Introducción al ransomware: cómo mitigar el riesgo que supone la realidad actual del ransomware
El ransomware es una realidad lamentable para las empresas digitales modernas, pero existen herramientas, tecnologías y buenas prácticas que ayudan a los equipos de seguridad a evitar convertirse en víctimas de los ciberdelincuentes.
Definición
¿Qué es el ransomware?
El ransomware surgió a finales de la década de 1980 y, desde entonces, se ha convertido en una de las mayores amenazas a las que se enfrentan las empresas de todo el mundo.
El ransomware ha evolucionado desde los disquetes infectados hasta abarcar numerosas variantes, pero, en general, se trata de un tipo de malware diseñado para impedir el acceso a datos o sistemas hasta que se reciba algún tipo de pago —o rescate—. Esta técnica de extorsión digital suele dañar archivos y filtrar datos, aunque en algunos casos se limita a bloquear el acceso hasta que se paga el rescate. El ransomware suele cifrar los archivos en el dispositivo final, amenazando con borrarlos; según un informe, hasta un 43 % de los datos resultan irrecuperables tras un ataque de ransomware. Algunos casos de ransomware incluyen amenazas de filtrar datos confidenciales de la empresa, de clientes, de empleados o de socios que se han extraído y recopilado como resultado del ataque.
Basta con considerar algunas de estas estadísticas: el ransomware ha obligado a cerrar a alrededor del 25 % de las empresas, cuesta aproximadamente 11 600 dólares por minuto de inactividad y provoca que el 70 % de los clientes afirmen que ya no volverán a hacer negocios con una marca. En todos los casos, las empresas quieren evitar a toda costa ser víctimas del ransomware, pero eso es poco probable, ya que su prevalencia sigue aumentando. La mejor alternativa es contar con un plan exhaustivo de Recovery ante el ransomware que permita a las empresas volver a estar operativas y garantizar la seguridad de los datos.
Cómo mitigar el riesgo
Ransomware 101: Cómo mitigar el riesgo ante la realidad actual del ransomware
El ransomware es una realidad lamentable para las empresas digitales modernas, pero existen herramientas, tecnologías y buenas prácticas que ayudan a los equipos de seguridad a evitar ser víctimas de los ciberdelincuentes y a minimizar los daños en caso de sufrir un ataque.
¿Qué quita el sueño a los responsables de seguridad? La lista podría ser infinita, pero en 2024, el ransomware probablemente encabece la lista de los ataques más temidos por las empresas.
El ransomware no solo restringe el acceso a los sistemas necesarios, sino que también exige un pago y filtra datos. Los responsables de seguridad deben proteger sus entornos contra estos ataques maliciosos y, lo que es más importante, diseñar una estrategia de Recovery que restablezca el negocio a un estado seguro conocido.
El ransomware lleva causando estragos en los sistemas informáticos desde hace unos 35 años, y el software malicioso creado por los ciberdelincuentes que lanzan ataques contra empresas, organizaciones y particulares no da señales de remitir, a medida que los entornos se vuelven más sofisticados y el mundo está más conectado que nunca.
Según un informe del SANS Institute basado en datos de eCrime.ch, los ataques de ransomware aumentaron a un ritmo de casi el 73 % entre 2022 y 2023, con un total de 4 611 casos notificados en 2023. Los analistas del sector estiman que los costes de los daños causados por el ransomware a nivel mundial ascenderán a 265 000 millones de dólares en 2031, y aunque el 80 % de las organizaciones se vieron afectadas por el ransomware en 2021, el 60 % de los responsables de la toma de decisiones en materia de seguridad declararon que el ransomware es tan grave como el terrorismo. La gravedad de los ataques puede paralizar o destruir una empresa, ya sea financieramente o mediante el daño a la marca, e incluso tener consecuencias que pongan en peligro la vida cuando los proveedores de atención sanitaria son el objetivo.
Prevención
Cómo prevenir un ataque
Mantenerse al día con las amenazas cibernéticas, cada vez más frecuentes y en constante evolución, es más que un trabajo a tiempo completo; es responsabilidad de todos los miembros de la organización. A medida que los atacantes y las vulnerabilidades se vuelven más sofisticados, también deben hacerlo los responsables de seguridad, los departamentos de TI, los empleados y los usuarios finales.
La prevención de los ataques de ransomware comienza con la información y la formación. Existen varias prácticas recomendadas que deben difundirse en todas las organizaciones para ayudar a reducir el riesgo de permitir, sin querer, que el ransomware se ejecute en un entorno. Deben crearse equipos multifuncionales en toda la organización para difundir las prácticas recomendadas y formar a los participantes sobre lo que no deben hacer.
Nunca hagas clic en enlaces desconocidos o poco seguros: hacer clic en enlaces de correos electrónicos o sitios web podría desencadenar una descarga automática de ransomware que infectará el ordenador y la red a la que esté conectado.
No reveles información personal: compartir información personal con un tercero no fiable por teléfono, correo electrónico o mensaje de texto podría proporcionar a un atacante los datos suficientes para idear un timo de phishing que incorpore ransomware.
Nunca abras archivos adjuntos sospechosos en correos electrónicos: abrir un archivo adjunto procedente de una fuente desconocida o en la que no confíes podría activar el ransomware. No abras archivos adjuntos que soliciten la ejecución de macros, ya que a menudo se trata de un atacante que intenta acceder al sistema.
Evita los pendrives desconocidos: conectar a un ordenador un dispositivo de almacenamiento de origen desconocido podría infectar el ordenador y el entorno.
Revisa las descargas de sitios web: descargar archivos de sitios no seguros puede provocar una infección por ransomware. Los sitios web con https en lugar de http indican que son seguros, y un símbolo de escudo o candado en la barra de direcciones también indica seguridad.
Utiliza servicios VPN en redes públicas: trabajar con redes Wi-Fi públicas puede dejar el sistema vulnerable. Asegúrate de utilizar servicios VPN seguros cuando accedas a redes Wi-Fi públicas.
Mantén los sistemas operativos actualizados: descuidar la actualización de los programas dará lugar a vulnerabilidades en el sistema. Asegúrate de aplicar todas las actualizaciones necesarias del sistema operativo, así como los parches de seguridad, para evitar exponer los sistemas a ataques.
Refuerza los terminales: configurar los sistemas teniendo en cuenta la seguridad limitará la superficie de ataque de una organización y cerrará las brechas de seguridad que dejan las configuraciones predeterminadas.
Revisa la configuración de los puertos: evaluar si una organización necesita mantener puertos abiertos puede limitar las conexiones únicamente a hosts conocidos y de confianza. Revisa la configuración tanto de los entornos locales como de los entornos en la nube, y desactiva los puertos del Protocolo de Escritorio Remoto (RDP) que no se utilicen.
Implementar un sistema de detección de intrusiones (IDS): La implementación de un sistema de detección de intrusiones para detectar actividad maliciosa alertará a la organización de posibles ataques cuando detecte dicha actividad.
Los responsables de seguridad y los departamentos de TI deben comunicar a los usuarios finales y a las partes interesadas de la empresa la importancia de aplicar estas buenas prácticas en todo un entorno conectado para evitar ataques. Sin embargo, los ciberdelincuentes seguirán insistiendo y tendiendo trampas, lo que hace que el ransomware sea, en el mundo digital actual, una realidad del mundo empresarial. La segunda mejor estrategia para evitarlo es la Recovery rápida.
Recuperarse
Cómo recuperarse rápidamente con el menor daño posible
Un ataque de ransomware tiene como objetivo causar problemas a una organización y obtener beneficios económicos para el atacante. Para recuperarse más rápidamente de un ataque, las víctimas de ransomware deben contar con un plan de respuesta ante incidentes.
Un plan de respuesta ante incidentes ayudará a una organización a prepararse para un incidente de ransomware, a responder ante él y a recuperarse de él. Los responsables de seguridad deben ofrecer orientación sobre las actividades y responsabilidades clave para acelerar el tiempo total de Recovery y la restauración de los datos. El tiempo de Recovery tras un ataque puede durar desde unos pocos días hasta varios meses, con una media de unas tres semanas.
Algunos pasos clave de un plan de Recovery ante un ataque de ransomware son:
Proteger el perímetro: ante el primer indicio de un ataque, asegúrate de bloquear los sistemas. Se estima que la ventana de oportunidad de un ataque de ransomware es de 84 minutos, y ese es el tiempo que transcurre antes de que los datos queden inutilizables, sean sustraídos o destruidos. Cierra todos los puntos de entrada y acceso a la empresa, sabiendo qué activos existen, a cuáles tienen acceso y cómo desactivarlos todos.
Evaluar los daños: una vez que el entorno esté seguro, evalúa los daños causados por el ataque. Identifica qué datos quedaron expuestos o se filtraron, y determina el impacto en lo que respecta a las normativas del sector, estatales, federales e internacionales. Comprende las obligaciones de divulgación y comunica a todos los equipos cuál es la mejor forma de cumplir dichos requisitos.
Determinar la causa: Es fundamental comprender cómo o por qué la organización fue víctima de un ataque de ransomware. ¿Estaba desprotegido el perímetro? ¿Se disponía de los controles adecuados para detectar rápidamente el ataque? ¿Llevó a cabo la organización suficiente formación en concienciación sobre ciberseguridad para prevenir los intentos de phishing? ¿Existe un plan de protección de datos que garantice la seguridad de la información de los clientes? Comprender cómo pudo producirse el ataque de ransomware en una organización contribuirá en gran medida a prevenir futuras brechas de seguridad.
Recuperar los datos: Restaurar los datos necesarios a partir de una copia de seguridad anterior, anterior a la infección por ransomware. Es importante identificar un punto de restauración anterior a la infección y realizar la restauración inicial en un entorno aislado (sandbox), de modo que el ransomware no se reintroduzca en el entorno de producción.
Comunicarse con las partes interesadas: Ser transparente con las partes interesadas clave. El director general y los altos directivos deben estar al corriente lo antes posible y alertar al consejo de administración. Sin embargo, las personas más importantes son aquellas afectadas por la filtración, como clientes, socios o empleados, a quienes hay que notificar la situación lo antes posible.
Realizar un análisis posterior al ataque: Llevar a cabo una auditoría de seguridad para detectar puntos débiles y revisar las políticas, las protecciones de los terminales, los controles de seguridad y las configuraciones. Identificar vulnerabilidades y áreas de mejora para ayudar a la organización a actuar con mayor eficacia en el futuro y desarrollar resiliencia frente a futuros ataques.
Para muchas empresas, el ransomware es algo inevitable. Es fundamental crear un plan de respuesta ante incidentes para proteger el entorno frente a los ataques, formar a los empleados y a los usuarios finales sobre cómo evitar los factores desencadenantes y responder con rapidez para evitar daños y recuperar los datos. Sin una Readiness adecuada frente al ransomware, es muy probable que las empresas sean víctimas de ataques —sufriendo pérdidas de datos, amenazas a la seguridad y costosas interrupciones en la actividad empresarial— en una era en la que los usuarios y las empresas exigen que sus datos estén accesibles y disponibles las 24 horas del día.
Ransomware 101
Demostración de recuperación ante un ataque de ransomware
