Ataques de ransomware: ¿se debe pagar por el secuestro de información?

Negocios y organismos poseen información sensible que los hace vulnerables al ransomware (secuestros de datos). En algunos casos las víctimas suelen pagar millones de dólares para recuperar desde datos financieros, patentes de productos hasta información de empleados.

Un ejemplo es el caso de la ciudad de Atlanta, en Estados Unidos, que en 2018 sufrió un ataque que afectó la infraestructura de servidores de su ciudad inteligente. Los ciberdelincuentes les pedían como rescate US$51 mil.

“La empresa no pagó porque el costo de recuperación real del sistema estaba superando los US$ 122 millones”, detalla Tony Anscombe, especialista de seguridad global para ESET.

Datos revelados por la oficina de Control de Crímenes Financieros (FinCEN) de los Estados Unidos, detallan que solo en ese país, entre enero y junio de este año el promedio mensual de transacciones en Bitcoin que se sospecha está relacionada con el ransomware es de US$66.4 millones.

Solo en el ataque a la empresa Kaseya, los operadores detrás del ransomware REvil demandaron un pago de US$ 70 millones por la herramienta de descifrado que permitía a las víctimas recuperar los archivos secuestrados, según datos de un informe de ESET.

“El enfoque cambia cuando el dinero es pagado por el seguro o la aseguradora. Dependiendo de quién está realizando el pago, a veces los cibercriminales encuentran esa información en la red que han hackeado y con ello cambia su método de extorsión”.

El especialista Tony Anscomb recomienda no pagar por un secuestro de información, pues se va creando precedentes para poner en riesgo a otras entidades. Sin embargo, hay excepciones, por ejemplo cuando se involucra el sistema informático de una sala de emergencias donde se puede ver comprometida la UCI de un hospital.

“Las empresas y organismos deben tener una protección de su información y redes. Asimismo, es necesario tener cierta legislación que permita informar o reportar en el caso se sea víctima de un ataque de ransomware, de esta manera se puede empezar por la prevención. La ley debería obligar a las empresas a que informen en el momento que están siendo víctimas del ciberataque”, explica el experto.

Ciberataques en Latinoamérica

En abril de este año el nombre del Ministerio de Hacienda de Costa Rica aparecía en el sitio de la Dark Web del grupo de ransomware Conti como una nueva víctima. El grupo demandó el pago de US$ 10 millones y amenazó con afectar a otros organismos públicos del país. Una semana después, el grupo accedió al menos a ocho entidades de Costa Rica y en otra entrada de su blog aparecía el nombre de otro organismo público, pero esta vez era de Perú.

“El ciberataque al ministerio de inteligencia de Costa Rica y Perú es un reenfoque de a dónde los ciberdelincuentes pueden atacar, considerando que en Estados Unidos se vuelve un poco más difícil monetizar estos cibercrímenes”, comenta Ascomb.