Los ataques de ransomware (y sus consiguientes rescates) están protagonizando el año en el apartado de la ciberseguridad. Los ataques a la energética estadounidense Colonial o al Servicio Público de Empleo Estatal (SEPE) en España, han puesto contra las cuerdas actividades esenciales y han afectado a millones de ciudadanos. Además, un informe de Barracuda señala que el año 2021 ha sido testigo de un incremento drástico no sólo de este tipo de ataques, sino de los consiguientes rescates, cuyos importes también se han disparado.
Barracuda también señala que los cibercriminales han ampliado sus objetivos potenciales, desviando su foco hacia infraestructuras críticas y evolucionando hacia campañas de ataque a cadenas de suministro de software profundamente arraigadas, cuyo impacto es más amplio, duradero y, por ende, más costoso. La sombría perspectiva de este tipo de ciberataques no exime a nadie de las consecuencias derivadas de los mismos, como el daño financiero, los titulares lapidarios y otros efectos resultantes.
La banda REvil ha sido promotora del 19% de los ataques, seguida por DarkSide, quien ha efectuado un 8%
Otro fenómeno que se está produciendo es la reducción de los grupos de ciberdelincuentes de los que parten los ataques. De hecho, a raíz del análisis realizado por Barracuda entre agosto de 2020 y julio de 2021, se observa que la banda REvil ha sido promotora del 19% de los ataques, seguida por DarkSide, quien ha efectuado un 8%.
Índice de temas
Aparece la doble extorsión
El modus operandi del ransomware es conocido: los cibercriminales emplean software malicioso a través de emails que normalmente camuflan en un archivo adjunto o un enlace, buscando infectar la red, bloquear el email, datos u otros archivos críticos hasta que se abone el rescate. Estos ataques tan sofisticados son dañinos y costosos. Pueden paralizar las operaciones diarias, causar caos y derivar en pérdidas financieras debido al tiempo de inactividad, los pagos de rescate, los costes de recuperación y otros gastos no presupuestados.
Recientemente, los criminales han refinado las tácticas para crear una trama de doble extorsión. Basan las peticiones del rescate acorde a investigaciones que realizan previamente. Roban datos sensibles de las víctimas y demandan el pago a cambio de la promesa de no hacer pública ni vender esta información. Dado que estos criminales no son de fiar, normalmente las víctimas que pagan una primera vez vuelven a ser contactadas unos meses después con el ánimo de que realicen otro pago para mantener la información oculta. Incluso, algunos atacantes, una vez recibido el pago, publican la información indistintamente.
En los últimos 12 meses, investigadores de Barracuda han identificado y analizado 121 incidentes de ransomware, lo que supone un incremento del 64% respecto al periodo anterior. Los ciberdelincuentes continúan atacando de modo lesivo a los organismos municipales, la sanidad pública y las instituciones educativas, aunque se ha descifrado un incremento de los ataques a empresas privadas.
Grandes corporaciones, como constructoras, servicios financieros y de viajes, u otros negocios, componen más del 57% de los objetivos de estos ciberataques, lo que supone un aumento del 18% respecto al último estudio. Las empresas relacionadas con infraestructura representan el 10% de todos los incidentes que se han investigado. De hecho, los ataques de ransomware evolucionaron rápidamente a ataques a la cadena de suministro de software para, de esa manera, impactar sobre más empresas en un solo intento.
Las grandes corporaciones componen más del 57% de los objetivos de estos ciberataques, según Barracuda
Desde una perspectiva geográfica, casi la mitad de los ataques de los últimos 12 meses afectaron a empresas estadounidenses (44%), aproximadamente un 30% se produjeron en las regiones de Europa, Oriente Medio y África, 11% en países de Asia Pacífico, 10% en Sur América y el porcentaje restante en Canadá y México.
La cantidad media demandada sube por el auge del bitcoin
Tal y como se ha visto en los últimos años, la cantidad demandada como pago en rescates se ha engrosado notablemente y, a día de hoy, la cantidad media que se exige como supera los 10 millones de dólares. Únicamente en un 18% de los ataques se demandó menos de esa cuantía, y en un 30% se superó los 30 millones de dólares.
Desde el auge de las criptomonedas, se ha observado una correlación entre un aumento de ataques de ransomware y el incremento de la cuantía exigida. Dada la mayor represión contra el bitcoin y la mejora de la trazabilidad de las transacciones realizada con este criptoactivo, los delincuentes están comenzando a exigir métodos de pago alternativos, como la banda de ransomware REvil, que solicita monero en lugar de bitcoin.
Aun así, en la investigación realizada por Barracuda, se observa que varias víctimas lograron negociar el importe. La empresa JBS redujo la “deuda” desde los 22.5 millones de dólares hasta los 11 millones, y Brenntag, una distribuidora química de Alemania, desde los 7.5 millones de dólares hasta los 4.4 millones. La petición inicial puede no ser la definitiva, así que, si se plantea pagar, es importante que las víctimas exploten las opciones de negociación. El resultado puede ahorrar millones a los damnificados.
También se aprecia un aumento de las empresas que se niegan a pagar el rescate, y es probable que esta tendencia provoque un aumento de la cantidad demandada en los mismos. A esta corriente le acompañan las colaboraciones cada vez mas comunes entre las autoridades y los negociadores de rescates. El FBI ha descubierto recientemente las carteras de bitcoins de DarkSide y ha podido recuperar algunos de los pagos del rescate, además de interrumpir los pagos a los afiliados del grupo de ransomware. Se trata, sin duda, de señales alentadoras en la lucha contra estos ciberataques.
El FBI ha descubierto recientemente las carteras de bitcoins de DarkSide y ha podido recuperar algunos de los pagos del rescate
Más allá de las acciones legales, también se ha visto a la Casa Blanca hablar directamente con los líderes mundiales y exigir acciones decididas contra la protección de los ciberdelincuentes. Dada la naturaleza de alto perfil e impacto de los ataques recientes, en particular los ataques contra la infraestructura crítica, el Gobierno de EEUU ya no solo envía advertencias, sino que está dispuesto a emprender acciones serias incluso contra los estados si existen pruebas claras de complicidad o negligencia en la vigilancia de los ciberdelincuentes.
