Reportando ransomware a las autoridades

Tabla de contenido

1. ¿Deberían notificarse los incidentes de ransomware?
2. Más Razones.
3. ¿Cómo informar un incidente de ransomware?
4. Si es víctima de ransomware, informe de este incidente a las autoridades locales.

Ser víctima de un ciberataque, y mucho menos de un ataque de ransomware, requiere tomar varias decisiones difíciles. De un informe reciente de Europol se desprende claramente que informar del incidente a las autoridades es una de esas decisiones difíciles. El informe destacó lo poco que se informa sobre los incidentes de ransomware y, a menudo, las autoridades solo se enteran de los incidentes a través de los medios de comunicación en lugar de la víctima.

Es fácil exigir que las víctimas de delitos los denuncien por numerosas razones legales y éticas, y mucho menos para ayudar a las autoridades a atrapar a quienes cometen delitos. La realidad es que ser víctima de un crimen tiene un nivel de estigma asociado. Puede ser vergonzoso admitir que fue engañado o estafado. Para las organizaciones que son víctimas de ataques de ransomware, este estigma parece ser una de las principales razones por las que el delito específico no se denuncia.

El panorama actual de amenazas de ransomware ha evolucionado para incluir varias bandas de ransomware o incluso bandas que han formado “carteles” que se dirigen específicamente a grandes organizaciones, ya sean empresas privadas o agencias gubernamentales. Este cambio, que se produjo a principios de 2019 seriamente, ha dado como resultado que grandes organizaciones, como algunas compañías Fortune 500, se agreguen a listas cada vez mayores de víctimas. Garmin, Canon, y Konica Minolta son solo algunas de las víctimas de alto perfil que han sido impactadas masivamente por una banda de ransomware.

El estigma de ser víctima de ransomware ha adquirido un nuevo significado, ya que las empresas temen el impacto que tendrá un ataque de este tipo en sus relaciones con los clientes y las partes interesadas. Esta puede ser una de las razones detrás de la subnotificación del delito. Cualquier incidente cibernético no solo afecta el resultado final y la recuperación puede ser una perspectiva costosa, sino que es de esperar un daño a la reputación. Los expertos consideran que ser transparente con respecto a un incidente de ransomware puede ayudar a reparar el daño a la reputación de manera más efectiva que cuando se intenta esconder el asunto debajo de la alfombra. El resto de este artículo está dedicado a por qué los incidentes de ransomware deben informarse a las autoridades y, lo que es más importante, cómo hacerlo.

¿Deberían notificarse los incidentes de ransomware?

La respuesta corta es sí, pero las respuestas cortas hacen poco para transmitir la importancia de la pregunta en primer lugar. La respuesta más fácil de dar es que para muchas organizaciones que deben adherirse a ciertas leyes de cumplimiento, o un conjunto de estándares, y las violaciones de datos deben ser reportadas. Hace un año, se podía argumentar que un incidente de ransomware no equivalía a una violación de datos ni planteaba de manera diferente un incidente cibernético en el que la información confidencial perteneciente a clientes o usuarios registrados de un servicio se ha visto comprometida. Al comienzo de 2020 se rompió el debate académico sobre si un ataque de ransomware era una violación de datos o no.

En enero de 2020, comenzaron a surgir informes de noticias de que la banda de ransomware Maze amenazaba con liberar los datos robados de las víctimas antes de que se ejecutara el ransomware y se encriptaran los datos.

Pronto, las amenazas se hicieron realidad cuando Maze comenzó a publicar datos que habían robado a través de lo que se llamaría un "sitio de filtración" ("leak site"), normalmente alojado en uno de los rincones de la web oscura. Esto colocó incidentes específicos de ransomware firmemente en la categoría de violación de datos y debía tratarse como tal. Para muchas leyes y estándares de cumplimiento, existe el requisito de informar los incidentes a las autoridades correspondientes especificadas en la legislación.

Es importante señalar que, a pesar de la evolución de los ataques de ransomware que ahora incluyen la exfiltración de datos, a veces denominada “doble extorsión”, no todos los ataques de ransomware son también violaciones de datos. El factor determinante será si los datos se extrajeron o no. La evolución más reciente en las tácticas son las bandas de ransomware que emplean centros de llamadas para amenazar aún más a las víctimas: en muchos países, este alto nivel de abuso puede considerarse un delito y, por lo tanto, también debe informarse a las autoridades policiales.

Más Razones

Si una víctima está obligada a denunciar el ransomware debido a la legislación, existe un fuerte argumento para denunciar el incidente. Hay varias otras razones para informar sobre incidentes de ransomware, independientemente de las leyes que estipulen que deberían hacerlo. En primer lugar, la información que obtienen los funcionarios encargados de hacer cumplir la ley desde la denuncia del incidente hasta los hechos proporcionados por especialistas forenses en ciberseguridad es de gran ayuda para atrapar a los involucrados.

Debido a los altos niveles de anonimato otorgados a los ciberdelincuentes mediante el uso de tecnologías como la Dark Web y otros servicios de anonimato, capturar a los involucrados puede ser una tarea difícil. Uno que al principio puede resultar casi imposible. Sin embargo, con el tiempo, los investigadores pueden reconstruir quién está detrás del ataque o, en muchos casos, una serie de ataques. Informar el incidente permite a los investigadores acceder a información vital necesaria para hacer exactamente eso.

En segundo lugar, cuantos más datos se recopilen, mejor en términos de concienciación y educación. Este es el caso con respecto a la aplicación de la ley y otras autoridades encargadas de la defensa contra el ciberdelito que pueden emitir alertas. Por lo general, estas alertas contienen información sobre las tácticas utilizadas por pandillas específicas, los vectores favoritos de contagio y las medidas que pueden tomar otras organizaciones para ayudar a evitar ser víctimas de la cepa de ransomware específica cubierta en la alerta. Para que estas alertas sean eficaces en la lucha contra las bandas de ransomware, la información debe ser de la más alta calidad y las víctimas que informan sobre incidentes ayudan a garantizar que se difunda la información correcta.

Por último, es importante discutir el carácter internacional del ciberdelito. Las organizaciones de ciberdelincuentes, como las bandas de ransomware, se centrarán en organizaciones fuera de su país de origen por varias razones. En Rusia, como ha sido bien documentado, el gobierno hace la vista gorda ante los ciberdelincuentes que atacan a organizaciones extranjeras, ya que los ataques no dañan la política de relaciones exteriores del gobierno, o incluso podrían promover objetivos específicos.

Tales influencias geopolíticas pueden dificultar que los organismos encargados de hacer cumplir la ley puedan llevarlos ante la justicia, pero no es imposible. Muchos organismos encargados de hacer cumplir la ley trabajan juntos para combatir el ciberdelito, incluidas organizaciones internacionales como Interpol y Europol. Los incidentes informados ayudan a cerrar el círculo sobre los ciberdelincuentes, lo que lleva a la incautación de servidores y arrestos si los ejes de la organización viajan al extranjero. Los gobiernos también pueden imponer sanciones a los estados que se cree que albergan a los ciberdelincuentes.

Las razones anteriores ciertamente plantean el caso de que informar incidentes de ransomware beneficia a las agencias de aplicación de la ley, pero ¿qué pasa con la organización que se ve afectada? Cuando se informa de incidentes, la policía es capaz de proporcionar valiosos consejos de remediación que fácilmente podrían resultar beneficiosos para la rápida recuperación de una organización. Además, varias agencias de aplicación de la ley han establecido asociaciones con firmas de seguridad privadas para poner a disposición de los afectados desencriptadores gratuitos. Informar un incidente puede ayudar a los líderes empresariales a obtener el desencriptador que necesitan para recuperarse de un ataque. Asociaciones como No More Ransom buscan crear una base de datos de información de ransomware junto con desencriptadores para ayudar a todos los afectados.

¿Cómo informar un incidente de ransomware?

Para informar de un incidente, será necesario contactar a la autoridad local pertinente. Antes, esto puede suceder, ya que es necesario recopilar muchos datos forenses relacionados con el incidente. Esto puede hacerlo personal de IT calificado. Tenga en cuenta que la información necesaria para informar sobre un ataque de ransomware será diferente según el hecho de que esté informando sobre un ataque desde el punto de vista de su empresa o simplemente como usuario de una computadora personal. En general, se puede solicitar a las organizaciones que proporcionen la siguiente información al informar el incidente:

• La información de su organización (industria, tipo de negocio, tamaño) y dónde está ubicado el contacto para comunicarse con las autoridades en el futuro.
• Fecha y hora aproximadas del ataque de ransomware.
• Cómo ocurrió el ataque (a través de un enlace de correo electrónico o archivo adjunto, vulnerabilidad explotada, puerto RDP mal configurado, etc.)
• Una copia o foto de la nota de solicitud de rescate o la pantalla de bloqueo.
• Nombre de la variante de ransomware (generalmente incluido en la nota de rescate o extensión de archivo encriptado agregada después del encriptado).
• Cualquier dirección IP relevante que esté conectada a su red que no reconozca.
• La extensión de archivo de los archivos encriptados.
• Dirección de correo electrónico, URL o cualquier otro método de comunicación proporcionado por el actor de la amenaza.
• Copias electrónicas de cualquier comunicación que haya tenido con el actor de la amenaza.
• La dirección de la billetera bitcoin del actor de la amenaza, a menudo se proporciona en la nota de rescate o en comunicaciones posteriores con el atacante.
• Monto del rescate exigido y monto del rescate pagado.
• Pérdidas generales asociadas con el ataque de ransomware, incluido el monto del rescate.

Si es víctima de ransomware, informe de este incidente a las autoridades locales:

Australia ACSC	Austria Polizei	Bélgica Police
Brasil Polícia Federal	Bulgaria CyberCrime	Canadá Centre for Cyber Security
Croacoa Ministry of the Interior	Chipre Cyber Crime Police	República Checa Policie
Dinamarca Politi	Inglaterra Action Fraud	Estonia Politsei
Finlandia Poliisi	Francia Ministère de l'Intérieur	Alemania Polizei
Grecia Hellenic Police	Hong Kong Hong Kong Police	Hungría Rendőrség
India Cyber Crime Cell	Irán Cyber Police	Irlanda Garda Síochána
Israel Nomoreransom project	Italia Polizia di Stato	Japón Cybercrime Project
Letonia Policija	Lituania ePolicija	Luxemburgo Police
Malta Pulizija	Holanda Politie	Nueva Zelanda Police
Rusia Ministry of Internal Affairs	Escocia Police Scotland	Singapur Singapore Police Force
Eslovaquia Ministerstvo Vnútra	Eslovenia Policija	Corea del Sur National Police Agency
España Policía Nacional	Suecia Polisen	Ucrania Cyber Police
Estados Unidos IC3