Los recientes ataques cibernéticos en agosto a Bombardier Recreational Products y Ontario Cannabis Store destacan el flagelo continuo de los ciberdelincuentes y el ransomware.

El ransomware es un código de malware (software malicioso) que ingresa a un sistema de información y bloquea el acceso a la computadora o sus archivos hasta que la víctima paga para obtener una clave o contraseña. Ransomware fue un término que no entró en el léxico popular hasta hace unos 10 años (y se agregó al Oxford English Dictionary en 2018).

Ahora ha evolucionado y, en 2021, se registraron 3.729 denuncias de ransomware, con pérdidas de 49,2 millones de dólares solo en infraestructuras críticas designadas. El pago promedio de ransomware aumentó un 82 por ciento para alcanzar un récord de USD 570 000 en la primera mitad de 2021.

Y solo va a empeorar. El Centro de Quejas de Delitos en Internet del FBI informó 2084 quejas de ransomware desde enero hasta el 31 de julio de 2021, un aumento interanual del 62 %.

Para cualquier organización, los ataques cibernéticos no son una cuestión de "si", sino de "cuándo":un ataque cibernético es inevitable. Esto obliga a los líderes a preguntarse:¿Pagamos el rescate o no?

Aproximadamente la mitad de todas las organizaciones optan por pagar un rescate. Pero eso también significa que aproximadamente la mitad no lo hace. Lo que hace que este sea un problema especialmente perverso es que no hay una respuesta correcta o una estructura clara. Entonces la pregunta es:¿Bajo qué condiciones se debe pagar un rescate? ¿Y qué factores pueden ayudar a los líderes a tomar esta decisión?

Bloqueando el acceso

Hay cuatro acciones principales que el ransomware puede ejecutar, representadas en el acrónimo LEDS:Bloquear, Cifrar, Eliminar o Robar. El ransomware puede bloquear o impedir el acceso a datos o un sistema de información, lo que requiere una clave para desbloquear. Del mismo modo, puede permitir el acceso, pero los datos son incomprensibles ya que se han cifrado en el lugar, lo que nuevamente requiere una clave de descifrado para hacerlos legibles. Los datos se pueden eliminar en el lugar (borrar) o vender al mejor postor.

Lo que hace que los ataques de ransomware actuales sean especialmente dañinos e insidiosos es que a menudo implementan más de uno de estos efectos.

Una vez que el malware está incrustado en el sistema de una organización, los delincuentes se ponen en contacto con la víctima, generalmente a través de un correo electrónico anónimo, o a través del propio malware (ventana emergente) exigiendo el pago inmediato de un rescate en criptomonedas y, por lo general, amenazando con causar más daño.

El pago del rescate puede dar lugar a que se proporcione una clave de descifrado que, cuando se ingresa en la ventana emergente, desbloquea inmediatamente el sistema y todo lo que se haya cifrado.

Consideraciones antes del pago

Hay dos dimensiones a considerar cuando se decide pagar un rescate:la decisión comercial y la ética.

Las autoridades encargadas de hacer cumplir la ley, incluidos el FBI y la RCMP, desaconsejan categóricamente pagar un rescate, nunca. Lo hacen por dos buenas razones:primero, recompensa y fomenta la actividad delictiva. En segundo lugar, puede poner en peligro aún más a la organización cuando se sabe en los círculos de piratas informáticos que se trata de una organización dispuesta a pagar.

En otras palabras, es posible que no haga que el delito desaparezca y puede convertirte en un objetivo aún más importante.

Si los delincuentes no son una organización terrorista conocida, el pago de un rescate no es un delito. Esto podría cambiar, ya que algunos países, en particular Estados Unidos, están proponiendo la promulgación de leyes de cumplimiento de sanciones que criminalicen todos los pagos de rescate cibernético. Puede ser difícil atribuir el ataque, razón por la cual los piratas informáticos a menudo se identifican con sus víctimas.

Un crimen honesto

Hay un caso comercial convincente para pagar una demanda de rescate. El crimen funciona porque, si se quiere, es honesto. Es decir, el 70 por ciento de las veces, pagar un rescate dará como resultado que se proporcione una clave de descifrado válida.

Esto tiene sentido. Para que los delincuentes se beneficien de este esfuerzo, deben mostrar buena fe y cumplir su promesa.

Los delincuentes también lo saben. Las campañas dirigidas ven a los atacantes pasar un promedio de casi seis meses dentro de la red de una empresa antes de implementar malware de rescate. Lo hacen para asegurarse de que su malware haya infectado tantos sistemas como sea posible, incluidas las copias de seguridad; identificar y extraer los artículos de mayor valor; para asegurarse de que no dejen rastros; y para recopilar inteligencia comercial (como planes de respuesta a incidentes o pólizas de seguro). Esto les permite determinar la cantidad máxima de rescate a exigir.

Esta es la esencia de la decisión del caso de negocios. Suponga, por ejemplo, que el costo de un evento de rescate se estima en $ 500,000 (según el tamaño de la base de datos, el tiempo de recuperación, la validación de datos tras la recuperación y otros gastos). Una demanda de rescate de $ 250,000 es claramente una mejor alternativa porque no solo es más barata, sino más rápida que la alternativa.

Las organizaciones pueden calcular el costo de varios incidentes y determinar, en principio, su disposición a pagar por cada posible escenario de rescate. Esto conduce al desarrollo de lo que se conoce como matriz de pago de ransomware para la organización.

Dimensiones morales

Sin embargo, también hay una dimensión moral o ética en esta decisión. Los pagos a los delincuentes pueden no ser coherentes con los valores fundamentales, la cultura o el código de ética de la organización. Incluso si lo son, esto podría no sentar bien a los empleados, clientes y otras partes interesadas de la empresa.

Hay muchos marcos y teorías que se ocupan de la ética en el lugar de trabajo, y los líderes deben valerse de uno o más. Esto les ayudará a tomar una decisión sobre el pago de un rescate porque, si bien puede tener mucho sentido comercial pagar un rescate, puede que no sea lo correcto para la organización.

En su lugar, la organización puede optar por invertir fondos que de otro modo se destinarían a pagos de rescate en capacitación, protección cibernética y actualización y parches de sistemas.

Cualquiera que sea la decisión, es fundamental explorar todas las opciones mucho antes de que ocurra un ataque cibernético. Esto incluye mantener conversaciones con empleados, clientes y otras partes interesadas. También incluye aseguradoras (que se resisten cada vez más a asegurarse contra eventos de ransomware) y autoridades policiales.

Aceptar la inevitabilidad de un ataque cibernético y explorar a fondo diferentes escenarios tendrá el doble efecto de no solo prepararse para el ataque, sino también permitir una respuesta más efectiva cuando ocurra. + Explora más

Algunos hackers toman el rescate y corren:investigadores

Este artículo se vuelve a publicar de The Conversation bajo una licencia Creative Commons. Lea el artículo original.