El gobierno de EE UU pide nuevas prácticas para frenar los ciberataques por ransomware

Nuevas Estrategias para Combatir el Ransomware en EE. UU.

El aumento de los ciberataques por ransomware ha llevado a las autoridades estadounidenses a buscar nuevas estrategias para combatir esta creciente amenaza. Con el año 2024 proyectado para ser uno de los más críticos en términos de ataques cibernéticos, se están considerando enfoques innovadores, especialmente en lo que respecta a los pagos de rescate.

La Perspectiva del Gobierno

Ann Neuberger, quien ocupa el cargo de subsecretaria de seguridad nacional para ciberseguridad y tecnologías emergentes en EE. UU., ha expresado preocupaciones sobre la influencia de las pólizas de seguros cibernéticos. En un artículo de opinión reciente, Neuberger argumentó que las pólizas que reembolsan los pagos de rescate están, en efecto, alimentando el mismo ecosistema criminal que intentan mitigar. Ella aboga por la implementación de requisitos más estrictos de ciberseguridad como condición para la cobertura de seguros, con el fin de desincentivar los pagos de rescate.

Un Problema Creciente

La atención del gobierno hacia la reforma del seguro cibernético se produce en medio de un aumento alarmante en los incidentes de ransomware. Un informe de la Oficina del Director de Inteligencia Nacional indica que, para mediados de 2024, se habían registrado más de 2,300 incidentes, casi la mitad de los cuales afectaron a organizaciones estadounidenses. Esto sugiere que el total de ataques en 2024 podría superar los 4,506 registrados a nivel mundial en 2023.

Dilemas para las Empresas

A pesar de las recomendaciones de los responsables políticos, las empresas se enfrentan a un dilema urgente cuando son atacadas: ¿deberían pagar el rescate y potencialmente incentivar futuros ataques, o negarse y arriesgarse a sufrir más daños? La decisión de pagar un rescate es compleja y muchas veces se basa en factores más allá de la ética empresarial.

Paul Underwood, un experto en seguridad de la empresa Neovera, recuerda haber asistido a una reunión con el FBI en 2024 donde se recomendó no pagar rescates. Sin embargo, el FBI también reconoció que esta decisión es, en última instancia, un asunto de negocios y que las empresas consideran múltiples factores al tomarla.

La Urgencia de la Situación

La necesidad de restaurar las operaciones puede llevar a las empresas a tomar decisiones apresuradas. La presión aumenta con el tiempo, ya que cuanto más tiempo pase, mayor será el daño potencial. La exposición de datos sensibles, especialmente aquellos que involucran a clientes o empleados, genera un nivel de temor que puede resultar abrumador. Las organizaciones no solo enfrentan el riesgo de daños a su reputación, sino también la posibilidad de demandas colectivas por parte de individuos afectados.

Casos Notables de Ransomware

Un caso notable es el de Lehigh Valley Health Network, un hospital en Pennsylvania que se negó a pagar un rescate de 5 millones de dólares a un grupo de hackers conocido como ALPHV/BlackCat. Como resultado, se produjo una filtración de datos que afectó a 134,000 pacientes, incluyendo fotos sensibles de aproximadamente 600 pacientes de cáncer de mama. Este incidente culminó en una demanda colectiva contra el hospital.

Otras organizaciones también han enfrentado desafíos similares. National Public Data se encuentra en medio de múltiples demandas colectivas tras la divulgación de su base de datos que contiene 2.7 mil millones de registros en la web oscura.

Consecuencias de Pagar Rescates

Darren Williams, fundador de BlackFog, una empresa especializada en la prevención de ransomware, sostiene que el pago de rescates solo fomenta más ataques. El temor de que un pago pueda financiar organizaciones hostiles o violar sanciones hace que la decisión sea aún más complicada. Por ejemplo, cuando LoanDepot fue atacada por el grupo ALPHV/BlackCat en enero, la empresa decidió no pagar el rescate de 6 millones de dólares y optó por cubrir los costos de recuperación proyectados.

La Regulación y la Transparencia

La presión regulatoria añade otra capa de complejidad a este proceso de toma de decisiones. Las empresas se enfrentan a la obligación de revelar cualquier pago de rescate, lo que deben manejar con clientes, socios comerciales y otras partes interesadas. Con la próxima implementación de la Ley de Reporte de Incidentes Cibernéticos para Infraestructura Crítica, que entrará en vigor alrededor de octubre de 2025, muchas organizaciones tendrán que ser transparentes sobre los pagos de rescate.

Adaptación de los Cibercriminales

A medida que las defensas cibernéticas evolucionan, los cibercriminales también se adaptan rápidamente. Un informe reciente de Coveware, una firma especializada en extorsión cibernética, revela un cambio significativo en los patrones de ransomware, con los hackers confiando cada vez más en ataques de solo exfiltración de datos.

La Importancia de la Prevención

Expertos como Underwood enfatizan que la formación, la conciencia y las técnicas defensivas son esenciales para reducir los ataques. Sin embargo, también advierten que los hackers más sofisticados encontrarán nuevas formas de interrumpir los negocios. Un plan bien estructurado puede ayudar a asegurar que pagar el rescate sea una medida de último recurso, no la primera opción.

Estrategias para la Toma de Decisiones

Las organizaciones tienden a entrar en pánico y reaccionar de manera impulsiva ante las intrusiones de ransomware. La presión para pagar rescates seguirá siendo alta, y los expertos advierten que la prevención siempre será más económica que la cura. Sin embargo, muchas empresas parecen estar “dormidas al volante”, ignorando la creciente amenaza del ransomware.