Resumen
El costo de hacer negocios ha cambiado significativamente gracias al ransomware, pero en términos de dinero y sentido común (¿cuánto deberías pagar, y qué más deberías hacer o no hacer?), bueno, parece haber poco consenso.
Recurrimos a uno de los principales expertos en ransomware del país para obtener consejos sobre qué priorizar: mejor higiene cibernética, parches frecuentes, políticas de contraseñas más sólidas—listo, listo, listo. ¿Y las nuevas leyes que prohíben los pagos de rescate? Hmm, él dice… nunca digas nunca.
PRESENTADORA: Maggie Miller, directora de marketing de contenidos, Tanium
INVITADO: Kurtis Minder, CEO, GroupSense
Notas del programa
Consulta estos artículos en Focal Point, la nueva revista de noticias cibernéticas en línea de Tanium, y una alerta reciente de nuestros analistas de inteligencia de amenazas cibernéticas (CTI) sobre el debate en Australia.
- Cómo las Empresas Están Enfrentando el Ransomware
- ¿Los pagos de ransomware deben ser ilegales?
- El arte de la negociación de ransomware
- CTI: Australia Considera Prohibir los Pagos de Ransomware
Transcripción
La siguiente entrevista se ha editado para mayor claridad.
Kurtis Minder: Algunas personas en el gobierno creen que si simplemente lo hacemos ilegal, la gente dejará de pagar rescates y los malos dejarán de atacar. Y el hecho es que, muy probablemente lo que sucederá es que llevará el comportamiento a la clandestinidad. Si tengo una opción, ya sabes, como pequeña empresa, como, voy a perder mi pequeña empresa en la que he trabajado durante 18 años o infringir la ley pero quizás no me atrapen, probablemente me inclinaré por la segunda opción.
Maggie Miller: Hola, soy Maggie Miller, y hoy en Let's Converge, hablamos sobre el ransomware y las preguntas clave que las organizaciones deben hacer cuando son atacadas: preguntas como, ¿pagamos el rescate o no? ¿Cuánto debemos pagar, o debemos resistir y no pagar nada en absoluto?
Nuestro invitado es Kurtis Minder, un negociador de ransomware con más de 20 años en el sector de la seguridad de la información.
Como fundador y CEO de GroupSense, una empresa de ciberreconocimiento, Kurtis sabe de primera mano cómo el mundo del ransomware está lleno de contradicciones. Por ejemplo, muchos propietarios de negocios creen que pagar el rescate es la forma más expedita de superar dicho ataque y proteger a los clientes. Pero algunos expertos afirman que los pagos de ransomware solo fomentan más ataques y demandas más elevadas.
En 2021, el conglomerado de seguros francés AXA dijo que cancelaría las pólizas de ciberseguro de cualquier empresa que realizara pagos de ransomware. Y el año pasado, Carolina del Norte se convirtió en el primer estado en prohibir a las agencias gubernamentales realizar dichos pagos. ¿Qué deben hacer entonces los líderes empresariales?
Muchas gracias, Kurtis, por acompañarme.
Minder: Muchas gracias por invitarme.
Miller: Antes de entrar en los detalles de cómo las organizaciones pueden hacer frente al ransomware, quiero saber algo muy básico: ¿Cómo es para usted, como negociador de ransomware, tener que comunicarse con estos ciberdelincuentes? ¿Es hostil, es amenazante? ¿Cómo son estos hackers?
Minder: Bueno, varía. Es matizado, pero nos referimos a ellos como actores de amenazas en lugar de hackers—hay un lado positivo en ser hacker. Pero en gran medida está estandarizado. Tienen un manual de estrategias que siguen y una estructura organizativa, muy similar a la de una empresa. Y una vez que haces algunos de estos casos en los que estás trabajando con ellos, te familiarizas con la rutina y el protocolo. Y así, aunque suena muy emocionante, gran parte de ello es de naturaleza mecánica. Ocasionalmente se sale de los rieles o toma una dirección sorpresiva, pero no muy seguido.
Lo otro que diré es que tratar con los actores de amenazas como parte de la negociación es definitivamente un desafío, el núcleo del escenario. Pero también hay mucho trabajo especializado que implica trabajar con la víctima. Y dependiendo del tamaño de la víctima, eso puede variar desde la política de oficina hasta ser una especie de terapeuta, por así decirlo, para las empresas más pequeñas.
Miller: Vaya. Bueno, ¿puede guiarnos a través de la trayectoria básica de un ataque de ransomware? Entonces, llego al trabajo, mis sistemas informáticos se caen, se exige un rescate. ¿Cuáles son los primeros pasos que debo tomar y qué tan rápido debo tomarlos?
Minder: La respuesta segura es que depende de su organización. Pero sí, es bastante impactante cuando llegas a la oficina y literalmente nada funciona. Y pongo énfasis en nada. Muchos de los actores de amenazas se han vuelto muy buenos en el componente de interrupción.
Y cuando piensas en lo que nada significa, no solo significa que no puedes usar tu computadora, o que los clientes no pueden interactuar contigo ni pedir productos, o tal vez si eres fabricante no puedes enviar productos. También significa cosas como que no puedes hacer la nómina y no puedes comunicarte con tu personal electrónicamente. Así que plantea una serie de desafíos realmente complejos. Idealmente, una organización de cualquier tamaño debería tener un plan y debería estar ejecutando ese plan. Ese plan a menudo está impulsado por cosas como el seguro cibernético.
Así que si tienes seguro cibernético, eso dictará parte del orden en que haces las cosas.
Lo otro que diré es que cuando te encuentras con la nota de rescate en sí—están algo estandarizadas—va a tener una serie de cosas que hacer y no hacer de parte de los malos, algunas de las cuales no son malos consejos, pero algunas son una especie de teatro. Pero las notas de rescate en realidad no contienen la cantidad que están pidiendo, así que en realidad no sabes lo que los actores de amenazas están pidiendo hasta que los contactas. Así que hay todo un arte sobre cuándo y qué tan rápido haces eso. Y realmente se basa en las circunstancias específicas del ataque.
Miller: Vaya. Y sabemos que los ataques de rescate están en aumento, pero ¿cómo están evolucionando? ¿Qué hay de nuevo o diferente en los ciberataques que estás enfrentando ahora en comparación con hace unos años?
Minder: Bueno, siempre están iterando e intentando eludir nuestras defensas a medida que estas mejoran. Así que hay una especie de carrera del gato y el ratón desde una perspectiva técnica, desde una perspectiva estratégica. Han llegado al punto de contratar centros de llamadas para llamar a tus clientes o empleados y contarles sobre el ataque, para presionarte a hablar con ellos y pagar. Así que realmente han intensificado la parte de extorsión.
Una de las cosas frustrantes es que, a pesar de la carrera del gato y el ratón en la que los componentes técnicos cambian constantemente, la mayoría de los ataques siguen siendo los mismos que hace unos años. Y generalmente son errores básicos de higiene cibernética los que cometen las empresas y que permiten a los actores de amenazas infiltrarse con relativa facilidad.
Miller: Uno de los principales trabajos de un negociador de ransomware es determinar cuánto es razonable pagar para diferentes empresas de diferentes tamaños. Entonces, ¿cómo se determina eso?
Minder: Esa es una excelente pregunta. Cuando comenzamos a hacer esto como práctica, nos enfocamos principalmente en lo que yo llamaría la parte de interacción con el actor de amenazas o la parte de negociación. Pero seguíamos recibiendo preguntas al inicio de estos casos: ¿deberíamos pagar? Y nuestra respuesta siempre fue: no lo sé, porque es una decisión empresarial, una decisión ética y en cierta medida una decisión legal.
Si pudiera guiarlos por las etapas básicas, la primera es: ¿pagar un rescate viola su código de ética o sus valores fundamentales como organización? Eso es lo primero. Porque si es así, entonces obviamente hemos respondido esa pregunta: no vamos a pagar, sin importar qué. Pero tal vez tienes prioridades en tus valores fundamentales que dicen que preferirías seguir en el negocio y pagar a tus empleados, que suele ser el caso.
[Risas.] Y llegas a la siguiente puerta, que es: ¿es ilegal? El Departamento del Tesoro tiene una lista de personas con las que no deberás realizar transacciones. Y entonces, entender las ramificaciones legales... y ahora ciertos estados están aprobando leyes, incluido Carolina del Norte, que ha aprobado una ley que dice que es ilegal pagar un rescate. Así que necesitamos entender los componentes de cumplimiento de esto. ¿Es ilegal? Así que ahora has pasado esa puerta.
Y aquí está la realmente difícil, y esto se alinea con tu pregunta: ¿tiene sentido comercial involucrarse y pagar un rescate, y cuánto es la cantidad correcta? Y esa es una pregunta realmente difícil porque gran parte del ataque es de naturaleza subjetiva y es difícil dar una respuesta cuantitativa al respecto. Lo llamo el radio de explosión del ransomware, donde entendemos que el impacto inicial del ataque de ransomware es la interrupción operativa.
No puedes usar tus máquinas, no puedes interactuar con tus clientes. Hay anillos concéntricos de impacto alrededor de esa interrupción operativa que a veces son más duraderos y potencialmente más costosos o dañinos que el impacto operativo en sí mismo. Algunos son obvios: hablamos de la parte de la extorsión. Entonces, si están filtrando datos o contactando a sus socios comerciales o empleados, eso genera una especie de problema de marca o confianza. Y luego hay otros más matizados, como si no puedes pagar la nómina y quizás no puedes pagarla durante algún tiempo y se produce desgaste, cuánto cuesta volver a contratar, reentrenar y reclutar nuevo personal para reemplazar a esas personas.
Ese cálculo es realmente difícil, y en la medida de nuestras posibilidades al inicio del caso, estamos ayudando a las empresas a analizar esto, pero realmente depende de ellas como víctimas decidir cuánto vale esto. Y a veces eso determina si nos involucramos en absoluto, porque si llegamos a un número que simplemente no es razonable para el negocio, entonces la respuesta es, ni siquiera molestarse en contactar a los malos en absoluto—simplemente no vamos a poder hacer esto y tenemos que encontrar otra manera. Es muy complicado.
Miller: Sí. Sabes, entrevisté a una organización a principios de este año que había sido víctima de un ataque de ransomware y no pagaron. La razón fue que tenían una copia de seguridad de todos sus datos, por lo que pudieron contar con toda la información que necesitaban. También pudieron volver a conectarse de forma segura. Habían puesto en cuarentena el endpoint que estaba infectado. Pudieron actualizar todos los demás endpoints y volver a conectarse bastante rápido.
Entonces, ¿crees que esta es básicamente la mejor posición en la que puedes colocarte ante algo así si va a ocurrir?
Minder: Ciertamente, tener un enfoque de continuidad del negocio y tecnológico para resolver esto es la mejor circunstancia. Pero eso a menudo no funciona tan bien como acabas de describir para muchas organizaciones. Dependiendo del tamaño de la organización, ya estás hablando de todo—múltiples sitios, múltiples redes, múltiples sistemas—restaurar eso puede ser un proceso muy tedioso y que consume mucho tiempo.
Incluso hemos tenido casos en los que las personas inicialmente están muy seguras y dicen: 'Oye, mira, no queremos pagarles a estos tipos. Tenemos copias de seguridad impecables, vamos a restaurar.' Y yo digo, bien, yo tampoco quiero pagarles [Risas.], así que hagamos eso. Pero luego me llaman 12 horas después y dicen que resulta que va a tomar ocho semanas restaurar esto y necesitamos que esto funcione para el miércoles.
Así que realmente depende de la organización y de esas copias de seguridad, y de qué procesos de continuidad del negocio están orquestados en el lado tecnológico.
En mi opinión hay cuatro formas de empezar a frenar el problema del ransomware: Una es la prevención. Esa es mi favorita porque es como la esfera de influencia—está bajo nuestro control. Es relativamente económica y proactiva.
Dos es la tecnología, de lo que estás hablando. Herramientas que pueden detectar la amenaza, ponerla en cuarentena y minimizar el impacto.
Tres sería la política. Así que ahora mismo, si eres víctima de un ransomware, en muchos casos tienes dos opciones: pagas un rescate o cierras el negocio, o pagas un rescate o despides a personas. O, si eres un hospital, pagas un rescate o la gente muere, lo cual es algo muy real. Sí. Y creo que hay espacio para una tercera opción que podría estar impulsada por políticas, que ofrezca a las víctimas una recuperación subsidiada: un programa que les ayude a no tener que pagar un rescate pero seguir en el negocio. Y eso es algo en lo que he estado trabajando en Washington.
El último [cuarto] es mi favorito pero el menos probable. Y son las consecuencias negativas para los malos. [Risas.]. Pero como saben, la mayoría de los malos operan en países más bien hostiles sin extradición y con una especie de amnistía no oficial por parte de su gobierno local.
Miller: Sí. Y estoy de acuerdo. Esta organización con la que hablé tuvo mucha suerte en la situación en la que se encontraba. Dijeron que incluso el FBI, con quien estaban trabajando, les dijo que estaban en una mejor posición que prácticamente cualquier otra empresa que atravesara algo así.
Minder: Bueno, esperemos que podamos hacer que eso sea más la norma y no la excepción en el futuro.
Miller: Pero me gusta hacia dónde ibas con el enfoque de la prevención. Entonces, ¿qué pueden hacer las organizaciones para ser proactivas? Por ejemplo, ¿cuánto puede ayudar una buena higiene cibernética a una organización para combatir o minimizar los ataques?
Minder: Creo que una de las ventajas de estar en el lado de la respuesta —y esto es válido tanto para los respondedores técnicos de incidentes como para el trabajo que estamos haciendo— es que podemos hacer un inventario de cómo los actores de amenazas obtienen acceso en cada caso. Y si los analizas, descubres que en la mayoría de los casos, alrededor del 80 por ciento o más, eran en cierta medida prevenibles desde el principio si hubieran realizado algunas prácticas básicas de higiene cibernética, como dijiste.
Es frustrante porque la mayoría de nuestra audiencia probablemente sea técnica, probablemente sean personas enfocadas en la ciberseguridad. Van a poner los ojos en blanco, y está bien. No me ofendo, porque llevamos mucho tiempo hablando de estas cosas, pero todavía no se están llevando a cabo en muchas organizaciones o no se están haciendo bien. Cosas como la política de contraseñas y la política de credenciales.
Es decir, contraseñas complejas, sin reutilización de contraseñas. Y cuando digo política de credenciales, me refiero a no usar sus credenciales corporativas en nada ajeno al negocio. No las use para crear su cuenta de Facebook… ni para registrarse en su sitio de pasatiempos favorito, porque los malos están obteniendo las credenciales de esos sitios y usándolas en nuestra contra.
Obviamente hablamos mucho sobre la autenticación multifactor—eso resuelve muchos problemas. Así que si no hizo las primeras cosas que mencioné, en muchos casos la MFA lo resolvería por usted.
Los parches—sabe, he estado en ciberseguridad durante toda mi vida adulta y entiendo las complejidades en las organizaciones en torno a los parches, pero diría que incluso los parches básicos siguen siendo un problema—no estoy hablando de sistemas de control industrial; solo estamos hablando de las laptops de las personas, sus navegadores Safari o lo que sea que estén usando, o sus teléfonos celulares. Hago este chiste cuando doy charlas públicas al respecto: digo, sé que es muy molesto, cuando estás jugando un gran juego de palabras, actualizar tu teléfono celular, pero hazlo de todas formas. Y sé que estás haciendo scroll sin fin en Reddit y no quieres reiniciar tu navegador, pero hazlo de todas formas… Y haz que eso sea parte de la política y parte de la higiene cibernética de la organización.
Miller: Sí. Me encantan estos consejos, y nunca se pueden enfatizar lo suficiente. ¿Cuánto está impactando la brecha de habilidades cibernéticas en el ransomware? Algunos pueden ver esto como un problema empresarial separado, pero ¿ves conexiones?
Minder: Totalmente, y me encanta esta pregunta porque es una especie de proyecto apasionante para mí. Hay un problema de oferta y demanda con el talento en ciberseguridad que deja a la mayor parte del mercado sin personas que les ayuden con sus brechas de ciberseguridad. Y eso se debe a que hay escasez de talento. Los salarios promedio están todos en la cima del mercado, y las personas impulsadas económicamente van a ir en esa dirección.
Y entonces, cuando estás en el mercado medio o más abajo, tu acceso a una verdadera experiencia en ciberseguridad es casi inexistente. Y no está mejorando. Por ejemplo, por cada incidente de ciberseguridad/ataque de ransomware del que escuchamos en las noticias, hay miles de pequeñas empresas que son atacadas de las que no escuchamos. Pero si eres una tintorería, una imprenta o una pequeña firma contable con cinco personas, es algo poco razonable esperar que comprendas y mitiges los riesgos asociados con toda tu adopción tecnológica. No sé cómo funciona mi teléfono celular, y soy una persona de tecnología. Es una caja mágica, ¿verdad? Entonces, esperar que estas personas entiendan todas esas cosas es poco razonable.
¿Entonces cómo llevamos los conocimientos básicos de ciberseguridad a esas personas? Tengo una organización sin fines de lucro que trabaja en ese problema, pero creo que está afectando la seguridad nacional de los Estados Unidos y la economía.
Miller: Es bueno escuchar sus opiniones al respecto. Cambiando un poco de tema: el año pasado la compañía de seguros AXA anunció que suspendería las pólizas de seguro cibernético en Francia que reembolsan a las empresas por pagos de ransomware. Esto fue en respuesta a una solicitud de funcionarios cibernéticos del gobierno francés que intentaban frenar la marea de ataques de ransomware en constante aumento. ¿Cuáles han sido las consecuencias desde entonces? ¿Y ha tenido algún efecto en la situación?
Minder: Creo que hay un problema con ese tipo de cosas, como hacer ilegales los rescates. Es algo así como decirle a tus electores que se sacrifiquen por el equipo.
Esto se combina con la pregunta que hiciste antes, que es, le estás pidiendo a personas que no tienen ninguna capacidad para defenderse que básicamente mueran en la cruz por todos los demás para que nadie pague. No creo que ese sea un enfoque razonable. Y probablemente tendrá un mayor impacto en la economía de ese país. Así que creo que la educación y las habilidades cibernéticas son la manera correcta de abordar el problema en lugar de estas políticas punitivas.
Miller: ¿Podría suceder algo como lo que ocurrió en Francia aquí en los EE. UU.?
Minder: Es posible; ya sabes cómo puede ser la política [Risas.]. Tengo algo de esperanza, porque creo que las personas en CISA—Jen Easterly y su equipo—están viendo esto a través del lente correcto, que es más un programa preventivo y de apoyo. Y están impulsando parte de esa política.
Y estoy haciendo todo lo que puedo para educar a los legisladores en la Cámara y el Senado sobre la realidad de esto y el posible daño e impacto a largo plazo que puede causar. Creo que nos corresponde a nosotros, los expertos técnicos que estamos en el campo y en las trincheras, educar a los legisladores, tanto a nivel local como nacional, en cada oportunidad que tengamos sobre de qué se trata realmente esto y lo que realmente significa ser una víctima, y las circunstancias que rodean estos ataques —como no tener acceso a talento en ciberseguridad— para que no vean esto como una situación puramente negativa ni miren a la víctima desde una perspectiva negativa, porque son como el resto de nosotros.
Estas empresas simplemente están haciendo su trabajo. Están haciendo lo mejor que pueden —especialmente las pequeñas empresas que acaban de atravesar el COVID y los problemas de la cadena de suministro, y ahora [si sufren un ataque de ransomware] decirles que realmente solo tienen que cerrar el negocio o infringir la ley.
Luego, con el enfoque legal de esto, algunos funcionarios del gobierno creen que si simplemente lo hacemos ilegal, la gente dejará de pagar rescates y los malos dejarán de atacar. Pero lo más probable es que lo que ocurra es que se lleve el comportamiento a la clandestinidad. Si tengo que elegir, ya saben, como pequeña empresa, entre perder mi negocio en el que he trabajado durante 18 años o infringir la ley pero quizás no ser descubierto, probablemente me inclinaré por la segunda opción. Quiero conservar a mis empleados y mantener mi inversión.
Y así podríamos terminar perdiendo visibilidad a nivel macro de estos ataques. Creo que CISA también lo cree. Y espero que se mantengan firmes en ello.
Miller: Bueno, hemos estado hablando de temas serios, y me gustaría terminar con una nota positiva, así que permítame preguntar: ¿Cuál es una de sus historias de éxito favoritas? ¿Quizás una situación que al principio era grave pero que al final resultó bien?
Minder: Oh, tenemos muchas de esas, y algunas son similares al escenario donde las copias de seguridad salvaron el día.
Debo decir que siempre hay un poco de letra pequeña en esos escenarios, porque los actores de amenazas sí tomaron una copia de un montón de datos. Los venderán, o los filtrarán, en la mayoría de los casos. También hay una nota curiosa, donde algunos actores de amenazas tienen tal volumen de víctimas que a veces simplemente se olvidan [Risas.]. Nos ha pasado eso, donde estamos esperando a que filtren los datos como amenazaron, y nunca lo hacen. Simplemente se olvidan. Tienen 200 víctimas, y pasan a la siguiente.
Luego hemos tenido escenarios en los que pudimos convencer a los actores de amenazas como forma de prueba para publicar los archivos robados en la dark web, y pudimos descargar los archivos de configuración más críticos y cosas así y restaurarlos. Así que hemos tenido algunos realmente buenos como ese.
Mis favoritos, sin embargo, son el impacto de los programas de prevención y el trabajo sin fines de lucro que estamos haciendo, donde literalmente estamos ayudando a las pequeñas empresas a realizar estos cambios de forma gratuita, mientras simultáneamente resolvemos la brecha de habilidades cibernéticas. Y eso es lo mejor, porque el ataque ni siquiera ocurre. Estamos por delante de él.
Miller: Eso es lo mejor, y me alegra que haya personas como tú para ayudarnos a resolver este problema.
Minder: Gracias.
Miller: Genial. Bueno, fue maravilloso entrevistarte hoy, Kurtis. Muchas gracias por estar en el podcast.
Minder: Con mucho gusto. Gracias por recibirme.
Miller: He estado hablando con Kurtis Minder, el fundador y CEO de la firma de reconocimiento cibernético GroupSense.
Si desea leer más sobre el ransomware, consulte Focal Point, la nueva revista de noticias cibernéticas en línea de Tanium. Tenemos enlaces a varios artículos en las notas del programa, o vaya a tanium.com para escuchar más conversaciones con los principales líderes empresariales y expertos en seguridad de hoy. Asegúrese de suscribirse a Let's Converge en su aplicación de podcast favorita, y si le gusta este episodio, por favor denos una calificación de cinco estrellas.
Gracias por escuchar. Esperamos compartir más perspectivas cibernéticas en el próximo episodio de Let's Converge.
