Autor: Alfonso Ramírez. Director General Kaspersky Iberia
En los últimos meses se ha producido un aumento del ransomware dirigido. Hablamos de ataques a objetivos de alto perfil -empresas, organismos públicos estatales y municipales u organizaciones sanitarias- más sofisticados y que implican una extorsión mucho mayor. Nuestro país tampoco ha escapado a esta tendencia. El Servicio Estatal Público de Empelo (SEPE) o el Ministerio de Trabajo han sido víctimas de ciberataques provocados por el ransmoware Ryuk. Las cifras son significativas, solo de 2019 a 2020, el número de usuarios que sufrieron ransomware dirigido aumentó alrededor del 767% en todo el mundo.
Podemos hablar, por tanto, de una poderosa industria clandestina que recopila grandes recompensas para sus creadores. Es más, el coste de entrada a este mundo sombrío es cada vez menor. Los ciberdelincuentes ya no necesitan crear su propio malware ni comprarlo en la dark web. Todo lo que requieren es acceso a una plataforma de servicio RaaS (Ransomware como servicio, por sus siglas en inglés) en la nube. Estos servicios son fáciles de implementar, no hay que ser un experto en programación, lo que también ha impulsado los ciberincidentes de ransomware.
El año 2020 no solo ha sido el año de la pandemia, sino también el del incremento y la aparición de nuevas tendencias en este tipo de ataques. En primer lugar, debemos destacar la transición de un modelo simple de ransomware a un nuevo modus operandi que podemos denominar ransomware 2.0. Ya no se trata solo de cifrar datos, sino principalmente de la exfiltración de datos. Todo el proceso de extorsión se basa principalmente en que los datos confidenciales de las víctimas no se publiquen en Internet. ¿Por qué es tan importante para las víctimas que sus datos no se publiquen? Porque las posibles demandas y multas debidas a violaciones de regulaciones como GDPR pueden dar lugar a enormes pérdidas financieras, daños reputacionales y quiebra potencial.
2020 se recordará, asimismo, por un nuevo enfoque híbrido en el que el ransomware, antes de cifrar la información, la envía a los operadores de los ciberdelincuentes. A esto le siguieron las amenazas con filtrar la información a la competencia o publicarla. Además, los operadores de malware cifrador también han adoptado una gama de tácticas nuevas, desde la subasta de información robada a unirse en organizaciones estilo cártel.
En situaciones de urgencia- como en el caso de la interrupción de la actividad en infraestructuras críticas o sanitarias- algunas organizaciones consideran que su única opción es pagar, a pesar de saber que esto no garantizará la recuperación de sus datos. Concretamente en España, según nuestros datos, casi un tercio (32%) de las víctimas de ransomware aceptaron la extorsión para recuperar el acceso a sus datos el año pasado. Sin embargo, para el 13% de ellos, entregar el dinero no garantizó la devolución de los mismos.
Es probable que los ataques de ransomware continúen evolucionando para hacerse más sofisticados y destructivos y que el objetivo principal sigan siendo las empresas y las grandes organizaciones. Por tanto, es fundamental que estas adopten un conjunto integral de prácticas de ciberseguridad para proteger sus datos. Deben pensar en la amenaza ransomware como algo más que un tipo de malware. De hecho, a menudo, el ransomware es sólo la etapa final de una brecha en la red. Para cuando el ransomware se despliega, el atacante ya ha llevado a cabo un reconocimiento de la red, ha identificado los datos confidenciales y los ha filtrado.
Identificar el ataque en una fase temprana, antes de que los atacantes alcancen su objetivo final, puede ser crucial. Las organizaciones, especialmente aquellas que almacenan datos de socios o clientes, deben prepararse con antelación para un posible ataque. Algunas de las medidas que pueden tomar en este sentido son: explicar la naturaleza de la amenaza a todos los empleados y formarlos para que reconozcan las acciones de los intrusos; equipar todas los ordenadores y dispositivos con soluciones de seguridad de confianza que puedan derrotar a los troyanos de ransomware: y realizar un seguimiento de las actualizaciones de software disponibles e instalarlas con regularidad.
