en poner en marcha la empresa nuevamente, en parte porque los atacantes habían estado acechando dentro de la red durante un período desconocido y habían eliminado manualmente algunas de sus copias de seguridad en línea. En total, Abercrombie trabajó días de 15 horas durante un mes para reconstruir los sistemas desde cero y hacer que la empresa vuelva a la normalidad.
Al final, su compañía de seguros pagó el rescate, un monto en las seis cifras bajas, y la compañía pudo descifrar los archivos que los hackers habían devuelto.
John Abercrombie no es el nombre real del hombre. Algunos detalles del ataque se han cambiado para proteger la identidad de su empresa, de lo contrario se convertirá en un objetivo para más ataques. Pero su historia es común. Más de 3,700 empresas informaron un ataque de ransomware al FBI en 2021, según un informe reciente del Comité de Seguridad Nacional y Asuntos Gubernamentales del Senado. Esa cifra es casi seguramente una cantidad significativa de ataques reales.
El ransomware sigue siendo un peligro claro y presente tanto para las pequeñas empresas como para las empresas globales. Y si los líderes comerciales no tienen un plan detallado para responder, podrían estar en un mundo de daños. Esto es lo que los líderes deben hacer para activar su plan si alguna vez enfrentan un ataque.
Una historia familiar de malware de delitos reales
Desde Campbell Soup hasta Colonial Pipeline y desde las tiendas familiares hasta los gobiernos enteros, ninguna organización es inmune a los ataques de ransomware. Es un problema que ha plagado a organizaciones e individuos durante décadas.
“En ese momento, me digo ‘Estamos muy malinterpretados’”.John Abercrombie, director de soporte técnico, construcción comercial
La primera instancia conocida de un ataque de ransomware ocurrió en 1989. El malware conocido como el troyano del SIDA se entregó a través de un disquete infectado y mostró una nota que exigía un pago de entre 189 y 378 USD.
El problema es mucho más grande hoy. El informe 2022 Data Breach Investigations de Verizon encontró un aumento alarmante en las violaciones de ransomware cada vez más sofisticadas. El aumento del 13 % en los ataques en 2021 fue el mayor aumento en cinco años. Las organizaciones han pagado casi 1.3 000 millones de USD en criptomonedas a pandillas de ransomware desde 2020, según un análisis de punto final de datos del especialista en cadena de bloques Chainalysis. Eso es aproximadamente cuatro veces el monto total pagado de 2016 a 2020.
En 2021, los servicios de inteligencia, las pandillas criminales y los “hacktivistas” en Rusia fueron los destinatarios de hasta el 74 % de los pagos de ransomware de empresas occidentales, o alrededor de 400 millones de dólares en criptomonedas, informa Chainalysis. Un estudio de junio de Microsoft descubrió que Rusia se ha dirigido a 128 organizaciones en 42 países fuera de Ucrania desde que comenzó la guerra, incluidos gobiernos, grupos de expertos, organizaciones humanitarias, proveedores de TI y empresas de infraestructura crítica . La focalización rusa ha sido exitosa el 29 % del tiempo. Al menos un cuarto de estas intrusiones exitosas han robado datos.
[Leer también: Cómo se enfrenta la empresa al ransomware y cómo puede comenzar hoy mismo]
La respuesta más efectiva a ataques como estos no ha cambiado mucho desde que surgió el ransomware por primera vez. Si mantiene copias de seguridad fuera de línea actualizadas, puede borrar las máquinas infectadas, restaurar los datos y continuar con su día de trabajo. Es posible que pierda unas horas de datos, pero eso sigue siendo mejor que pagar un rescate, lo que puede o no hacer que reciba las claves para descifrar los datos robados.
“Una vez que su red se haya visto comprometida, tener buenas copias de seguridad sin conexión es lo mejor que puede esperar”, señala Josh Bryant, director ejecutivo de gestión de cuenta técnica de Tanium.
No hay una solución fácil para la epidemia de ransomware actual
Entonces, ¿por qué el ransomware sigue siendo un problema tan enorme?
Una razón es que muchas organizaciones no hacen un buen trabajo al crear copias de seguridad, señala Mike Meikle, un consultor de seguridad de larga data que estima que pasa alrededor del 20 % de su tiempo abordando problemas de ransomware. En particular, las organizaciones no realizan pruebas adecuadas para asegurarse de que sus copias de seguridad sean confiables y contengan todos los datos más críticos y actualizados necesarios para que una empresa se recupere.
El otro gran motivo es que la industria del ransomware se ha vuelto más sofisticada. El aumento del ransomware como servicio (RaaS) facilita el lanzamiento de ataques para los adversarios menos calificados. ¿Por qué dedicar tiempo y dinero a desarrollar su propio malware cuando solo puede alquilar el de otra persona? Muchos atacantes trabajan con agentes de acceso inicial, otros hackers que obtienen acceso a redes y venden esas puertas traseras a las pandillas, lo que facilita aún más el trabajo.
Las pandillas se han vuelto recientemente más selectivas en sus objetivos, enfocándose más en organizaciones de bolsillo profundo que en pequeñas empresas. El pago promedio por ransomware aumentó de alrededor de 25,000 USD en 2019 a casi 120,000 USD en 2021, según Chainalysis. Los atacantes están pasando más tiempo acechando dentro de la red de una empresa: moviéndose lateralmente, sondeando vulnerabilidades y exfiltrando datos confidenciales.
También adoptaron un modelo de negocio secundario: la extorsión. Según la firma de gestión de riesgos cibernéticos Kroll, casi ocho de cada 10 ataques de ransomware en la primera mitad de 2021 incluyeron una amenaza de divulgar los datos robados en Internet pública.
Sin embargo, los vectores de ataque más comunes han permanecido casi iguales a lo largo de los años: vulnerabilidades de software que no tienen parches y seres humanos que son engañados para entregar sus credenciales de acceso o iniciar código malicioso.
“Prevenir esa entrada inicial es extremadamente difícil”, dice Bryant de Tanium. “No importa cuántos controles técnicos implemente, los atacantes aún pueden engañarlo para que ingrese a su entorno. Y una vez que están adentro, pueden vivir fuera de la tierra y moverse lateralmente”.
Qué hacer después de un ataque de ransomware
Si tiene la suerte de infectarse con malware, la primera llamada que debe hacer es a su departamento legal, dice Bryant. A su vez, pueden interactuar directamente con su compañía de ciberseguros y su equipo de respuesta a incidentes.
“Una vez que los hackers están dentro, pueden vivir fuera de la tierra y moverse lateralmente”.Josh Bryant, director ejecutivo de gestión de cuenta técnica de Tanium.
En caso de una demanda, cualquier acción tomada por el equipo de IR estaría protegida de la divulgación bajo el privilegio abogado-cliente. Los abogados también participarían en la notificación del incidente a las autoridades legales, como la Agencia Federal de Seguridad de Infraestructura y Ciberseguridad (Cybersecurity and Infrastructure Security Agency , CISA) o el Centro de Quejas de Delitos en Internet del FBI (IC3).
Lo que es más importante, debe activar un plan de recuperación para toda la organización, uno que ya sepa cómo implementar. Tener ejercicios o simulaciones regulares de mesa en los que participen todas las partes interesadas importantes puede ayudar mucho a garantizar una recuperación completa después de un hackeo, agrega Bryant.
[Leer también: 5 pasos para un plan de respuesta a incidentes sólido]
Después de descubrir una intrusión, deberá determinar cómo entraron los atacantes y dónde fueron desde allí. ¿Su sistema de alerta perdió algo? ¿Tiene los controles adecuados en torno a los privilegios de acceso de los empleados? Limitar la capacidad de un adversario para moverse eliminará la gran mayoría de las amenazas de ransomware, dice Bryant. Si los atacantes no pueden moverse lateralmente a través de su red, es más probable que pasen a un objetivo más fácil.
El hecho de que termine pagando un rescate depende de la situación, dice. Es una decisión que necesita equilibrar los riesgos y beneficios, y generalmente es responsabilidad de las partes legales y ejecutivas. Bryant recomienda hacer preguntas como: ¿Cuál es una cantidad aceptable de pérdida? ¿Podemos vivir con una semana o un mes sin datos si nuestras copias de seguridad en línea más recientes se ven comprometidas?
“Incluso si elige descifrar, aún es aconsejable tener una investigación exhaustiva para asegurarse de que los atacantes no hayan dejado nada atrás y luego borrar y volver a cargar sus sistemas de copias de seguridad buenas y confiables”, dice Bryant.
[Leer también: Olvidar el cannabis o las armas: ¿deberían hacerse ilegales los pagos de ransomware?]
Y, por supuesto, desea hacer todo lo que esté a su alcance para asegurarse de que no vuelva a ocurrir un hackeo.
John Abercrombie ahora realiza una copia de seguridad de todos los servidores críticos de su empresa en un dispositivo local que replica las copias de seguridad en el almacenamiento en la nube utilizando diferentes credenciales de acceso del resto de la red. La empresa ha adoptado un nuevo software de protección de endpoint basado en IA y un software de seguridad de correo electrónico, y ha contratado a una empresa de detección y respuesta gestionadas (Managed Detection and Response, MDR) para gestionarlo. Estableció una autenticación de dos factores e inició una formación contra el phishing para todos sus colaboradores.
El incendio de malware la próxima vez
La parte más aterradora de la filtración de ransomware para su empresa, recuerda Abercrombie, fue la comprensión de que no había nada que impidiera que se volviera a atacar.
“Hay muchas pandillas de ransomware”, dice. “No es como que uno diga: ‘Oh, uno de nuestros competidores los golpeó el mes pasado, les daremos un pase’. Por lo tanto, desde el incidente, hemos estado hiperenfocados en la seguridad”.
¿El mejor consejo de Abercrombie para los demás? “Haga un plan”, dice. “Entonces, cuando sucede, y sucederá, no está atascado tratando de averiguar qué hacer”.
