¿Pagar o no pagar? DriveSavers opina tras ser citada por el Financial Times

El Gobierno del Reino Unido está impulsando planes para prohibir por completo el pago de rescates por parte de organismos del sector público y proveedores de infraestructuras críticas nacionales, incluidos el NHS, los ayuntamientos y los colegios. Es una respuesta seria a un problema serio. La mayoría de las víctimas de ransomware son pequeñas y medianas empresas, no operadores de infraestructuras críticas. Una prohibición dirigida a los proveedores de infraestructuras críticas afecta solo a una pequeña parte del total de ataques, por lo que, por sí sola, podría hacer poco por reducir el volumen total de la delincuencia relacionada con el ransomware.

Ya existe un caso de referencia para esto. Carolina del Norte prohibió los pagos por ransomware a entidades gubernamentales en 2021, y Florida hizo lo propio en 2022. Ninguna de las dos prohibiciones parece haber disuadido de forma significativa la actividad delictiva en ninguno de los dos estados. Haydn Brooks, consejero delegado de Risk Ledger, planteó un punto relacionado en el mismo artículo: si los organismos públicos no pueden pagar, es probable que los grupos delictivos se orienten hacia objetivos del sector privado con menor regulación, y las aseguradoras podrían responder excluyendo por completo las indemnizaciones por ransomware, lo que a su vez elevaría las primas.

El panorama legal es diferente en otros lugares. El Reino Unido, Australia y otras jurisdicciones en las que opera DriveSavers están valorando o ya aplicando sus propias restricciones, por lo que las organizaciones fuera de EE. UU. no deben dar por hecho que las normas estadounidenses también se aplican a ellas.

Los casos con los que trabaja DriveSavers presentan una estructura que hace unos años no era tan constante. Antes de cifrar los sistemas, los atacantes ahora corrompen o eliminan la infraestructura de copias de seguridad: los repositorios de copias de seguridad de Veeam, los hosts de Hyper-V y los hosts de VMware ESXi son ejemplos claros de ello. Aproximadamente la mitad de los casos de recuperación de datos por ransomware que DriveSavers ha gestionado en los últimos dos años implicaron a atacantes que se centraron específicamente en las copias de seguridad de Veeam antes de tocar los servidores principales. Veeam es la plataforma de copias de seguridad dominante para entornos virtualizados, con alrededor de 550.000 clientes en todo el mundo, y muchos equipos de TI no saben que los archivos de copia de seguridad de Veeam eliminados o dañados a menudo aún se pueden recuperar con las herramientas y técnicas de recuperación propias desarrolladas por DriveSavers.

Los descifradores proporcionados por los ciberdelincuentes también son poco fiables, especialmente con archivos y bases de datos de gran tamaño. Las organizaciones que pagan el rescate para obtener un descifrador con frecuencia siguen necesitando después una recuperación de datos profesional para obtener un conjunto completo de archivos utilizables, ya que el propio proceso de descifrado deja los datos dañados. Y las copias de seguridad inmutables, aunque realmente merecen la inversión, no son infalibles. DriveSavers ha recuperado datos críticos en casos en los que un servidor de copias de seguridad comercializado como inmutable había sido eliminado por completo, porque el software que gestionaba esa inmutabilidad había sido, a su vez, comprometido.

En un caso reciente, DriveSavers ayudó a una aseguradora a evitar una petición de rescate descrita como del orden de millones de dólares, al recuperar todos los datos operativos necesarios a partir de copias de seguridad eliminadas. Los servicios de recuperación de datos requeridos costaron solo una fracción de esa cantidad. Esto forma parte de un cambio más amplio: las aseguradoras ahora preguntan de forma habitual si la recuperación de datos es viable antes de autorizar el pago de un rescate, algo que hace unos años no era una pregunta estándar.

Pagar un rescate no garantiza que los atacantes entreguen una clave de descifrado funcional, que sus datos vuelvan intactos, ni que los datos robados no acaben apareciendo en otro lugar más adelante.

La afirmación contraria requiere la misma prudencia, y resulta útil distinguir entre dos conceptos:

Algunas de las otras personas citadas junto con Maus plantearon un punto que merece más atención que el propio debate sobre la prohibición. Gavin Millard, vicepresidente de producto en Tenable, lo expresó con claridad: la pregunta más útil es cómo hacer que el ransomware resulte menos rentable desde el principio. La mayoría de los ataques siguen explotando vulnerabilidades conocidas y sistemas expuestos, por lo que la gestión de la exposición aporta más beneficios a largo plazo que cualquier política de pago. Spencer Young, de Delinea, planteó un punto relacionado sobre los controles de acceso: limitar los permisos permanentes para que una única credencial robada no pueda moverse libremente por una red reduce el daño incluso cuando un ataque tiene éxito.

En cuanto a la preparación, las organizaciones que se recuperan más rápido suelen haber documentado de antemano dónde se almacenan sus copias de seguridad, qué sistemas son críticos y a quién llamar, antes de que se produzca un ataque. Esa lista de contactos debe conservarse en un lugar independiente de los servidores principales, para que no quede cifrada junto con todo lo demás, y debe incluir al asesor legal, la aseguradora de ciberseguridad y un servicio de recuperación de datos.

Resolver el dilema de si pagar o no una demanda de ransomware nunca es sencillo. Trátelo como una decisión con varios factores en juego, y no como una única elección moral: la sensibilidad de los datos, si las copias de seguridad sobrevivieron, quién es el atacante concreto, cuál es la exposición legal, y lo realista que resulta en la práctica la recuperación de datos. Recurra a ayuda externa cuanto antes, antes de que un plazo de rescate le obligue a decidir, de modo que disponga de más de estos factores, y no de menos.

Lea el informe completo del Financial Times: “Surge in ransomware hacks deepens divide over whether to pay” (puede requerirse suscripción).