¿Pagar o no pagar? DriveSavers opina tras ser citada por el Financial Times

El gobierno del Reino Unido está avanzando con planes para prohibir por completo el pago de rescates por parte de organismos del sector público y proveedores de infraestructura crítica nacional, incluyendo el NHS, los consejos locales y las escuelas. Es una respuesta seria a un problema serio. La mayoría de las víctimas de ransomware son pequeñas y medianas empresas, no operadores de infraestructura crítica. Una prohibición dirigida a los proveedores de infraestructura crítica afecta solo a una pequeña parte del total de ataques, por lo que, por sí sola, podría hacer poco para reducir el volumen total de este tipo de delitos.

Ya existe un caso de prueba para esto. Carolina del Norte prohibió los pagos por ransomware a entidades gubernamentales en 2021, y Florida hizo lo mismo en 2022. Ninguna de las dos prohibiciones parece haber disuadido de forma significativa la actividad delictiva en ninguno de los dos estados. Haydn Brooks, director ejecutivo de Risk Ledger, planteó un punto relacionado en el mismo artículo: si los organismos públicos no pueden pagar, es probable que los grupos delictivos se orienten hacia objetivos del sector privado con menor regulación, y las aseguradoras podrían responder excluyendo por completo las indemnizaciones por ransomware, lo que a su vez elevaría las primas.

El panorama legal es distinto en otros lugares. El Reino Unido, Australia y otras jurisdicciones donde opera DriveSavers están evaluando o ya aplicando sus propias restricciones, por lo que las organizaciones fuera de EE. UU. no deben asumir que las normas estadounidenses se aplican también a ellas.

Los casos que atiende DriveSavers presentan una estructura que hace unos años no era tan constante. Antes de cifrar los sistemas, los atacantes ahora corrompen o eliminan la infraestructura de respaldo: los repositorios de respaldo de Veeam, los hosts de Hyper-V y los hosts de VMware ESXi son ejemplos claros de ello. Aproximadamente la mitad de los casos de recuperación de datos por ransomware que DriveSavers ha atendido en los últimos dos años involucraron atacantes que se enfocaron específicamente en los respaldos de Veeam antes de tocar los servidores principales. Veeam es la plataforma de respaldo dominante para entornos virtualizados, con alrededor de 550,000 clientes en todo el mundo, y muchos equipos de TI no saben que los archivos de respaldo de Veeam eliminados o corruptos a menudo aún pueden recuperarse con las herramientas y técnicas de recuperación propias desarrolladas por DriveSavers.

Los descifradores proporcionados por los ciberdelincuentes también son poco confiables, especialmente con archivos y bases de datos de gran tamaño. Las organizaciones que pagan el rescate para obtener un descifrador con frecuencia siguen necesitando una recuperación de datos profesional después, para obtener un conjunto completo de archivos utilizables, ya que el propio proceso de descifrado deja los datos dañados. Y las copias de seguridad inmutables, aunque realmente valen la inversión, no son infalibles. DriveSavers ha recuperado datos críticos en casos en los que un servidor de respaldo comercializado como inmutable fue eliminado por completo, porque el software que gestionaba esa inmutabilidad había sido comprometido.

En un caso reciente, DriveSavers ayudó a una aseguradora a evitar una demanda de rescate descrita como del orden de millones de dólares, al recuperar todos los datos operativos necesarios a partir de copias de seguridad eliminadas. Los servicios de recuperación de datos requeridos costaron una fracción de esa cantidad. Esto forma parte de un cambio más amplio: las aseguradoras ahora preguntan de forma habitual si la recuperación de datos es viable antes de autorizar el pago de un rescate, algo que hace unos años no era una pregunta estándar.

Pagar un rescate no garantiza que los atacantes entreguen una clave de descifrado funcional, que sus datos regresen intactos, ni que los datos robados no aparezcan de todos modos en algún lugar más adelante.

La afirmación contraria requiere la misma prudencia, y resulta útil distinguir entre dos conceptos:

Algunas de las otras personas citadas junto con Maus plantearon un punto que merece más atención que el propio debate sobre la prohibición. Gavin Millard, vicepresidente de producto en Tenable, lo expresó con claridad: la pregunta más útil es cómo hacer que el ransomware sea menos rentable desde el principio. La mayoría de los ataques todavía explotan vulnerabilidades conocidas y sistemas expuestos, por lo que la gestión de la exposición aporta más beneficios a largo plazo que cualquier política de pago. Spencer Young, de Delinea, planteó un punto relacionado sobre los controles de acceso: limitar los permisos permanentes para que una sola credencial robada no pueda moverse libremente por una red reduce el daño incluso cuando un ataque tiene éxito.

En cuanto a la preparación, las organizaciones que se recuperan más rápido suelen haber documentado de antemano dónde se almacenan sus copias de seguridad, qué sistemas son críticos y a quién llamar, antes de que ocurra un ataque. Esa lista de contactos debe conservarse en un lugar independiente de los servidores principales, para que no quede cifrada junto con todo lo demás, y debe incluir al asesor legal, la aseguradora de ciberseguridad y un servicio de recuperación de datos.

Resolver el dilema de pagar o no una demanda de ransomware nunca es sencillo. Trátelo como una decisión con varios factores en juego, no como una elección moral única: qué tan sensibles son los datos, si las copias de seguridad sobrevivieron, quién es el atacante específico, cómo se ve la exposición legal, y qué tan realista es realmente la recuperación de datos. Busque ayuda externa desde el principio, antes de que un plazo de rescate le obligue a decidir, para contar con más de esos factores a su favor, en lugar de menos.

Lea el informe completo del Financial Times: “Surge in ransomware hacks deepens divide over whether to pay” (puede requerirse suscripción).