El colmo de los colmos, el ciberdelincuente ha sido ciberatacado. Una de las organizaciones de ransomware más temidas, el grupo LockBit, ha sufrido en carne propia una intrusión que ha dejado al descubierto parte de su maquinaria delictiva en una importante filtración de datos.
Este revés inesperado no solo compromete su anonimato y operativa, sino que permite entender mejor cómo funciona desde dentro una de las bandas de ransomware más activas del mundo.
LockBit ha ganado notoriedad desde 2019, año en el que se consolidó como un servicio de ransomware-as-a-service (RaaS), facilitando herramientas de ataque a terceros que actúan como afiliados.
Desde entonces, ha sido responsable de más de 1.800 ciberataques a empresas e instituciones de todos los tamaños, exigiendo pagos por liberar la información secuestrada mediante cifrado.
Qué ha pasado con LockBit y la filtración de datos
La reciente filtración ha sacado a la luz información especialmente sensible. Una base de datos interna ha sido expuesta, dejando al descubierto cerca de 60.000 direcciones únicas de bitcoin, las conversaciones de negociación con víctimas, y los paneles de control utilizados por los afiliados para ejecutar ataques.
Además, los portales del grupo en la dark web fueron desactivados y sustituidos por un insólito mensaje: “No delinquir. El crimen es malo. Besos y abrazos desde Praga”.
Este inesperado golpe ha desvelado el entramado técnico y logístico de LockBit, comprometiendo seriamente la seguridad de sus operaciones y dejando claro que incluso los ciberdelincuentes más sofisticados no están exentos de sufrir ciberataques.
Cómo funciona LockBit y por qué es tan peligroso
LockBit no actúa solo. Funciona como una franquicia del crimen digital. Sus desarrolladores crean y mantienen el malware, y lo ponen a disposición de afiliados que se encargan de ejecutar los ataques. A cambio, la banda recibe una parte del rescate pagado por las víctimas. Este modelo descentralizado les ha permitido expandirse rápidamente sin exponerse directamente.
El software que utilizan bloquea parte o la totalidad de los archivos en los sistemas comprometidos. Las víctimas reciben entonces una nota de extorsión que les exige un pago en criptomonedas, generalmente con la promesa de recuperar sus datos si cumplen las condiciones.
Lo que revela la filtración
Entre las veinte tablas que componían la base de datos filtrada, una de las más reveladoras es la denominada builds_configurations. En ella se describen las distintas configuraciones de los ataques desarrolladas por cada afiliado.
Se especifica, por ejemplo, qué tipos de archivos se deben cifrar o qué carpetas se deben excluir, lo que permite reconstruir el modus operandi del grupo con un nivel de detalle sin precedentes.
Otra tabla de especial interés es la que incluye los registros de los chats entre los delincuentes y las víctimas. En ella se pueden ver las tácticas de presión, los argumentos utilizados para forzar el pago y las estrategias de negociación que emplean durante el proceso de extorsión.
LockBit no es ajeno a los ataques en su contra. En febrero de 2024, la operación policial internacional Cronos logró desmantelar parte de su infraestructura. Las autoridades confiscaron 34 servidores, detuvieron a afiliados en países como Polonia y Ucrania y congelaron más de 200 cuentas de criptomonedas relacionadas con el grupo.
A pesar de este duro golpe, LockBit logró recuperarse y reanudar su actividad criminal. Sin embargo, la reciente filtración supone un nuevo revés que pone en jaque su reputación y la confianza de sus afiliados. Muchos de ellos podrían ahora replantearse su colaboración con una organización que ya no parece tan impermeable.
Qué significa esta filtración de datos para las víctimas
La exposición de la base de datos podría tener consecuencias positivas para las víctimas. Las autoridades y empresas de ciberseguridad ya están analizando la información filtrada para identificar patrones de ataque, prevenir nuevas intrusiones y, en algunos casos, descifrar datos sin necesidad de pagar rescates. Además, se abren nuevas vías para rastrear fondos y detener a más implicados.
No obstante, no todo son buenas noticias. Algunas víctimas cuyos datos figuran en las tablas filtradas podrían sufrir un daño reputacional adicional si su relación con LockBit se hace pública. También existe el riesgo de que otros ciberdelincuentes utilicen la información para lanzar ataques de imitación o ingeniería social.
Los ciberdelincuentes no son invulnerables
La caída parcial de LockBit y la filtración masiva de sus datos marcan un punto de inflexión en la lucha contra el ransomware. Aunque no es probable que esto signifique el fin de este tipo de ataques, sí demuestra que las bandas criminales no son invulnerables y que las operaciones conjuntas entre fuerzas policiales y expertos en seguridad pueden tener un impacto real.
Esta situación también lanza un mensaje disuasorio a otros grupos: la impunidad en el ciberespacio es cada vez más difícil de sostener. Y las brechas de seguridad no son exclusivas de las víctimas.
