Kurtis Minder protegió la pantalla de su computadora portátil de los ojos indiscretas en los asientos de la línea aérea a su alrededor.
Era a fines de junio de 2021, y el director ejecutivo y fundador de GroupSense, que se factura a sí mismo como una empresa de reconocimiento cibernético, estaba en las etapas finales delicadas y peligrosas de negociar un acuerdo de ransomware con ciberdelincuentes que exigían la elevada suma de 6 millones de dólares para devolver la red y los datos de un cliente corporativo a la normalidad.
Esto fue difícil, recuerda Minder, 44, que administra dos o tres acuerdos de ransomware todos los días. A diferencia de la mayoría de los ataques, los hackers en este caso se recuperaron de los registros financieros de la firma privada, por lo que sabían cuánto valía. También habían descubierto la póliza de seguro cibernético de la empresa, que indicaba que tenía los recursos para pagar. En resumen, los hackers tenían la mano alta.
“La mayoría de las veces, la negociación de ransomware es un poco un partido de tenis donde se van y vienen los números”, dice Minder. “Esta vez, no estaban dispuestos a hacerlo. Estaban cavando en sus talones”.
Con los ataques de ransomware en los EE. UU. que se dispararon en más del 300 % y los pagos conocidos aumentaron un 341 % a 412 millones de USD el año pasado, en comparación con 2019, los negociadores como Minder se están convirtiendo en salvavidas vitales para miles de víctimas de agencias corporativas y gubernamentales en todo el mundo. Sin embargo, sus servicios pueden generar controversia.
El FBI y el Departamento de Seguridad Nacional, que investigan los ataques de ransomware, aconsejan a las organizaciones que no paguen el rescate. Pagar, señalan, no garantiza que recuperará sus datos. También alienta y subsidia el trabajo de las pandillas de ransomware.
Dicho esto, hay momentos en los que las organizaciones, especialmente aquellas en las industrias de infraestructura y atención médica, literalmente enfrentan decisiones de vida y muerte para volver a poner sus sistemas en línea lo más rápido posible. Aquí es donde entran profesionales como Minder.
[Leer también: El seguro cibernético no es su mejor protección contra los ciberataques]
Al igual que cualquier buen negociador, Minder aplica una combinación de franqueza, astucia y encanto para poner fin a las crisis de sus clientes. Durante la reciente negociación, Minder les dijo a los hackers que su cliente estaba dispuesto a pagar, pero no si el monto lo llevaba a la quiebra. Minder y sus clientes siguieron siendo pacientes y firmes en esa postura, incluso cuando los hackers se pusieron al día al solicitar un centro de llamadas para decirles al personal y a los socios que la empresa no estaba actuando en su mejor interés al negarse a cumplir con su precio.
Al final, a medida que el avión de Minder aterrizaba en una pista de San Francisco, convencía a los hackers de aceptar entre un 85 % y un 90 % menos que sus demandas originales. Sus compañeros pasajeros no eran más inteligentes.
¿A quién llamará?
Como sabe hasta el consumidor de noticias más casual, el ransomware es una forma de software malicioso (llamado malware) que generalmente bloquea el acceso a un sistema o datos informáticos al cifrar sus datos o programas. Luego, las culpables exigen pagos para desbloquear sistemas e información, un proceso que puede durar semanas o incluso meses.
Debido a que pocas organizaciones pueden resistir la falta de sistemas e información de TI durante tanto tiempo, los ejecutivos expertos buscan asistencia externa para determinar el camino más rápido hacia la resolución. Esto generalmente comienza con comunicarse con un abogado especializado en privacidad, comunicarse con un proveedor de seguro cibernético o ambos. Cada uno evaluará la exposición del cliente (legal, tecnológica o de otro tipo) y sugerirá una serie de próximos pasos.
“La mayoría de las veces, la negociación de ransomware es un poco un partido de tenis donde se van y vienen los números”.Kurtis Minder, director ejecutivo y fundador de GroupSense
Con frecuencia, derivarán a los ejecutivos a un negociador de ransomware para ayudarlos a lidiar con los hackers. Michael Phillips, un abogado en ejercicio que es director de reclamaciones de Resilience, una empresa emergente de ciberseguros, así como copresidente del Grupo de Trabajo de ransomware del Instituto para la Seguridad y la Tecnología, dice que derivar a la mayoría de los clientes a negociadores es algo sencillo.
Algunos ejecutivos y líderes de TI sedimentados invariablemente intentarán negociar por su cuenta, dice, pero no comprenden las reglas básicas y pueden empeorar mucho las cosas si no se controlan.
“Traté con un director ejecutivo que estaba totalmente enojado”, dice Phillips. “Era este tipo desanimado y masculino que quería comunicarse con el atacante y decirle exactamente lo que pensaba de él, para amenazarlo. Pero ese tipo de comportamiento simplemente exacerba las situaciones y motiva a los hackers a aumentar sus demandas, o a quedarse callados, o lanzar más ataques a pesar de ello”.
Además, si llega el momento de pagar un ciberdelincuente, notas Phillips, pocos líderes comerciales o de TI saben dónde comenzar a acumular el volumen de bitcoins que necesitarán para cerrar el trato.
“No quiere estar tratando de adquirir millones de dólares en criptomonedas sin el apoyo de expertos”, dice. No obtendrá la seguridad de precios que obtendría con un experto. He hablado con personas, por ejemplo, que compraron criptomonedas a una valuación tan alta que les costó mucho más de lo que debería, y hablé con otras personas que terminaron pagando dos veces porque enviaron bitcóin a la dirección incorrecta”.
Conozca a un enemigo más delgado
Kirsten Bay, directora ejecutiva de Cysurance, que proporciona ciberseguro a pequeñas empresas y sus socios, dice que su firma deriva a los clientes a negociadores de manera similar porque tienden a saber mejor que nadie cómo limitar los costos generales y acelerar los procesos.
“Los negociadores de ransomware saben lo que es razonable pagar por organizaciones de ciertos tamaños, los atacantes involucrados, los tipos de ataques, etc.”, dice Bay. “Conocen a su enemigo y cuáles tomarán un 60 %, un 40 % o un 20 % menos, lo que puede ahorrarle mucho”.
“A veces, las organizaciones... solo tienen que tomar una decisión comercial para intentar restaurar a partir de copias de seguridad y decirle al hacker que se doble”.Minder
Eso no significa que los negociadores inmediatamente se predeterminen en pagar a los ciberdelincuentes. Según Minder, aunque el 80 % de sus clientes descartan algo, casi el 20 % invariablemente no lo hace.
“A veces, las organizaciones adoptan una postura ética y dicen que pagar el rescate no se alinea con sus valores centrales”, dice. “Otras veces, tienen un plan de continuidad comercial decente implementado, lo que les da un camino claro hacia la resolución. O no creen que el impacto del ataque sea demasiado malo. O simplemente toman la decisión comercial de intentar restaurar a partir de copias de seguridad y decirle al hacker que se doble”.
Sin embargo, pocas organizaciones tienen tales lujos. De hecho, la mayoría de las víctimas cibernéticas son empresas más pequeñas con escasos recursos de TI y están “fugicionando”, dice Keith Swanson, un detective de policía retirado de Scottsdale, Arizona, negociador de ransomware convertido para Kivu Consulting en Phoenix, así como gerente de respuesta a incidentes y análisis forense en la compañía de seguros Allstate.
[Leer también: Por qué los ciberdelincuentes apuntan a pequeñas empresas de servicios públicos]
Cuando eso sucede, dice Swanson, es tarea del negociador resolverlo. Trabaja con el cliente para averiguar cómo los hackers penetraron en la red. (Sugerencia: Los dispositivos de endpoint mal protegidos o mal configurados , así como el software sin parches, a menudo son los culpables). Luego ayuda a los clientes a determinar si los hackers incautaron datos privados o confidenciales, averigua qué ciberganga está detrás del ransomware (al analizar sus comunicaciones con la víctima) y luego analiza las opciones para volver a poner todo en línea.
Swanson dice a los clientes que los ciberdelincuentes marchan hasta un determinado plazo para la negociación y advierte que llevará tiempo llegar a una conclusión. Lo que es más importante, les recuerda que incluso si pagan un rescate y reciben el antídoto criptográfico para su dilema, los sistemas no volverán inmediatamente a la normalidad. Los datos no se devolverán rápidamente. Eso también lleva tiempo.
Supervivencia de los más tranquilos
Es una situación llena de presión para la mayoría de los líderes comerciales, dice. La viabilidad de sus empresas, así como sus relaciones con clientes, socios, inversores, empleados y los medios de comunicación, están en riesgo.
“Teníamos un cliente que había sido hackeado que nos llamaba un viernes por la tarde y decía: ‘¡Haremos todo ahora mismo!’ ” Swanson dice. “Dijeron: ‘Debemos pagar este rescate en los próximos 30 minutos para que podamos poner en marcha nuestras cosas nuevamente para el lunes. No tenemos copias de seguridad. Tenemos que pagar porque es más rápido descifrar de esa manera”. Por supuesto, eso no es cierto. Nunca hemos visto a nadie, incluso si pagan la clave criptográfica, volver a funcionar en menos de una semana. El proceso de cifrado y descifrado corrompe los archivos. Elimina las conexiones. Hace que las computadoras sean inestables. Es una pesadilla”.
En la mayoría de los casos, los negociadores pueden llevar a los ejecutivos a la tierra. Luego, tendrán una conversación sincera sobre su estado de copia de seguridad. Si resulta que las bases de datos hackeadas estaban en el sitio, pero la organización era lo suficientemente inteligente como para estacionar información en ubicaciones fuera del sitio, están en una posición de poder. No necesariamente tienen que negociar, aunque a veces vale la pena si un acuerdo ayuda a acelerar el proceso de recuperación o hace que los hackers acepten no divulgar los datos incautados a la web oscura.
Preparación para la batalla
Tanto Swanson como Minder dicen que nunca entran en una negociación con la intención de pagar a un ciberdelincuente. Pero si un cliente está en una posición débil, sabe que ese es el resultado probable. Fue entonces cuando, como cualquier negociador policial experimentado en una situación de rehenes, aplican tantos trucos del comercio como sea posible para forjar una conexión.
La comunicación con los atacantes de ransomware generalmente ocurre de esta manera: los empleados llegan al trabajo un día para encontrar sistemas que fallan. El correo electrónico no funciona. No pueden acceder a aplicaciones internas clave. Las conexiones digitales con el mundo exterior desaparecen. En medio de todo, aparece una carta de rescate electrónica en las pantallas ejecutivas y de líderes de TI que exigen dinero, en bitcóin no rastreable, a cambio de una clave de descifrado. La nota incluso podría identificar al autor. Conti, DarkSide, Maze y NetWalker son villanos comunes.
“No quiere estar tratando de adquirir millones de dólares en criptomonedas sin soporte experto. [Puede] costar mucho más de lo que debería”.Michael Phillips, abogado de Resilience
Desde allí, es lo suficientemente fácil comunicarse con los atacantes. La carta también suele incluir una dirección cifrada de ProtonMail o un enlace a un portal de chat en Tor (abreviatura de “The Onion Router”), una red de privacidad de código abierto que permite a los usuarios navegar por la web de manera anónima.
Swanson dice que parte del juego implica limitar las comunicaciones con los hackers.
“No queremos seguir adelante y atrás con ellos”, dice. “Utilizamos el tiempo para nuestra ventaja al decirles: ‘Escuche, nos agotó. Estamos ocupados tratando de volver a ponernos en marcha”. Los mantiene a la distancia para que no se vea desesperado. Escucharemos cómo reaccionan. Analice su tono. Y adáptese en el momento”.
[Leer también: Cómo responder a una filtración de datos]
El tono de los hackers varía, dice Swanson. Algunos son “hombres que intentan hacerse un nombre por sí mismos al intentar interpretar al tipo difícil. Luego, hay muchachos que nos llaman ‘f****rs y s***heads y cosas así. Sin embargo, la mayoría de los que me encuentro son bastante profesionales”.
Minder ha tenido experiencias similares.
“Si describiera su comportamiento general, diría frío. La mayoría no son amenazantes”, dice. “Son de hecho: ‘Esto es lo que tengo. Esto es lo que haré y cómo lo afectará si no paga”. No son realmente hostiles”.
Implicaciones legales cambiantes
Los negociadores rara vez trabajan en vacío. La mayoría de las comunicaciones de ida y vuelta obtienen la aprobación del cliente. También tienen cuidado de intervenir en las fuerzas de seguridad (FBI). Y deben estar al tanto de las reglamentaciones federales que rigen a qué grupos se les puede pagar el rescate y cuáles no.
Es un hecho poco conocido que pagar el rescate no suele ser ilegal. De hecho, las agencias federales como el FBI simplemente recomiendan contra la práctica, teniendo en cuenta que no garantiza la devolución de los datos. Sin embargo, cuando pagar un rescate puede volverse ilegal, es si una organización paga a un hacker en cualquiera de las listas de sanciones de la Oficina de Control de Activos Extranjeros (Office of Foreign Assets Control, OFAC). Al igual que la lista de observación de terror del gobierno, estos identifican pandillas de piratería informática que se cree que están asociadas con poderes extranjeros hostiles, como Corea del Norte o Irán. Y las listas están creciendo. De hecho, un estudio de Chainalysis descubrió que el 32 % de los pagos de ransomware conocidos este año conllevaban un riesgo de sanciones relacionado con la OFAC en comparación con el 15 % en 2020.
Sin embargo, los negociadores dicen que pueden trabajar constantemente con la mayoría de los hackers para acordar acuerdos de rescate que van del 10 % al 25 % de las demandas originales.
“Es una forma de arte”, dice Swanson. “Utilizamos nuestra redacción para hacerlo. Nuestra creatividad. Nuestro tiempo. A veces usamos la COVID como excusa. Infierno, durante las elecciones incluso usamos Donald Trump. Sea lo que sea que podamos pensar en el momento, aprovechamos”.
Contrarrestar la reacción de la industria
No todas las personas de la industria están de acuerdo en que la negociación de ransomware es tan ingeniosa.
La aseguradora francesa AXA, por ejemplo, recientemente decidió dejar de reembolsar los pagos de ransomware después de que los funcionarios del gobierno expresaran su preocupación de que podría fomentar más delitos. Mientras tanto, surgió un grupo llamado “The No More Ransom Project” con el apoyo de empresas de ciberseguridad, así como Amazon Web Services, para desafiar los pagos de ransomware. Y en agosto, Microsoft asumió una participación en la puesta en marcha de Rubrik para desarrollar productos para recuperar rápidamente datos sin pagar a los hackers.
La reacción inversa contra el pago de rescate (no necesariamente contra los negociadores) también se extiende a los servicios financieros, donde las tasas de seguro cibernético han estado aumentando con ataques de ransomware importantes contra personas como SolarWinds, Kaseya, CNA Financial, Colonial Pipeline y Acer, entre otras. El director ejecutivo de Marsh, John Donnelly, por ejemplo, dice que las tarifas de las primas del seguro cibernético han aumentado hasta un 60 % en el último año. Eso ciertamente reduce los resultados finales de las empresas Fortune 1000 , de las cuales se cree que alrededor del 70 % tienen ciberseguro, dice Cysurance’s Bay. Pero para las empresas más pequeñas bajo ataque, el aumento de precios es significativo, lo suficiente como para que esté fijando precios para que muchos puedan pagar el seguro.
[Leer también: El seguro cibernético no es su mejor protección contra los ciberataques]
“El mercado medio es realmente donde la gente más sufre”, dice Bay. “Cuando obtiene menos de 50 millones de dólares en ingresos anuales, probablemente esté viendo una cobertura del 30 % al 40 %. Necesitamos mejorar”.
Bay dice que, a diferencia de otros observadores, no cree que los pagos de rescate sean la principal causa de aumentos en las tarifas de los ciberseguros.
“Los costos auxiliares están impulsando la mayor parte del dolor y la pérdida”, dice. “Es posible que alguien pague $12,000 en rescate después de una negociación, pero tiene $300,000 en costos de corrección además de eso. A menos que hable de uno de los principales ataques a la cadena de suministro, como Kaseya, es la recuperación lo que es tan costoso para las personas. Por lo tanto, cuanto más rápido hagan los negociadores que alguien atraviese el proceso, mejor”.
