Según el informe publicado por la Agencia de Ciberseguridad de la Unión Europea (ENISA), los ataques de ransomware que se denuncian son muchos menos de los que realmente ocurren. Esto pone de manifiesto la deficiencia de los mecanismos de notificación actuales en toda la Unión Europea y en la necesidad de mejorarlos.
El ransomware se ha convertido en uno de los ataques de ciberseguridad que más problemas está generando a las organizaciones de todo el mundo. El hecho de que los ciberdelincuentes se hagan con el control de los activos (datos, sistemas y aplicaciones) y exigir un rescate por su recuperación y confidencialidad, convierte a estos ataques en una seria amenaza.
No solo por las implicaciones económicas que conlleva, en el caso de pagar el rescate exigido o por lo que supone restablecer los sistemas, e incluso las posibles sanciones por la falta de protección de datos, sino por el daño reputacional que conllevan.
Esta es, quizás, una de las principales razones por las que muchas empresas no denuncian que han sido víctimas de un ataque de ransomware. Con ello, además de evitar la posible sanción por no poner todas las medidas necesarias para proteger los datos de terceros, evitan esa desconfianza que puede surgir.
Más de 10 TB de datos robados cada mes
El informe de ENISA ha analizado 623 incidentes de ransomware en la UE, el Reino Unido y los Estados Unidos, de mayo de 2021 a junio de 2022. Los datos se recopilaron de los informes de los gobiernos y empresas de seguridad, prensa, blogs verificados y, en algunos casos, utilizando fuentes relacionadas de la dark web.
La conclusión a la que se ha llegado es que, durante ese período de tiempo, los ciberdelincuentes, al menos 47 actores de amenazas de ransomware únicos, robaron alrededor de 10 terabytes de datos cada mes. Además, el 58,2% de los datos sustraídos incluían datos personales de empleados.
Asimismo, hay que tener muy presente que esta amenaza afecta a empresas de todos los tamaños y sectores.
En el 94,2% de los incidentes se desconoce si la empresa pagó el rescate o no, ya que es algo que no quieren hacer público. Sin embargo, cuando la negociación falla, los atacantes suelen exponer los datos y que estén disponibles en sus páginas web. De acuerdo con el informe, esto es la tónica general tal y como se ha visto en el 37,88% de los incidentes.
Para ENISA, esto implica que, el 62,12% restante de las empresas llegó a un acuerdo con los atacantes o encontró otra solución.
No obstante, el organismo destaca que estas cifras solo representan una parte del panorama general. En realidad, el número total de ataques de ransomware es mucho mayor, una cifra imposible de conocer. La razón es que demasiadas organizaciones no hacen públicos sus incidentes, o no informan sobre ellos a las autoridades pertinentes.
En este sentido, la información sobre los incidentes que sí se denuncia también es bastante limitada ya que, en la mayoría de los casos, las organizaciones afectadas desconocen cómo los actores de amenazas consiguieron tener acceso a sus sistemas.
La necesidad de avanzar en las denuncias de ciberataques
Este interés por no hacer público que han sido objeto de un ciberataque lleva a las empresas a tratar el problema internamente, por ejemplo, pagando el rescate para evitar la publicidad negativa y garantizar la continuidad del negocio.
Sin embargo, este enfoque no ayuda a combatir la causa; al contrario, alienta a los ciberdelincuentes a seguir realizando estos ataques, lo que alimenta el modelo de negocio del ransomware.
En este contexto, ENISA confía en que se mejoren los informes de incidentes para que sean lo más reales posibles y contribuyan a erradicar esta amenaza. En este sentido, se espera que la Directiva revisada de seguridad de la información y las redes (NIS 2) cambie la forma en la que se notifican los incidentes de ciberseguridad. Las nuevas disposiciones tendrán como objetivo apoyar un mejor mapeo y comprensión de los incidentes relevantes.
Cómo protegerse del ransomware
Ante la proliferación de los ataques de ransomware, si bien han experimentado un leve descenso en los últimos meses, desde ENISA recomiendan reforzar las medidas para combatirlos. Entre algunos de los principales consejos a seguir, destacan:
- Mantener una copia actualizada de los archivos de negocio y datos personales, y mantenerla aislada de la red.
- Aplicar la regla de la copia de seguridad 3-2-1: 3 copias, 2 medios de almacenamiento diferentes, 1 copia externa.
- Ejecutar software de seguridad diseñado para detectar la mayoría de ransomware en los dispositivos de punto final.
- Restringir los privilegios administrativos.
No obstante, si a pesar de seguir estas recomendaciones se convierte en víctima de un ataque de ransomware, es fundamental ponerse en contacto con las autoridades nacionales de ciberseguridad o con las fuerzas del orden para recibir pautas a seguir a partir de ese momento.
Asimismo, es clave no pagar el rescate ni negociar con los autores de la amenaza, poner en cuarentena el sistema afectado, como vimos en el reciente ataque sufrido por el CSIC, y compartir toda la información del ataque con las autoridades pertinentes.
De esta forma, se podrá avanzar en la investigación para conocer a los autores y evitar nuevos ataques.
