Según se ha informado, lo único que necesitaron los piratas informáticos para acceder a los sistemas informáticos de varios de los principales casinos de Las Vegas en septiembre fue una llamada telefónica de 10 minutos muy persuasiva. Pero esa es solo una de las formas en que se aprovecharon de los eslabones débiles en las cadenas de ciberseguridad de las empresas para lanzar devastadores ataques de ransomware.
Los estafadores lograron inicialmente acceder a las redes de MGM Resorts, Caesars Entertainment y otros casinos utilizando uno de los trucos más antiguos que existen: convencer al personal del servicio de asistencia informática de que eran empleados que habían perdido sus datos de acceso y necesitaban unos nuevos.
La noticia acaparó los titulares durante semanas, ya que en ella se mencionaban objetivos tan importantes del Strip de Las Vegas, así como enormes cantidades de dólares. Por ejemplo, El Wall Street Journal informó de que Caesars pagó un rescate estimado en 15 millones de dólares para recuperar el control de sus sistemas. Por su parte, MGM rechazó el pago y, en su lugar, asumió unas pérdidas operativas de más de 100 millones de dólares durante el periodo en que algunas máquinas tragaperras, quioscos de apuestas deportivas, llaves digitales de las habitaciones de hotel, reservas en línea y sistemas de tarjetas de crédito permanecieron inactivos.
Sin duda, es algo muy atractivo. Sin embargo, casi oculta entre las noticias sobre el ataque se esconde una revelación aún más siniestra: que un importante grupo de «ransomware como servicio» (RaaS) probablemente haya proporcionado a sus intermediarios todas las herramientas necesarias para llevar a cabo estos ataques.
De hecho, según se ha informado, una banda de RaaS llamada ALPHV, también conocida como BlackCat, ayudó a una operación de piratería informática denominada Scattered Spider, o UNC3944, en sus intentos por extorsionar a los casinos a cambio de una parte del botín. Así es como suele funcionar el RaaS (que se pronuncia «rass»): los delincuentes utilizan un modelo de « » (XaaS, «todo como servicio») y ofrecen herramientas y servicios de piratería informática fáciles de usar en la dark web a cambio de una cuota mensual fija o de una parte de los beneficios obtenidos.
Según David Bradbury, director de seguridad de la información (CISO) de Okta, una empresa dedicada a la gestión de identidades y accesos, este tipo de prácticas son habituales entre estos ciberdelincuentes. «Piense en ellos más bien como socios comerciales o afiliados», declaró Bradbury a Reuters.
En uso desde al menos el año 2016, este modelo de negocio del ransomware « » ( ) ha sido adoptado por bandas cibernéticas que llevan a cabo sus actividades con tal precisión y servicios personalizados (algunos paquetes de RaaS incluyen atención al cliente, reseñas, actualizaciones de funciones y descuentos) que harían sentir orgulloso a un profesor de Wharton. El resultado: el RaaS se ha convertido en un negocio extraordinariamente rentable.
Aumentando el sufrimiento: ¿qué es el «ransomware como servicio» y por qué resulta tan eficaz?
Resulta que este tipo de acuerdos ilícitos no solo se han disparado, sino que también han desempeñado un papel clave en el aumento de casi el 40 % de los ataques de ransomware a nivel mundial durante el último año, según un informe de « » ( ) elaborado por Zscaler, una plataforma de «zero-trust» () .
«. Los aspirantes a ciberdelincuentes utilizan el modelo RaaS para llevar a cabo ataques que, de otro modo, quizá no serían capaces de lanzar por sí mismos.»Deepen Desai, director global de seguridad de la información (CISO) y responsable de investigación en materia de seguridad de Zscaler
«Los aspirantes a ciberdelincuentes utilizan el RaaS para llevar a cabo ataques que, de otro modo, quizá no serían capaces de lanzar por sí mismos», afirmó Deepen Desai, director global de seguridad de la información (CISO) y responsable de investigación en seguridad de Zscaler. «La gran mayoría de los grupos de ransomware recurren al modelo RaaS, que ha demostrado su eficacia, lo que ha provocado un aumento del número de ataques cada año».
BlackCat se considera una de las bandas de RaaS más grandes y perniciosas, aunque se cree que la mayoría de sus miembros pertenecen a la Generación Z y tienen entre años o poco más de 20s. Sin embargo, otros jugadores de renombre también han perjudicado a las organizaciones en los últimos años, entre ellos:
- BlackBasta, que se cree que estuvo detrás de un costoso ataque de ransomware contra BankCard USA el pasado mes de junio
- Clop, la banda de ransomware que recientemente se aprovechó de las vulnerabilidades del software de transferencia de archivos MOVEit de para lanzar ataques que afectaron a más de 40 millones de personas y al menos a 600 organizaciones públicas y privadas
- Karakurt, una rama de la famosa banda Conti que lleva un año atacando a organizaciones sanitarias y amenazando con hacer públicos los historiales médicos confidenciales de los pacientes
- LockBit, que, según el Gobierno de EE. UU., ha extorsionado a empresas estadounidenses por un importe aproximado de 91 millones de dólares desde 2020. En estos momentos está exigiendo un rescate a CDW, uno de los mayores distribuidores del mundo.
Las bandas de RaaS llevan en activo el tiempo suficiente como para que muchos de los nombres más notorios ya hayan sido eliminados. En enero, por ejemplo, el grupo Hive RaaS, que presuntamente sustrajo más de 100 millones de dólares a 1,500 víctimas en 80 países entre los años 2021 y 2023, fue infiltrado y desarticulado por agentes del FBI. Y el año pasado, fueron detenidos en Rusia varios miembros de REvil, el prolífico grupo que, según las autoridades estadounidenses, llevó a cabo el ataque contra Colonial Pipeline, lo que provocó una compra frenética de gasolina en la costa este.
[Véase también: Resumen de CTI: el FBI y la CISA emiten un aviso conjunto sobre Snatch RaaS]
Sin embargo, a pesar de estas medidas de desmantelamiento, la actividad delictiva relacionada con el RaaS sigue expandiéndose y amenaza con afectar a los sistemas informáticos de organizaciones de los sectores de educación, construcción, administración pública, sanidad, medios de comunicación, comercio minorista, energía, transporte y servicios financieros, entre otros sectores. Por ello, los expertos del sector afirman que es importante mantenerse alerta, tomar precauciones y adaptarse, ya que esta situación no va a desaparecer a corto plazo.
«Supongo que, en mi opinión, se trata de uno de los mayores ataques perpetrados por actores maliciosos», afirmó Kathryn Goldman, directora ejecutiva de Cybermaniacs, una consultora especializada en formación en concienciación cibernética. «No sé si perdurará o si sufrirá cambios». «Pero parece que la situación está empeorando, y debemos actuar al respecto».
Prepárese para lo inevitable: para contrarrestar el ransomware como servicio, forme (y vuelva a formar) a sus empleados
Goldman sugiere comenzar con cambios culturales destinados a concienciar a los empleados sobre el problema, con el fin de evitar correr la misma suerte que esos hoteles-casinos de Las Vegas. Precisamente ayer, Microsoft publicó un informe de inteligencia sobre amenazas titulado « » ( ) sobre un colectivo de ciberdelincuentes de lengua materna inglesa que se centra en el personal de asistencia técnica y los administradores técnicos, imitando a los nuevos empleados con una precisión notable en cuanto a dialecto y tics vocales, y convenciendo a los responsables de seguridad para que restablezcan contraseñas y métodos de autenticación multifactorial (MFA) .
Los empleados no tienen por qué memorizar ni siquiera conocer todas las bandas de RaaS del planeta, sobre todo teniendo en cuenta que los participantes cambian constantemente. Según Goldman, una estrategia más eficaz consiste en informarles sobre cómo los atacantes se aprovechan hoy en día de su psicología o sus emociones para engañarlos y que actúen de determinada manera, como hacer clic en un enlace o facilitar información por teléfono. Técnicas de ingeniería social como estas permiten a los atacantes de RaaS infiltrarse en una red, apoderarse de sus activos o bloquearla a cambio de un rescate.
«Lo que se pretende es capacitar a todo su personal para que se conviertan en agentes de defensa proactivos para su organización.»Kathryn Goldman, directora ejecutiva de Cybermaniacs
«Lo que se pretende es capacitar a todo su personal para que se conviertan en agentes de defensa proactivos para su organización», afirma Goldman. «En el caso del RaaS, es menos importante centrarse en los aspectos técnicos del riesgo que cambiar su mentalidad en cuanto a la preparación para responder, ya que los ataques de ransomware se producen con gran rapidez».
Esto implica dedicar tiempo a formar a los trabajadores sobre cómo detectar y notificar los correos electrónicos de phishing o las llamadas de vishing, así como desarrollar y llevar a cabo evaluaciones periódicas de las competencias en materia de seguridad.
La palabra clave aquí es «periódico»: la formación y las pruebas no son tareas que se realicen una sola vez, sino operaciones que abarcan toda la empresa (es decir, desde la sala de correo hasta la sala de juntas) y que se repiten con periodicidad anual o semestral.
Protéjase en el ámbito digital: consejos para reducir el riesgo de sufrir ataques de «ransomware como servicio»
Además del cambio cultural y la formación, Desai afirma que las organizaciones que intenten prevenir los ciberataques facilitados por el modelo RaaS deben gestionar rigurosamente los controles de acceso basados en roles (RBAC), que son barreras de seguridad digitales que determinan a qué pueden o no pueden acceder los usuarios en una red en función de sus puestos de trabajo. Al mismo tiempo, afirma que las empresas deberían supervisar de forma continua la seguridad de la capa de transporte (TLS), que cifra los datos que enviamos para protegerlos de miradas indiscretas.
Añade que también es importante dar prioridad a la implementación de la segmentación «de usuario a aplicación» ( ), que consiste en regular el acceso entre usuarios individuales y aplicaciones específicas con el fin de mejorar la seguridad y limitar las superficies de ataque.
«Esto ofrece una forma eficaz de impedir que una amenaza lateral de tipo “ ” llegue a sus aplicaciones más valiosas y de contener el alcance del impacto».
[Lea también: 5 pasos para proteger los datos más valiosos de su organización]
Desai señala que otro consejo es asegurarse de que sus equipos de ciberseguridad puedan inspeccionar todo el tráfico cifrado. Según él, más del 85 % de los ataques utilizan canales cifrados, que a menudo no se inspeccionan. Esto facilita que incluso los atacantes con un nivel de sofisticación moderado puedan eludir los controles de seguridad y sustraer datos.
A continuación, es imprescindible mantener y hacer cumplir una política de seguridad coherente que se aplique a los usuarios independientemente de dónde se encuentren, afirma Desai. Esto incluye aspectos como la inspección de amenazas en línea (análisis en tiempo real del tráfico de red en busca de contenido malicioso o riesgos de seguridad a medida que este pasa por un dispositivo de seguridad o una pasarela), el «sandboxing» (técnica que consiste en aislar programas no fiables o potencialmente peligrosos dentro de burbujas digitales) y la autenticación multifactorial (MFA) de alta seguridad basada en FIDO MFA, así como actualizaciones de seguridad periódicas.
Con el auge del teletrabajo, estas medidas de seguridad son fundamentales para dar soporte a una plantilla distribuida, que a menudo accede a archivos y aplicaciones críticos en la nube.
Por último, según Goldman, también resulta útil contar con un sistema de auditoría que permita determinar qué áreas de una organización son más vulnerables a un ciberataque y estimar cómo esas brechas de seguridad en los departamentos podrían afectar al conjunto de la organización.
«Una forma en que los CISO pueden hacerse una idea de los distintos escenarios es evaluar su impacto potencial, de modo que sepan de antemano cuál podría ser la magnitud del riesgo y puedan situarlo en su contexto», afirma. «Para responder a los ataques, es necesario adoptar un enfoque específico y personalizado, y eso solo se puede lograr con datos».
