El ransomware acaba multiplicando por siete el precio del rescate

Este titular no debe llevar a pensar que pagando el rescate se evita ese sobrecoste, sino que de hecho va asociado a aquel, y se llama coste lateral.

Check Point Research, CPR, la división de Inteligencia de Amenazas de Check Point Software Technologies, un proveedor líder de soluciones de ciberseguridad a nivel mundial, muestra nuevos datos sobre el impacto de los ataques de ransomware tras el análisis de las filtraciones del grupo Conti y diferentes conjuntos de datos relacionados con las víctimas. Hay que tener presente que el pago de un rescate no es más que un pequeño componente del coste real de un ataque de este tipo, ya que se estima que el precio total es 7 veces mayor.

Tanto es así que, en el Q1 de 2022 en España, un ataque de ransomware ha afectado a una de cada 54 empresas, lo que supone un aumento del 27% respecto al pasado año (1 de cada 55 compañías en el primer trimestre de 2021). A nivel europeo, en el primer trimestre de 2022, aumentó un 16% con respecto al año anterior (1 de cada 80 empresas en el mismo período de 2021) y una de cada 68 empresas se ha visto involucradas. Dentro del daño sufrido, cabe destacar que los ciberdelincuentes exigen una cantidad proporcional a los ingresos anuales de la víctima, que oscila entre el 0,7% y el 5%. Por otro lado, en 2021 la duración del “chantaje” disminuyó de 15 días a 9 días. Check Point Research también ha observado que los grupos de ransomware tienen unas reglas básicas para negociar con éxito con las víctimas, lo que influye en el proceso y la dinámica de la transacción.

Está claro que, en los últimos años, el ransomware ha evolucionado hasta convertirse en el tipo de ciberataque más incómodo al que se enfrentan las empresas. Además de afectar a los procesos cotidianos de las organizaciones y de interrumpir el negocio, esta amenaza puede tener un gran impacto financiero. En su forma más evidente, las bandas criminales exigirán un pago como forma de rescate, que puede ascender a millones de dólares. En esta investigación, se examinaron los costes ocultos adicionales causados tanto durante como después de este tipo de amenazas. Las pérdidas a largo plazo que sufren las víctimas son mucho más importantes de lo que la mayoría podría suponer.

Los ataques de ransomware son ahora el tipo de ciberdelincuencia más lucrativo, ya que permite a las bandas criminales obtener enormes beneficios. A lo largo de los años, los ciberdelincuentes han perfeccionado sus procesos para definir las demandas de extorsión y han desarrollado sofisticadas técnicas de negociación con las víctimas, con el objetivo de exigir el máximo nivel de pago de rescate que la organización pueda permitirse. Para mostrar una imagen real de sus dos caras, es decir, desde la perspectiva de las víctimas y de los delincuentes, Check Point Research ha utilizado las siguientes fuentes de información para obtener información monetaria para esta investigación:

•    Pérdidas de las víctimas: la base de datos de incidentes cibernéticos de Kovrr incluye datos sobre incidentes cibernéticos anteriores y su impacto financiero.

•    Beneficios de los ciberdelincuentes: información de Conti Leaks como ejemplo representativo de la dinámica monetaria de los ciberdelincuentes.

Principales conclusiones

1.    Coste colateral: el rescate pagado es solo un pequeño componente del precio del ataque de ransomware para la víctima. Los investigadores estiman que el impacto total es 7 veces mayor que lo que paga a los ciberdelincuentes, y se compone de los gastos derivados de la intervención y el restablecimiento, los honorarios legales y los pagos de monitorización.

2.    Suma de la demanda: el importe del rescate depende de los ingresos anuales de la empresa y oscila entre el 0,7% y el 5% de los ingresos anuales. Cuanto más altos sean los beneficios anuales de la víctima, menor la cuota que se exigirá, ya que ese porcentaje representa un mayor valor numérico en dólares.

3.    Duración del ataque: la extensión del impacto de una agresión de este tipo se ha reducido significativamente en 2021, pasando de 15 a 9 días.

4.    Reglas de negociación: los grupos de ransomware tienen unas reglas básicas bien definidas para garantizar el éxito de la negociación con las víctimas, lo que influye en el proceso y la dinámica de la transacción:

• Estimación precisa de la postura financiera de la víctima.
• Calidad de los datos exfiltrados del afectado.
• La reputación del grupo de ransomware.
• La existencia de un ciberseguro.
• El enfoque y los intereses de quienes negocian con las víctimas.

“En esta investigación, hemos proporcionado un análisis en profundidad desde las perspectivas tanto de los atacantes como de las víctimas de un ransomware. El aprendizaje clave es que el rescate pagado, que es la cifra de la que se ocupan la mayoría de las investigaciones, no es la cantidad decisiva en su ecosistema. Tanto los ciberdelincuentes como los afectados tienen muchos otros aspectos y consideraciones financieras relacionadas”, alerta Eusebio Nieva, director técnico de Check Point Software para España y Portugal. “Llama la atención lo sistemáticos que son estos ciberdelincuentes en la definición de la cifra del rescate y en la negociación. Nada es casual y todo está definido y planificado según los factores que hemos descrito. Cabe destacar que, para las empresas, el "coste colateral" es 7 veces mayor que el rescate que pagan. Nuestro consejo es que es imprescindible construir de antemano unas ciberdefensas adecuadas, especialmente un plan de respuesta bien definido puede ahorrar mucho dinero a las organizaciones”.

Cómo protegerse del ransomware

•    Disponer de una copia de seguridad de los datos robusta: el objetivo del ransomware es obligar a la víctima a pagar un rescate con el fin de recuperar el acceso a sus datos cifrados. Sin embargo, esto sólo es efectivo si el objetivo pierde realmente el control de su propia información. Contar con una copia de seguridad de datos fuerte y segura es una forma eficaz de mitigar el impacto de una amenaza de este tipo.

•    Formación en ciberseguridad: los correos electrónicos de phishing son una de las formas más populares de propagar estos programas maliciosos. Al engañar a un usuario para que haga clic en un enlace o abra un archivo adjunto dañino, los ciberdelincuentes pueden acceder a su ordenador y comenzar el proceso de instalación y ejecución del programa ransomware en él. La formación frecuente sobre ciberseguridad es crucial para proteger a la organización.

•    Autenticación de usuarios fuerte y segura: aplicar una política de contraseñas fuertes, exigir el uso de la autenticación multifactor y educar a los empleados sobre los ataques de phishing diseñados para robar las credenciales de inicio de sesión son componentes críticos de la estrategia de ciberseguridad de una compañía.

•    Parches actualizados: mantener los sistemas informáticos actualizados y aplicar parches de seguridad, especialmente los catalogados como críticos, puede ayudar a limitar la exposición de una entidad a los ataques de ransomware.