Ransomware y extorsión
Módulo 1: Por qué usted es un objetivo · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Tras esta lección podrá explicar cómo entra el ransomware, qué es la doble extorsión y qué medidas limitan los daños.
Conceptos clave: ransomware, cifrado, doble extorsión, acceso inicial, movimiento lateral, rescate, descifrador (No More Ransom)
Qué es el ransomware
El ransomware es software malicioso que inutiliza sus archivos o sistemas y después exige un rescate. La palabra proviene del inglés ransom: rescate. Normalmente ocurre mediante cifrado: el software convierte sus archivos en datos ilegibles, con una clave que solo tiene el atacante. Los archivos siguen ahí, a menudo con una extensión extraña añadida, pero ya no puede abrirlos. En la pantalla o en cada carpeta aparece un mensaje: pague en unos días, o todo desaparecerá.
El cifrado en sí no tiene nada de malicioso. Es la misma técnica que protege su portátil en caso de robo (lección 5.2) y que protege su conexión con un sitio web. La diferencia está en quién tiene la clave. Un buen cifrado no se puede romper. Por eso, «ya lo descifraremos» casi nunca es una opción, salvo que los creadores del ransomware hayan cometido un error.
Según el centro nacional de ciberseguridad, el ransomware no solo afecta a los archivos, sino también a los sistemas y a las copias de seguridad. Este último punto es el más importante de esta lección.
Cómo entra
Un ataque de ransomware no es un momento, sino una serie de pasos. Empieza con el acceso inicial: el primer pie en la puerta. Las vías más habituales:
| Vía de acceso | Cómo ocurre | Qué lo detiene |
|---|---|---|
| Phishing con archivo adjunto o enlace | Un empleado abre una «factura» o un «albarán» que ejecuta software malicioso | Concienciación (lección 9.2), actualizaciones, permisos limitados |
| Credenciales robadas | Una contraseña filtrada funciona en el webmail, la VPN o la administración remota | Contraseñas únicas, verificación en dos pasos (módulo 2) |
| Una vulnerabilidad conocida en un sistema expuesto a internet | Un servidor VPN, cortafuegos, NAS o sitio web obsoleto con una vulnerabilidad públicamente conocida | Actualizar rápido (lección 5.1), no exponer innecesariamente |
| Administración remota abierta | Un programa para trabajar a distancia en un ordenador, accesible desde toda internet | Solo mediante una conexión segura, con verificación en dos pasos (2FA) |
| Un proveedor | Se abusa de la empresa de IT o del software de un proveedor | Acuerdos y permisos mínimos (módulo 7) |
Tras el primer acceso, un atacante suele esperar. Observa el entorno, busca cuentas de administrador y salta de un ordenador a otro. Esto se llama movimiento lateral. Busca sobre todo dos cosas: dónde están los datos importantes y dónde están las copias de seguridad. Solo cuando ha encontrado ambas cosas, actúa, a menudo de noche o en fin de semana, cuando nadie lo nota.
Por qué una copia de seguridad conectada no ayuda
Muchas pequeñas empresas tienen una copia de seguridad: un disco externo que siempre está conectado al ordenador, o un disco de red (NAS) al que cada noche se envía una copia. Eso es mejor que nada en caso de que falle un disco duro. Pero contra el ransomware a menudo no sirve.
La razón es sencilla. El ransomware cifra todo a lo que puede acceder el ordenador infectado o la cuenta comprometida. Si el disco de copia de seguridad está conectado al ordenador, el ransomware puede llegar a él. Si la copia de seguridad está en un disco de red al que se accede con la misma cuenta, el ransomware también puede llegar a ella. Un atacante que ha observado con calma a veces incluso borra deliberadamente las copias de seguridad antes de cifrar.
Lo mismo ocurre con la sincronización. Una carpeta que se sincroniza automáticamente con la nube también sincroniza la versión cifrada. A veces aún puede volver a una versión anterior de un archivo, pero eso depende del servicio y de cuánto tiempo conserva versiones anteriores.
Una copia de seguridad que sobrevive al ransomware tiene al menos una copia a la que el atacante no puede acceder o no puede modificar: un disco que está guardado suelto en un cajón, o una copia de seguridad con un proveedor aparte con su propio inicio de sesión que no se usa en el ordenador de trabajo, o un almacenamiento que hace que modificar y borrar sea técnicamente imposible durante un tiempo. En el módulo 6 lo configurará paso a paso. Una copia de seguridad que su proveedor de alojamiento hace en servidores aparte, separados de su paquete, ya es una copia remota para su sitio web y su correo. Compruebe cuánto tiempo se conserva y quién puede borrarla.
Doble extorsión
Antes, una buena copia de seguridad era la respuesta completa al ransomware: restaurar y listo. Los atacantes se han adaptado. En la doble extorsión, primero roban una copia de sus datos y solo después cifran. Entonces hay dos amenazas:
- Pague, o no recuperará sus archivos.
- Pague, o publicaremos sus datos: ficheros de clientes, presupuestos, datos salariales, buzones de correo.
Una copia de seguridad ayuda contra la primera amenaza, pero no contra la segunda. El centro nacional de ciberseguridad también advierte de que los atacantes a veces amenazan con publicar los datos robados. Además, el robo de datos personales constituye en sí mismo una filtración de datos, con obligación de notificación a la Agencia Española de Protección de Datos (AEPD) (lección 8.2), independientemente de si paga o no.
A veces un atacante va incluso más allá y contacta directamente con sus clientes o socios comerciales para comunicarles que sus datos han sido sustraídos de su empresa. La presión entonces no recae solo sobre usted, sino también sobre su reputación.
¿Pagar o no?
La recomendación de las autoridades públicas y la policía es inequívoca: mejor no pagar. No More Ransom, la iniciativa de, entre otros, Europol y las fuerzas policiales, lo expresa así: pagar un rescate no ofrece garantías. Hay buenas razones:
- No tiene garantía de que vaya a recibir una clave que funcione, ni de que el descifrado vaya a lograrse.
- No tiene garantía de que los datos robados se eliminen realmente después.
- Confirma que su empresa paga, lo que la convierte en un objetivo atractivo para un próximo ataque.
- Financia los próximos ataques contra otros.
- El camino de entrada aún no está cerrado. Sin una investigación, puede volver a ocurrir.
El centro nacional de ciberseguridad señala la restauración desde una copia de seguridad como la solución más fiable. Si eso no funciona, compruebe si existe un descifrador: un programa gratuito que puede descifrar archivos de una determinada familia de ransomware, porque investigadores encontraron un fallo en esa familia o incautaron claves. No More Ransom (https://www.nomoreransom.org) recopila esos descifradores y le ayuda a determinar qué ransomware tiene. No existe solución para todas las familias, ni mucho menos, pero comprobarlo no cuesta nada.
Presente denuncia ante la policía en cualquier caso, y compruebe si tiene obligación de notificación: ante la Agencia Española de Protección de Datos (AEPD) si se han visto afectados datos personales, ante el organismo correspondiente si está sujeto a la transposición española de NIS2 (lección 9.1), y a veces ante un cliente según su contrato.
Qué limita los daños
Puede reducir la probabilidad de un ataque y limitar los daños si aun así ocurre. Un resumen, con la lección donde lo aprende:
- Actualizar, sobre todo todo lo que esté expuesto a internet: VPN, router, NAS, sitio web (lección 5.1).
- Verificación en dos pasos en el correo, la administración remota y todas las cuentas de administrador (lecciones 2.3 y 2.4).
- Permisos mínimos: no trabajar a diario con una cuenta de administrador, y no dar acceso a todo a todo el mundo (lección 7.1).
- Una copia de seguridad fuera de alcance de sus cuentas habituales, y comprobar regularmente que la restauración funciona (módulo 6).
- Una tarjeta de incidentes para que todos sepan qué hacer: desconectar la red, no apagar sin más, llamar (lecciones 8.1 y 8.3).
- Concienciación: un compañero que avisa de inmediato de que abrió un archivo adjunto extraño le da horas de ventaja (lección 9.2).
En la práctica: así se ve
Un ejemplo, compuesto a partir de situaciones que se dan con frecuencia. Una empresa de instalaciones con doce empleados tenía un servidor VPN para acceder a los archivos desde casa. El firmware llevaba año y medio sin actualizarse. A través de una vulnerabilidad conocida, un atacante entró, observó el entorno durante una semana y encontró la cuenta de administrador del disco de red. Un sábado por la noche se cifraron los ordenadores, el disco de red y el disco USB con la copia de seguridad que estaba conectado a él. Lo que quedó: el correo y el sitio web, que estaban alojados con un proveedor de alojamiento con su propia copia de seguridad, y una copia antigua de la contabilidad en un disco que el contable tenía en casa. Con eso, la empresa pudo volver a facturar a los pocos días. Los presupuestos y planos de los últimos meses se perdieron.
Una actualización y un disco suelto en un cajón habían marcado la diferencia entre unos días y unos meses.
Resumen
- El ransomware cifra archivos, sistemas y copias de seguridad y exige un rescate; un buen cifrado no se puede romper.
- El ransomware entra mediante phishing, contraseñas robadas, sistemas sin actualizar expuestos a internet, administración remota o un proveedor; después el atacante suele observar el entorno primero.
- Una copia de seguridad conectada al ordenador o accesible con la misma cuenta a menudo también queda cifrada.
- En la doble extorsión, primero se roban los datos; una copia de seguridad no ayuda entonces contra la amenaza de publicarlos, y constituye una filtración de datos.
- Mejor no pagar; restaure desde una copia de seguridad, compruebe en No More Ransom si existe un descifrador y presente denuncia.
Cuestionario
Ejercicio
Ejercicio D1.3: ¿Y si pasa esta noche? Revise para su propia empresa qué podría cifrar el ransomware esta noche. Anote dónde están sus copias de seguridad, si son accesibles desde un ordenador de trabajo normal o con una cuenta normal, y qué sistemas están expuestos a internet. A continuación, responda las preguntas de reflexión.
Ejercicio D1.3: ¿Y si pasa esta noche?
Así puede abordarlo: (1) Haga una lista de todos los lugares donde están los archivos importantes: ordenadores de sobremesa, portátiles, disco de red, almacenamiento en la nube, correo, contabilidad, sitio web. (2) Anote para cada lugar dónde está la copia de seguridad y si esa copia es accesible desde un ordenador de trabajo normal o con una cuenta que utiliza a diario. (3) Compruebe qué sistemas están conectados a internet y son accesibles desde fuera (VPN, administración remota, NAS, router, sitio web), y cuándo se actualizaron por última vez. (4) Compruebe si existe al menos una copia que el ransomware no pueda alcanzar (desconectada, o en manos de un tercero con su propio inicio de sesión). (5) Consulte una vez https://www.nomoreransom.org/es/index.html para saber cómo funciona el sitio, de modo que lo sepa si lo necesita.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Más información
Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores funciona de forma parecida.