Con el aumento de los ataques de ransomware, se han planteado legislaciones como una forma de impedir que las empresas paguen y alimenten aún más dichas actividades. En esta segunda pieza de una característica de dos partes sobre ransomware, MarketingyPublicidad.es analiza cómo tales políticas pueden ser difíciles de aplicar y pueden tener consecuencias más nefastas.
Las regulaciones que obligan a las víctimas a no pagar podrían poner a estas empresas en una posición precaria, dijo Steve Turner, analista de Forrester con sede en Nueva York que se enfoca en seguridad y riesgo. Por un lado, cualquier debate sobre si pagar o no sería silenciado cuando estuvieran en juego vidas físicas.
Turner señaló los ataques de ransomware que derribaron sistemas de infraestructura crítica como la energía y la atención médica, lo que afectó a empresas como US Colonial Pipeline, el Ejecutivo del Servicio de Salud de Irlanda y el Hospital Universitario de Düsseldorf de Alemania.
El operador del oleoducto estadounidense pagó casi 5 millones de dólares en rescate, la mayor parte del cual fue recuperado posteriormente por las autoridades, mientras que el operador sanitario irlandés se negó a pagar y pasó semanas luchando para recuperarse del ataque, que afectó a cientos de pacientes. La incapacidad de funcionamiento del hospital de Düsseldorf también provocó indirectamente la muerte de una paciente cuyo tratamiento se retrasó porque tuvo que ser desviada a un hospital más lejano.
El jefe de ciberseguridad del Sudeste Asiático de Capgemini, Hamza Siddique, señaló que los grupos de actores de amenazas ahora tenían tanto éxito en infligir un impacto crítico en sus víctimas que dejaba a estas organizaciones con pocas opciones viables además de pagar.
«Pagar el rescate puede ser la opción menos costosa para una empresa con problemas de liquidez que participar en el minucioso [task of] reconstruir los sistemas y bases de datos de la empresa», dijo Siddique en una entrevista por correo electrónico. «Otras entidades pueden optar por pagar al actor de amenazas con la esperanza de evitar la divulgación pública de información confidencial, lo que puede conducir a la bancarrota o a problemas legales».
Aconsejó a las víctimas que tomaran «decisiones informadas» sobre si desembolsar el rescate o embarcarse en el camino más difícil de construir desde cero. Pagar el rescate no solo alentó a los actores de amenazas a participar en futuros ataques de ransomware, sino que también proporcionó fondos para que estos grupos actúen contra las naciones, los gobiernos y los intereses de la política exterior, señaló.
Sobre si se deben imponer sanciones a las empresas que optaron por pagar el rescate, dijo que esta decisión debe tomarse de acuerdo con la política de TI del país y el análisis de costo-beneficio.
Ante todo, el énfasis debe estar en no pagar, dijo Siddique, y agregó que este debería ser el caso si el impacto en el negocio fuera bajo. Sin embargo, si el impacto pudiera llevar a la bancarrota o a problemas legales importantes, se debería permitir que las organizaciones decidan si quieren pagar el rescate, dijo.
El CISO de Acronis, Kevin Reed, señaló que, a corto plazo, las regulaciones que prohíben el pago de rescates podrían tener efectos adversos significativos, pero a largo plazo, podrían tener un impacto positivo general.
Dijo en una entrevista en video que los ciberdelincuentes estaban interesados principalmente en las ganancias financieras y que si enfrentaban obstáculos cada vez mayores en sus esfuerzos por extraer dinero, dejarían de hacerlo.
Sin embargo, advirtió, los delincuentes tienden a ser creativos en la forma en que extorsionan el dinero, moviéndose de un plan a otro hasta que logran su objetivo.
Las regulaciones sobre criptomonedas tampoco son infalibles
El CEO y presidente de CYFIRMA, Kumar Ritesh, sugirió que las regulaciones deberían centrarse en cambio en las monedas virtuales, ya que se usaron para orquestar los pagos de rescate.
Los intercambios de criptomonedas o las empresas comerciales podrían recibir el mandato de proporcionar información a las autoridades pertinentes para que las transacciones o cuentas con los identificadores únicos específicos puedan bloquearse o congelarse, dijo Ritesh en una entrevista en video. Sin una plataforma comercial en la que completar la transacción, a los ciberdelincuentes les resultaría más difícil convertir sus monedas virtuales en dinero fiduciario.
Turner señaló que ya existían regulaciones que regían las plataformas legítimas de comercio de criptomonedas como Coinbase, que incluían procesos de identificación complejos antes de que se procesaran las transacciones.
Tales políticas que identificaron movimientos a través de estos centros de criptomonedas podrían ayudar a reducir las actividades ilícitas realizadas por estafadores habituales que no eran muy expertos en tecnología. Sin embargo, los grupos de actores de amenazas detrás de los recientes ataques masivos de ransomware no eran delincuentes comunes y corrientes, dijo el analista de Forrester en una entrevista en video.
Por un lado, no estarían intercambiando criptomonedas a través de billeteras digitales comunes. Por lo general, tenían las habilidades para mover y lavar rápidamente estas monedas, al igual que cualquier operación del crimen organizado, por lo que podrían estar «limpias» para su uso en el mundo real, dijo.
Además, Turner agregó que los ciberdelincuentes simplemente usarían modos de pago alternativos si se introdujeran más regulaciones para monitorear las transacciones de criptomonedas o prohibir que las empresas paguen rescates.
«Los atacantes simplemente encontrarán otro mecanismo de pago que no haya sido ilegalizado», dijo. «Podría ser algo como [innocuous] como tarjetas de regalo de Walmart, siempre que no permita rastrear a los piratas informáticos y permita a las empresas pagar el rescate. ilegalizar [the use of] la criptomoneda solo pondrá a las víctimas de ransomware en una mala posición».
Turner señaló, sin embargo, que alguna forma de regulación podría mejorar la postura de seguridad colectiva de las empresas en todos los ámbitos, ya que habría una motivación más fuerte para evitar ser puestos en una posición en la que se les pediría un rescate.
Políticas necesarias para garantizar que los proveedores continúen con el soporte crítico
Las regulaciones también pueden ser necesarias para garantizar que las empresas permanezcan protegidas cuando los proveedores dejen de brindar soporte a los productos y sistemas de TI.
Por ejemplo, en junio, Western Digital aconsejó a los usuarios de My Book Live y My Book Live Duo que desconectaran sus dispositivos de Internet luego de una serie de ataques remotos que desencadenaron un restablecimiento de fábrica, borrando todos los datos del dispositivo. La infracción se debió a una vulnerabilidad que se introdujo en abril de 2011 debido a un descuido de la codificación.
Lanzado en 2010, los dispositivos de almacenamiento portátiles recibieron su última actualización de firmware en 2015, después de lo cual Western Digital suspendió el soporte para los productos. Posteriormente, el proveedor de almacenamiento proporcionó servicios de recuperación de datos para los clientes que perdieron datos como resultado de los ataques.
Siddique señaló que las organizaciones de hoy en día eran en su mayoría de naturaleza digital y dependían en gran medida de los vendedores y proveedores para brindar soporte y productos confiables durante un período de tiempo más largo, e incluso después de que estos sistemas fueran descontinuados.
«Es imperativo que existan políticas para que un proveedor brinde un soporte mínimo para las líneas de productos descontinuadas, considerando que el cliente puede no estar en condiciones de actualizar su software o puede tener cierta dependencia de la versión anterior de los productos», dijo.
Debería haber políticas claramente definidas para que dicho apoyo se brinde durante un número mínimo específico de años después de su lanzamiento al mercado, sugirió. También se debe esperar que los proveedores brinden información sobre los próximos lanzamientos de productos y faciliten la migración a nuevos productos.
Dijo que se podrían realizar cambios en el SLA (acuerdo de nivel de servicio) y, si no fuera viable para los proveedores mantener un equipo de soporte para productos descontinuados, debería haber un requisito mínimo para tales disposiciones en función de la gravedad de las vulnerabilidades de seguridad.
Por lo menos, señaló Turner, los proveedores que optaron por continuar brindando soporte a los servicios en línea vinculados a sus productos, también deberían continuar ofreciendo soporte a los productos reales. De lo contrario, estos servicios en línea deberían desactivarse, dijo, y señaló que Western Digital debería haber desactivado el acceso remoto o los servicios en línea para los modelos My Book cuando cortaron el soporte para los productos en 2015.
“Si no hay ojos sobre eso, alguien lo va a explotar”, dijo el analista. Agregó que la óptica no se vería bien para que un fabricante de productos de almacenamiento de datos sufriera un incumplimiento de esta escala.
Cualquier regulación potencial aquí podría buscar exigir a los proveedores que admitan un producto siempre que admitan los servicios que requieren que el producto se conecte a Internet, dijo.
Sin embargo, Reed sugirió que tales políticas, si se introducen, deberían aplicarse solo a sistemas críticos como los sistemas de control médico e industrial.
Señaló que algunos hospitales hoy en día operan máquinas de MRI (imágenes por resonancia magnética) que se ejecutan en versiones antiguas de Windows que ya no son compatibles con Microsoft. Y estas máquinas podrían impactar vidas reales, dijo.
Si bien estuvo de acuerdo en que los proveedores de software deberían asumir más responsabilidad por sus productos, dijo que las legislaciones no eran necesarias para todos los sectores.
