Pagar o no pagar rescate: la pregunta del millón ante la «pandemia» de ciberataques

El pasado fin de semana, un grupo de piratas informáticos de habla rusa, Dark Side , bloqueó la principal red de oleoductos de EE.UU. Colonial Pipeline , que transporta 2,5 millones de barriles al día y administra el 45% del suministro de combustible en la costa este. DarkSide, que ha defendido que su principal objetivo es «hacer dinero» y no «crear problemas a la sociedad», ya ha provocado una crisis de suministro en la principal potencia del mundo y ha amenazado con filtrar información confidencial si no recibe el pago del rescate. El pasado octubre, este atípico grupo de cibercriminales se jactó de haber donado 20.000 dólares en bitcoins , obtenidos de manera ilegal, a las organizaciones benéficas Children International y The Water Project, que al conocer su procedencia la rechazaron finalmente conservarlos, según el portal especializado Bleeping Computer.

Entretanto, la Administración de Joe Biden, que ha declarado el estado de emergencia regional, ha pedido a los consumidores que no acumulen carburantes y a los vendedores que no especulen en esta situación de crisis de suministros, que afecta a estados como Carolina del Norte, Carolina del Sur, Tennessee, Georgia, y Virginia.

El pasado año, casi 2.400 organismos públicos, centros de salud y escuelas estadounidenses fueron víctimas de ataques por ransomware, según la firma de seguridad Emsisoft. «Estamos en plena cúspide de una pandemia global de ciberataques por ransomware», dijo la pasada semana ante el Congreso estadounidense Christopher Krebs , el primer director de la Agencia de Seguridad de Infraestructura y Ciberseguridad.

No hay forma de contenerlos. Siguen en auge los ataques por ransomware, un software malicioso que bloquea o secuestra los archivos o dispositivos reclamando un pago online, por ser relativamente baratos y por garantizar, como ningún otro crimen, un elevado grado de impunidad. La estrategia de estos grupos suele ser la «doble extorsión», esto es: primero exigen un rescate para dar la llave con la que descifrar los datos de una organización; y más tarde amenazan con difundir los datos a menos que se pague un rescate adicional.

«En la actualidad, los actores cibernéticos maliciosos dedican tiempo y recursos a la investigación, el robo y la explotación de vulnerabilidades, utilizando ataques cada más complejos para evitar la detección y desarrollando nuevas técnicas para atacar las cadenas de suministro de tecnología de la información y telecomunicaciones», afirmó ayer en una comparecencia ante el Senado estadounidense el director interino de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), Brandon Wales .

Al igual que con los secuestros de tinte yihadista, el FBI se ha opuesto históricamente a los pagos aduciendo que, en caso contrario, EE.UU. estaría fomentando más extorsiones por ransomware. En este espinoso debate también tienen mucho que decir las aseguradoras. El sector ha sido señalado por alentar a las empresas a pagar, ofreciendo reembolsos. A raíz de las críticas y como una suerte de aviso a navegantes, el pasado lunes, el grupo global de seguros AXA comunicó que dejaría de emitir pólizas online para cubrir los rescates. Con este movimiento, la aseguradora espera cambiar la tendencia y mandar un mensaje a los cibercriminales para dificultar su modelo de negocio.

Según Chainalysis, en 2020 las víctimas de estas extorsiones virtuales llegaron a desembolsar, de media, 100.000 dólares hasta un monto total de alrededor de 350 millones de dólares, un 311% más que en 2019, según el Departamento de Justicia de EE.UU. «A pesar de la gravedad de sus delitos, la mayoría de los delincuentes de ransomware operan con casi impunidad, basándose en jurisdicciones que no pueden o no quieren llevarlos ante la justicia. Este problema se ve agravado por los sistemas financieros que permiten a los atacantes recibir fondos sin ser rastreados», reconocía un informe del instituto para la seguridad tecnológica Ransomware Task Force . Entre sus recomendaciones, este grupo de trabajo pedía la regulación del sector de las criptodivisas , refugio de los cibercriminales.

A lo largo de los últimos meses, este diario ha dado cuenta de la ola de ciberataques contra puntos estratégicos de la lucha contra la pandemia del coronavirus. Desde hospitales, la agencia europea del medicamento y hasta laboratorios que desarrollan la vacuna, los cibercriminales pusieron al sector salud en su punto de mira por representar el principal botín de guerra (económica). Si los rehenes occidentales valen su peso en oro para los grupos terroristas, en estos últimos meses el sector salud ha sido la víctima favorita de esta pandemia cibernética.

«Muchas veces pensamos que los ciberataques no pasan del ciberespacio. Y no, los efectos pueden ser muy serios en la vida real», apunta a ABC Adrien Ogee , director de operaciones del Cyber Peace Institute y que ha trabajado para las Agencias de seguridad francesa (ANSSI) y europea (ENISA). Colonial Pipeline, empresa privada, ya ha buscado asistencia de terceros y, de hecho, «puede contar con la experiencia en ciberseguridad disponible de empresas y gobiernos locales, y hasta de socios internacionales», apuntan desde esta organización especializada en tratar del cibercrimen. En otras partes del mundo, en cambio, la experiencia en ciberseguridad no es necesariamente tan accesible ni tiene el respaldo de una agencia como la de Ciberseguridad e Infraestructura estadounidense (CISA), agrega Ogee, que destaca el caso de hace unos años en Ucrania, donde un ciberataque dejó sin suministro eléctrico a 250.000 ucranianos en plena navidad.

¿Pagar o no pagar? Esa es la pregunta del millón. «En principio aconsejamos no pagar. Pagar el rescate no siempre es buena idea porque financia el cibercrimen. No solo estamos pagando a delincuentes sino también estamos glorificando a estos grupos que generan un daño muy importante en la población. Y además pagar los rescates no presenta ninguna garantía: que o bien no se recuperan los ficheros o incluso los atacantes no son quienes dicen», advierte Ogee.

Sin embargo, la realidad parece mucho más compleja, y aunque recomiendan no pagar, el experto reconoce que la presión sobre hospitales o infraestructuras críticas –«ya sea en EE.UU., Francia o España»- puede ser inasumible para los responsables de decidir si claudicar o no ante la extorsión de los cibercriminales. «Es difícil juzgar y decir no lo hagáis. A veces son peores las consecuencias de no pagar un rescate, como las vidas humanas que están en juego, que el hecho de financiar el cibercrimen», concluye Ogee.

De fondo, las estaciones de servicio de la costa este -desde Florida hasta Virginia- han comenzado ya a colgar carteles de 'fuera de servicio', disparándose los precios del combustible ante el pánico de los conductores por el colapso de la red de oleoductos más importante de Estados Unidos.