La reputación es moneda de cambio, incluso en la economía del ransomware

Ser visto como confiable es bueno para los “negocios”, y los grupos de ransomware se preocupan por la “reputación de la marca” tanto como sus víctimas.

11 de diciembre de 2025
•
,
4 minutos de lectura

Black Hat Europe 2025 comenzó con una presentación de Max Smeets de Virtual Rotes titulada “«Dentro de la máquina ransomware». El tema central de la conferencia fue la investigación de la banda de ransomware como servicio (RaaS) LockBit y Max sobre sus prácticas y procesos. En su apogeo, entre 2022 y 2024, el grupo tenía 194 organizaciones miembros, 110 de las cuales habían logrado negociar un ciberataque hasta el punto de que el grupo de ransomware pagó a 80 de las organizaciones miembros. (Como recordatorio, el modelo de negocio del ransomware es multifacético: «Afiliado» se refiere al equipo que examina las redes de la víctima e identifica y transmite los datos confidenciales a una banda de ransomware como LockBit).

La reputación lo es todo.

Un mensaje importante de Max se refería a la reputación tanto de la víctima como del grupo de ransomware. La empresa afectada debe proteger su reputación entre sus clientes, y cualquier indicio de una violación de datos puede causarle un daño importante. Curiosamente, la investigación mostró que la cobertura mediática de las empresas que pagan es mayor que la de aquellas que no pagan la demanda de extorsión y enfrentan interrupciones prolongadas. El presentador considera que la noticia se centra en el pago y puede sugerir que la empresa afectada ha perdido el control y debe pagar, lo que genera desconfianza y daño a su marca.

Como alguien que ha estado trabajando en el tema durante varios años, no puedo estar de acuerdo con esta opinión, al menos en parte. Desde una perspectiva puramente financiera, pagar la reclamación puede ser en realidad la solución más rentable, y hay muchos ejemplos en los que el coste final de un incidente cibernético es muchas veces mayor para quienes no pagan que para quienes sí pagan; basta pensar en los ataques a Caesars Palace y MGM. Las empresas tienen una responsabilidad ante sus accionistas y, en algunos casos, la forma más fácil y rápida de restaurar el negocio y hacerlo completamente operativo nuevamente es pagar la demanda de extorsión por ransomware.

Mientras tanto, la restauración de sistemas puede ser compleja, se debe comprar hardware nuevo y las copias de seguridad deben restaurarse y analizarse para garantizar que estén limpias. La clave de descifrado del ransomware, que desbloquea el negocio en horas en lugar de días, puede minimizar la interrupción del negocio y la pérdida de ingresos. Entonces considere también la influencia de un asegurador que también quiere minimizar sus costos y tomar la ruta que minimice cualquier reclamo de la compañía víctima.

Por supuesto, las desventajas tanto inmediatas como a largo plazo son igualmente obvias. Pagar puede ganar tiempo y reducir costos, hasta que deja de ser así. En primer lugar, no hay garantía de que la clave de descifrado realmente descifre los datos. Además, los atacantes podrían considerar que vale la pena reorientar a las víctimas que aceptan las demandas de rescate y, en última instancia, también podrían validar y reforzar sin darse cuenta el ransomware como un “modelo de negocio” viable.

Los operadores de ransomware también se preocupan por su reputación: deben ser vistos como dignos de confianza y conocidos por cumplir sus objetivos en cada transacción. Cuando se extraen grandes cantidades de datos confidenciales y se retienen para pedir un rescate, y los sistemas internos se cifran y se paralizan, todas las negociaciones para desbloquear los sistemas y garantizar la seguridad de los datos deben realizarse desde una perspectiva de confianza.

Si el negociador ha escuchado críticas negativas acerca de que el grupo de ransomware no proporciona programas de descifrado o no guarda datos, puede aconsejar a la víctima que no pague. Es importante que cuando el grupo de ransomware entregue el pago de la extorsión, entregue exactamente lo que espera y brinde el servicio por el que se le paga de manera profesional. El verdadero desafío para cualquier grupo de ransomware no es el acceso a la red o la filtración de datos, sino si la víctima confía en ellos lo suficiente como para pagar la demanda de extorsión.

Curiosamente, las operaciones de las autoridades encargadas de hacer cumplir la ley están aumentando. Quitar LockBit En 2024 también hubo una campaña para destruir la confianza en la pandilla, afirmando públicamente que el La pandilla no borra los datos exfiltrados pero agárrate. Esta campaña de desconfianza podría ser suficiente para que los afiliados cedan sus oportunidades y negocios a otro grupo.

¿Qué determina el precio?

El presentador no expresó directamente lo que aprendí de la presentación: se trata de los datos y la investigación que el socio realiza sobre la empresa. Se mencionó brevemente la investigación y exploración de una red corporativa en busca de datos confidenciales, incluidos datos financieros, que pudieran indicar una disposición a pagar o una cantidad aceptable.

Esto desencadenó un momento: el documento más valioso para un ciberdelincuente podría ser el cronograma que detalla la cobertura del seguro cibernético de la empresa. Saber si la empresa tiene un seguro que incluya el pago de un reclamo por extorsión y el monto de la cobertura proporciona al ciberdelincuente información sobre dónde fijar el reclamo por extorsión, por lo que el riesgo se convierte en un problema financiero no para la empresa sino para la aseguradora.

La conclusión es que la póliza de ciberseguro y todas las comunicaciones relacionadas con la póliza deben segmentarse o separarse completamente de la red corporativa con seguridad adicional.