Extorsión ransomware: te cifro el disco duro, y alerto a tus clientes de que sus datos están en peligro

No vamos a descubrir en este artículo la pólvora, pero sí me ha parecido el tema lo suficientemente interesante como para animarme a escribir sobre ello.

Básicamente, ya sabemos que las campañas de ransomware son hoy en día el modelo de negocio más lucrativo de la industria del cibrecrimen. Sin ir más lejos, prácticamente todas las semanas tenemos que dedicar aunque sea una parte de la newsletter «Seguridad Semanal» que enviamos a todos los mecenas cada jueves a las 7am horario español continental, a cubrir nuevas variantes de ransomwares conocidos, cuando no alguna campaña que está de nuevo activa.

En este caso queríamos hablar del grupo de cibercrimen ALPHV, también conocidos como BlackCat, que utilizan también una variante de su ransomware para extorsionar las víctimas (mayoritariamente empresas).

Hasta aquí, nada del otro mundo.

Cuando una empresa se infecta con este ransomware, recibe la notificación de BlackCat de que le han cifrado los archivos, y que para recuperarlos, tendrá que hacer un pago X, generalmente en critpomonedas.

Lo verdaderamente interesante es que junto con el ataque en sí, y la posterior notificación a la víctima, lo que están empezando a hacer este grupo de cibercriminales es escribir también a los usuarios o clientes de la víctima, informándoles de que sus datos han sido robados, y que en caso de que la víctima no paguen, verán expuesta toda su información en una página web.

Y ojo, que la página no es un simple volcado de la base de datos de usuarios que hayan robado en un Pastebin o alguna plataforma semejante, y mucho menos en un servicio solo disponible en redes como TOR, sino una página web con todas las de la ley y accesible por cualquier usuario de Internet, donde los usuarios pueden buscar por su nombre o cualquier otro dato identificativo para conocer si aparecen o no en esa base de datos robada.

¿Por qué hacen esto?

La respuesta es sencilla de comprender.

Debemos entender estos grupos cibercriminales como una empresa más que busca, por encima de cualquier otra cosa, el beneficio económico.

Infectar a una víctima con un ransomware es una labor que requiere un trabajo previo. Trabajo que, en el caso de que la víctima no decida pagar el rescate (recordemos que pagar a los criminales no asegura que en efecto recuperes el control de tus activos y mucho menos que justo después no te vuelvan a comprometer), no se verá convenientemente remunerado.

Por este motivo, el extorsionar a los usuarios o clientes de la víctima añade aún más presión tanto a la víctima, que tiene mayor necesidad de hacer el pago, como a esas otras víctimas asociadas, que también pueden decidir pagar para eliminar su información de ese inminente volcado.

Desde CyberBrainers no recomendamos realizar el pago de este tipo de extorsiones, más que nada porque hacerlo no nos asegura nada. Es mejor contratar los servicios de empresas de ciberseguridad que puedan recuperar el contenido y/o eliminar los datos expuestos de Internet.

Y, por supuesto, es altamente recomendable que PREVIAMENTE hayamos hecho los deberes, y contemos con una política de copias de seguridad y un entorno de trabajo en la nube que evite que, si el día de mañana nos infectan con un ransomware, perdamos el control de todos nuestros activos.

En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.