Más de 24 horas después de que se descubriera un ciberataque de ransomware dirigido a la red informática de la ciudad de Atlanta, las consecuencias aún no estaban claras.
Los funcionarios de la ciudad de Atlanta anunciaron el jueves por la tarde que el equipo de seguridad de la información de la ciudad había notado "algo que parecía peculiar" en el servidor alrededor de las 5:40 a.m. de ese día y comenzó una investigación. Algunos datos de la ciudad estaban encriptados, esencialmente retenida por los atacantes para pedir rescate.
El ataque provocó una interrupción en algunas aplicaciones internas y orientadas al cliente, incluidos los que se utilizan para pagar facturas y acceder a información judicial, El director de operaciones de la ciudad, Richard Cox, dijo a los periodistas en una conferencia de prensa el jueves. Pero no afectó al departamento de seguridad pública, departamento de agua o el aeropuerto internacional Hartsfield-Jackson de Atlanta, él dijo.
El aeropuerto cerró su red Wi-Fi y los sistemas que brindan información de vuelo y tiempos de espera en los puntos de control de seguridad en su sitio web "por precaución, ", dijo el portavoz Reese McCranie en una entrevista telefónica el viernes.
"No queremos abrir el aeropuerto a ningún posible ciberataque, " él dijo, y agregó que el personal de tecnología del aeropuerto estaba trabajando para fortalecer su infraestructura para asegurarse de que no sea vulnerable.
Un portavoz de la ciudad dijo el viernes que no había nueva información disponible.
No quedó claro de inmediato si se había comprometido alguna información personal, pero la alcaldesa Keisha Lance Bottoms instó a los empleados de la ciudad, residentes y otras personas cuyos datos pueden estar en el sistema de la ciudad para monitorear sus cuentas bancarias y tomar medidas proactivas para proteger sus datos personales.
La ciudad está trabajando con agencias federales, incluyendo el FBI y el Departamento de Seguridad Nacional, así como socios del sector privado, para solucionar el problema, Dijo Bottoms.
Mark Ray, un ex investigador de ciberseguridad del FBI que ahora es director gerente y jefe de investigaciones digitales de Nardello &Co., dijo que los principales objetivos de la agencia son detener un ataque y averiguar quién es el responsable.
El primer paso de la agencia sería dar consejos prácticos como aislar los sistemas afectados, preservar y proteger los sistemas no afectados al desconectarlos, además de asegurarse de que las copias de seguridad se conserven y sean seguras. Próximo, el FBI querría obtener una muestra del ransomware porque es posible que ya tenga inteligencia sobre ese malware en particular que podría ayudar a detenerlo o puede tener una clave de descifrado de un ataque anterior.
Cuando se le preguntó el jueves si la ciudad pagaría el rescate exigido, el alcalde dijo que la ciudad buscará orientación de las autoridades federales sobre el mejor curso de acción.
El FBI nunca abogará por pagar un rescate, Dijo Ray. Hay una variedad de razones para eso, incluyendo:No hay garantía de que el propietario del ransomware realmente proporcione el descifrado después de recibir el pago, la disposición de una organización a pagar puede convertirla en un objetivo de futuros ataques, ya veces el pago da como resultado el desbloqueo de parte de un sistema, pero luego se exige más dinero para desbloquear una mayor parte del sistema.
Pero si una organización elige no pagar el rescate y si no hay una clave de descifrado disponible, "la alternativa es, literalmente, para cortar y quemar los entornos que han sido infectados, "Dijo Ray." Ahí es donde las buenas copias de seguridad son fundamentales ".
El ransomware explota vulnerabilidades de software conocidas, y, a menudo, las organizaciones que son víctimas de estos ataques no han realizado un trabajo exhaustivo de parchear los sistemas con regularidad, él dijo.
Los municipios a menudo luchan con las actualizaciones de software básicas y los parches porque con frecuencia carecen de recursos, dijo Ryan Kalember, vicepresidente senior de estrategia de ciberseguridad de la empresa de seguridad Proofpoint.
El ataque de Atlanta lleva el sello distintivo del ransomware SamSam, y lo que probablemente vio el equipo de seguridad de la información de la ciudad fue algo que intentaba iniciar sesión desde fuera de la organización, él dijo.
A diferencia de la mayoría de ransomware, que accede a una red cuando alguien hace clic en un enlace en un correo electrónico de phishing, SamSam busca indiscriminadamente en Internet servidores vulnerables, Dijo Kalember. Una vez que encuentra un punto de apoyo, a menudo mediante la explotación de una contraseña débil o una que no se cambia con frecuencia, ingresa al sistema y comienza a extenderse.
Si es SamSam, puede haber algunas buenas noticias porque, por lo general, encripta la información en su lugar y exige un rescate para restaurar el acceso a ella en lugar de robar la información. Dijo Kalember.
"Es una llamada de atención y, en última instancia, no es tan dañino, por lo que hay un claro lado positivo para los municipios" porque podría motivar a la ciudad a poner recursos y voluntad política para hacer que sus redes sean más seguras, él dijo.
© 2018 The Associated Press. Reservados todos los derechos.
