Kurtis Minder protegió la pantalla de su ordenador portátil de las miradas indiscretas de los pasajeros que le rodeaban en los asientos del avión.
Era finales de junio de 2021, y el director ejecutivo y fundador de GroupSense —que se autodefine como una empresa de reconocimiento cibernético— se encontraba en las delicadas y peligrosas fases finales de la negociación de un acuerdo de ransomware con unos ciberdelincuentes que exigían la astronómica suma de 6 millones de dólares para restablecer el funcionamiento normal de la red y los datos de un cliente corporativo.
«Fue un caso complicado», recuerda Minder, de 44 años, quien negocia cada día dos o tres acuerdos relacionados con el ransomware « » . A diferencia de la mayoría de los ataques, en este caso los piratas informáticos se hicieron con los registros financieros de la empresa privada, por lo que sabían cuánto valía. Además, habían descubierto la póliza de seguro cibernético de la empresa, lo que indicaba que esta disponía de los medios necesarios para pagar. En resumen, los piratas informáticos llevaban la ventaja.
«En la mayoría de los casos, la negociación con los autores de ransomware es como un partido de tenis en el que se va subiendo y bajando con las cifras», afirma Minder. «Esta vez, no estaban dispuestos a hacerlo. «Se mostraban inflexibles».
Dado que los ataques de ransomware en EE. UU. se han disparado más de un 300 % y que los pagos conocidos han aumentado un 341 %, hasta alcanzar los 412 millones de dólares el año pasado, en comparación con los 2019, los negociadores como el Sr. Minder se están convirtiendo en un salvavidas esencial para miles de víctimas de empresas y organismos gubernamentales de todo el mundo. Sin embargo, sus servicios pueden suscitar polémica.
El FBI y el Departamento de Seguridad Nacional, que investigan los ataques de ransomware, aconsejan a las organizaciones que no paguen el rescate. Señalan que el hecho de pagar no garantiza que vaya a recuperar sus datos. Además, fomenta —y subvenciona— la actividad de las bandas de ransomware.
Dicho esto, hay ocasiones en las que las organizaciones —especialmente las del sector de las infraestructuras y el sector sanitario— se enfrentan, literalmente, a decisiones de vida o muerte a la hora de restablecer el funcionamiento de sus sistemas lo antes posible. Ahí es donde entran en juego profesionales como el Sr. Minder.
[Lea también: El seguro cibernético no es su mejor protección frente a los ciberataques]
Al igual que cualquier buen negociador, Minder recurre a una combinación de franqueza, astucia y encanto para resolver las crisis de sus clientes. Durante la reciente negociación, Minder comunicó a los piratas informáticos que su cliente estaba dispuesto a pagar, pero no si la cantidad le llevaba a la quiebra. Minder y sus clientes se mantuvieron pacientes y firmes en esa postura, incluso cuando los piratas informáticos intensificaron la presión contratando a un centro de atención telefónica para comunicar al personal y a los socios que la empresa no estaba actuando en su mejor interés al negarse a aceptar el precio que exigían.
Al final, cuando el avión de Minder aterrizó en la pista de San Francisco, había convencido a los piratas informáticos para que aceptaran entre un 85 % y un 90 % menos de lo que habían exigido inicialmente. Sus compañeros de viaje no se dieron cuenta de nada.
¿A quién va a llamar?
Como ya sabe hasta el lector de noticias más ocasional, el ransomware es un tipo de software malicioso (denominado «malware») que, por lo general, bloquea el acceso a un sistema informático o a sus datos mediante el cifrado de estos o de sus programas. A continuación, los delincuentes exigen el pago de un rescate para desbloquear los sistemas y la información, un proceso que puede prolongarse durante semanas o incluso meses.
Dado que pocas organizaciones pueden permitirse estar sin sistemas informáticos ni información durante tanto tiempo, los directivos con experiencia recurren a ayuda externa para determinar cuál es la vía más rápida para resolver el problema . Esto suele comenzar por ponerse en contacto con un abogado especializado en protección de datos, dirigirse a una aseguradora especializada en ciberseguridad, o ambas cosas. Cada uno de ellos evaluará los riesgos a los que se enfrenta el cliente (jurídicos, tecnológicos o de otro tipo) y propondrá una serie de medidas a seguir.
«. La mayoría de las veces, la negociación con el ransomware es como un partido de tenis en el que se va y viene con las cifras.»Kurtis Minder, director ejecutivo y fundador de GroupSense
A menudo, a continuación, remiten a los directivos a un negociador especializado en ransomware para que les ayude a lidiar con los piratas informáticos. Michael Phillips, abogado en ejercicio que ocupa el cargo de director de siniestros en Resilience —una empresa emergente dedicada a los seguros cibernéticos— y es, además, copresidente del Grupo de Trabajo sobre Ransomware del Instituto de Seguridad y Tecnología, afirma que derivar a la mayoría de los clientes a los negociadores es una decisión obvia.
Según él, algunos ejecutivos impulsivos y responsables de TI intentarán inevitablemente negociar por su cuenta, pero no comprenden las reglas básicas y pueden empeorar considerablemente la situación si no se les pone freno.
«Tuve que lidiar con un director general que estaba totalmente furioso», afirma Phillips. «Era un tipo impulsivo y varonil que quería ponerse en contacto con el agresor y decirle exactamente lo que pensaba de él, para amenazarlo». «Pero ese tipo de comportamiento no hace más que agravar la situación y anima a los piratas informáticos a aumentar sus exigencias, a pasar a la clandestinidad o a lanzar más ataques por despecho».
Es más, si llega el momento de pagar realmente a un ciberdelincuente, señala Phillips, son pocos los directivos empresariales o de TI que saben por dónde empezar a reunir la cantidad de bitcoins que necesitarán para cerrar el trato.
«No le conviene intentar adquirir millones de dólares en criptomonedas sin el apoyo de expertos», afirma. No va a disfrutar de la misma seguridad en cuanto a los precios que tendría con un experto. «He hablado con personas, por ejemplo, que compraron criptomonedas a un precio tan elevado que les costó mucho más de lo que debería, y también con otras que acabaron pagando el doble porque enviaron bitcoins a una dirección equivocada».
Conozca a su enemigo
Kirsten Bay, directora ejecutiva de Cysurance —empresa que ofrece seguros cibernéticos a pequeñas empresas y a sus socios—, afirma que su empresa también remite a los clientes a los negociadores, ya que estos suelen saber mejor que nadie cómo limitar los costes generales y agilizar los trámites.
«Los negociadores de ransomware saben qué cantidad es razonable pagar en función del tamaño de las organizaciones, los atacantes implicados, los tipos de ataques, etcétera», afirma Bay. «Saben quiénes son sus competidores y cuáles de ellos le ofrecerán descuentos del 60 %, del 40 % o del 20 %, lo que puede suponerle un gran ahorro».
«A veces, las organizaciones… simplemente toman la decisión empresarial de intentar restaurar los datos a partir de las copias de seguridad y mandan al hacker a freír espárragos.»Minder
Eso no significa que los negociadores opten de inmediato por pagar a los ciberdelincuentes. Según Minder, aunque el 80 % de sus clientes sí que pagan algo, aproximadamente el 20 % no lo hace en ningún caso.
«En ocasiones, las organizaciones adoptan una postura ética y afirman que el pago de un rescate no se ajusta a sus valores fundamentales», afirma. «En otras ocasiones, cuentan con un plan de continuidad del negocio adecuado, lo que les proporciona una vía clara para resolver la situación. O bien no creen que las consecuencias del ataque vayan a ser demasiado graves. O simplemente toman la decisión empresarial de intentar restaurar los datos a partir de las copias de seguridad y le dicen al pirata informático que se vaya al cuerno».
Sin embargo, son pocas las organizaciones que pueden permitirse ese lujo. De hecho, la mayoría de las víctimas de ciberataques son pequeñas empresas con escasos recursos informáticos, y están «desesperadas», afirma Keith Swanson, un detective de policía jubilado de Scottsdale (Arizona) que ahora trabaja como negociador de ransomware para Kivu Consulting, en Phoenix, y como responsable de , de la respuesta a incidentes y de análisis forense en la compañía de seguros Allstate.
Cuando eso ocurre, afirma Swanson, la labor del negociador consiste en tranquilizarles. Colabora con el cliente para averiguar cómo lograron los piratas informáticos acceder a la red. (Sugerencia: Los dispositivos de punto final con una seguridad deficiente o mal configurados, así como el software sin parches, suelen ser los responsables.) A continuación, ayuda a los clientes a determinar si los piratas informáticos se han hecho con algún dato privado o sensible, averigua qué banda ciberdelictiva está detrás del ransomware (mediante el análisis de sus comunicaciones con la víctima) y, posteriormente, analiza las opciones para restablecer el funcionamiento de todos los sistemas.
Swanson explica a sus clientes que los ciberdelincuentes siguen un calendario concreto para las negociaciones y advierte de que llevará tiempo llegar a una conclusión. Y lo que es más importante, les recuerda que, aunque paguen el rescate y reciban la solución criptográfica a su problema, los sistemas no volverán a funcionar con normalidad de inmediato. Los datos no se recuperarán rápidamente. Eso también lleva tiempo.
La supervivencia de los más tranquilos
Según él, se trata de una situación que genera mucha presión para la mayoría de los líderes empresariales. La viabilidad de sus empresas, así como sus relaciones con los clientes, socios, inversores, empleados y los medios de comunicación, se encuentran en peligro.
«Un cliente al que le habían pirateado el sistema nos llamó un viernes por la tarde y nos dijo: “¡Estamos dispuestos a hacer lo que sea ahora mismo!” » Afirma Swanson. «Dijeron: “Tenemos que pagar este rescate en los próximos 30 minutos para poder volver a poner todo en marcha antes del lunes”.» No disponemos de copias de seguridad. «Tenemos que pagar porque así nos resulta más rápido descifrarlo». Por supuesto, eso no es cierto. Nunca hemos visto a nadie, ni siquiera a quienes pagan por la clave criptográfica, volver a estar operativo en menos de una semana. El proceso de cifrado y descifrado daña los archivos. Interrumpe las conexiones. Provoca inestabilidad en los ordenadores. «Es una pesadilla».
En la mayoría de los casos, los negociadores logran que los directivos bajen de las nubes. A continuación, mantendrán una conversación sincera sobre el estado de sus copias de seguridad. Si resulta que las bases de datos pirateadas se encontraban en las propias instalaciones, pero la organización tuvo la previsión de almacenar la información en ubicaciones externas, se encuentra en una posición ventajosa. No es obligatorio que negocien, aunque a veces merece la pena si un acuerdo contribuye a acelerar el proceso de recuperación o logra que los piratas informáticos se comprometan a no publicar los datos sustraídos en o en la Dark Web.
Preparándose para la batalla
Tanto Swanson como Minder afirman que nunca acuden a una negociación con la intención de pagar a un ciberdelincuente. Sin embargo, si un cliente se encuentra en una posición de debilidad, sabe que ese es el resultado más probable. Es entonces cuando, al igual que cualquier negociador policial con experiencia en una situación de secuestro, recurren a todos los trucos del oficio que pueden para establecer una conexión.
La comunicación con los autores de los ataques de ransomware suele desarrollarse de la siguiente manera: un día, los empleados llegan al trabajo y se encuentran con que los sistemas no funcionan. El correo electrónico no funciona. No pueden acceder a aplicaciones internas fundamentales. Las conexiones digitales con el mundo exterior desaparecen. En medio de todo ello, aparece en las pantallas de los directivos y los responsables de TI una nota de rescate electrónica en la que se exige dinero —en bitcoins, imposibles de rastrear— a cambio de una clave de descifrado. Es posible que la nota incluso identifique al autor del delito. Conti, DarkSide, Maze y NetWalker son los villanos más habituales.
«: No le conviene intentar adquirir millones de dólares en criptomonedas sin el apoyo de expertos. [Puede] costar mucho más de lo que debería.»Michael Phillips, abogado, Resilience
A partir de ahí, resulta bastante sencillo comunicarse con los atacantes. La carta suele incluir también una dirección cifrada , ProtonMail, o un enlace a un portal de chat en , Tor (abreviatura de «The Onion Router»), una red de código abierto dedicada a la privacidad que permite a los usuarios navegar por Internet de forma anónima.
Swanson afirma que parte del juego consiste en limitar las comunicaciones con los piratas informáticos.
«No queremos seguir dando vueltas con ellos», afirma. «Aprovechamos el tiempo a nuestro favor diciéndoles: “Escuchen, ustedes nos han dejado sin nada”.» «Estamos ocupados intentando volver a ponerlas en marcha». Los mantiene a distancia para no parecer desesperado. Veremos cómo reaccionan. Analice su tono. «Y adaptarse sobre la marcha».
[Lea también: Cómo actuar ante una filtración de datos]
Según Swanson, el tono de los hackers varía. Algunos son «tipos que intentan hacerse un nombre haciéndose los duros». Además, hay tipos que nos llaman «maricones» y «capullos» y cosas por el estilo. «Sin embargo, la mayoría de las personas con las que me encuentro se comportan de forma bastante profesional».
Minder ha vivido experiencias similares.
«Si tuviera que describir su actitud general, diría que es fría». «La mayoría no son peligrosos», afirma. «Son muy directos: “Esto es lo que tengo”.» «Esto es lo que voy a hacer y cómo le afectará si no paga». «En realidad no son hostiles».
Implicaciones jurídicas cambiantes
Los negociadores rara vez trabajan de forma aislada. La mayoría de las comunicaciones recíprocas cuentan con la aprobación del cliente. Además, se aseguran de involucrar a las fuerzas del orden (el FBI). Además, deben tener siempre presente la normativa federal que regula a qué grupos se les puede pagar un rescate y a cuáles no.
Es un hecho poco conocido que, por lo general, pagar un rescate no es ilegal. De hecho, organismos federales como el FBI se limitan a desaconsejar esta práctica, señalando que no garantiza la recuperación de los datos. Sin embargo, el pago de un rescate puede llegar a ser ilegal si una organización realiza dicho pago a un pirata informático que figure en cualquiera de las listas de sanciones de la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de EE. UU. ( ). Al igual que la lista de vigilancia antiterrorista del Gobierno, estas identifican a grupos de piratas informáticos que se cree que están vinculados a potencias extranjeras hostiles, como Corea del Norte o Irán. Y las listas no dejan de crecer. De hecho, un estudio de Chainalysis publicado en « » ( ) reveló que el 32 % de los pagos por ransomware conocidos este año conllevaban un riesgo de sanciones relacionadas con la OFAC, frente al 15 % registrado en 2020.
No obstante, según afirman los negociadores, siempre logran llegar a un acuerdo con la mayoría de los piratas informáticos para fijar el importe del rescate entre el 10 % y el 25 % de las demandas iniciales.
«Es una forma de arte», afirma Swanson. «Utilizamos nuestra propia redacción para hacerlo. Nuestra creatividad. Nuestro momento. En ocasiones, utilizamos la COVID como excusa. Vaya, durante las elecciones incluso recurrimos a Donald Trump. «Aprovechamos cualquier idea que se nos ocurra en ese momento».
Cómo hacer frente a la reacción negativa del sector
No todos los profesionales del sector coinciden en que la negociación con los autores de ransomware sea tan ingeniosa.
La aseguradora francesa AXA, por ejemplo, ha decidido recientemente dejar de reembolsar los pagos realizados a los autores de ransomware, después de que las autoridades expresaran su preocupación por que ello pudiera fomentar la delincuencia. Por otra parte, ha surgido un grupo denominado «: The No More Ransom Project», que cuenta con el apoyo de empresas de ciberseguridad, así como de Amazon Web Services, con el objetivo de hacer frente al pago de rescates por ransomware. Y en agosto, Microsoft adquirió una participación en la empresa emergente Rubrik con el fin de desarrollar productos que permitan recuperar datos rápidamente sin tener que pagar a los piratas informáticos.
La reacción en contra del pago de rescates (no necesariamente contra los negociadores) se extiende también al sector de los servicios financieros, donde las primas de los seguros cibernéticos han ido aumentando a raíz de importantes ataques de ransomware contra empresas como SolarWinds, Kaseya, CNA Financial, Colonial Pipeline y Acer, entre otras. El director ejecutivo de Marsh, John Donnelly, por ejemplo, afirma que las tarifas de las primas de los seguros cibernéticos han aumentado hasta un 60 % durante el último año. Sin duda, esto reduce los beneficios netos de las empresas de la lista «Fortune 1000 », de las cuales se estima que alrededor del 70 % cuenta con un seguro cibernético, afirma Bay, de Cysurance. Sin embargo, para las empresas más pequeñas que se ven afectadas, la subida de precios es considerable, hasta el punto de que muchas de ellas ya no pueden permitirse contratar un seguro.
[Lea también: El seguro cibernético no es su mejor protección frente a los ciberataques]
«El segmento medio es, sin duda, donde la gente está pasando más apuros», afirma Bay. «Cuando los ingresos anuales son inferiores a 50 millones de dólares, es probable que la cobertura se sitúe entre el 30 % y el 40 %». «Tenemos que mejorar».
La Sra. Bay afirma que, a diferencia de otros observadores, no cree que el pago de rescates sea la causa principal del aumento de las primas de los seguros cibernéticos.
«Los costes indirectos son los que están provocando la mayor parte de las dificultades y las pérdidas», afirma. «Puede que haya alguien que pague 12,000 dólares de rescate tras una negociación, pero que, además, tenga que hacer frente a 300,000 dólares en gastos de reparación». A menos que se refiera a uno de los principales ataques a la cadena de suministro, como el de Kaseya, lo que resulta tan costoso para las personas es la recuperación. «Por lo tanto, cuanto más rápido consigan los negociadores que alguien complete el proceso, mejor».
