Las ganancias del ransomware se desploman cuando las víctimas se entrometen y se niegan a pagar

En otra señal de que la marea finalmente puede estar cambiando a los actores de ransomware, los pagos de ransomware han disminuido significativamente en 2022 a medida que más víctimas se niegan a pagar a sus atacantes, por varias razones.

Si la tendencia continúa, los analistas esperan que los actores de ransomware comiencen a exigir rescates más grandes de víctimas más grandes para tratar de compensar la caída de los ingresos mientras atacan objetivos cada vez más pequeños que tienen más probabilidades de pagar (pero que potencialmente representan pagos más pequeños).

Una combinación de factores de seguridad.

«Nuestros hallazgos sugieren que una combinación de factores y mejores prácticas, como precauciones de seguridad, sanciones, pólizas de seguro más estrictas y el trabajo continuo de los investigadores, son efectivos para frenar los pagos», dijo Jackie Koven, director de inteligencia de amenazas cibernéticas en Análisis de cadenas.

Chainanalysis dijo que su investigación mostró que los atacantes de ransomware extorsionó aproximadamente $ 456.8 millones de las víctimas en 2022, casi un 40% menos que los $765,6 millones que extorsionaron a las víctimas el año anterior. Es probable que el número real sea mucho más alto, considerando factores como informes de víctimas deficientes y visibilidad incompleta de las direcciones de ransomware, reconoció Chainanalysis. A pesar de esto, no hay duda de que los pagos de ransomware han disminuido durante el último año, ya que las víctimas están cada vez menos dispuestas a pagar a sus atacantes, dice la compañía.

«Las organizaciones empresariales que invierten en defensas de seguridad cibernética y preparación para el ransomware están marcando la diferencia en el panorama del ransomware», dice Koven. «Cuantas más organizaciones estén preparadas, menos tendrán que pagar rescates, lo que en última instancia disuadirá a los ciberdelincuentes de ransomware».

Otros investigadores están de acuerdo. «Las empresas que probablemente no paguen son las que están bien preparadas para un ataque de ransomware», dijo Scott Scher, analista senior de ciberinteligencia de Intel471, a Dark Reading. «Las organizaciones que tienden a tener mejores capacidades de respaldo y recuperación de datos definitivamente están mejor preparadas cuando se trata de resistencia a un incidente de ransomware, y esto probablemente reduce su necesidad de pagar rescate».

Otro factor, según Chainanalysis, es que pagar un rescate se ha vuelto más riesgoso legalmente para muchas organizaciones. En los últimos años, el gobierno de EE. UU. ha impuesto sanciones a muchas empresas de ransomware que operan desde otros países.

En 2020, por ejemplo, la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de EE. UU. aclaró que las organizaciones, o las que trabajan en su nombre, corre el riesgo de violar las reglas de EE. UU. al realizar pagos de rescate a las empresas en la lista de sanciones. El resultado es que las organizaciones sospechan cada vez más de pagar un rescate «cuando hay incluso un indicio de conexión con una organización sancionada», dijo Chainanalysis.

«Debido a los desafíos que han tenido los actores de amenazas para extorsionar a las empresas más grandes, es posible que los grupos de ransomware busquen objetivos más pequeños y simples que carecen de recursos de ciberseguridad sólidos a cambio de demandas de rescate más bajas», dice Koven.

Caída de los pagos de rescate: una tendencia continua

Coveware también publicó un informe sobre esto esta semana. ilustra la misma tendencia a la baja entre los que hacen pagos de rescate. La compañía dijo que sus datos mostraban que solo el 41 % de las víctimas de ransomware pagaron un rescate en 2022, en comparación con el 50 % en 2021, el 70 % en 2020 y el 76 % en 2019. Al igual que Chainanalysis, Coveware también encontró un motivo para la disminución de la recuperación en las organizaciones. ‘ preparación para hacer frente a los ataques de ransomware. En particular, los ataques de alto perfil como el de Colonial Pipeline han sido muy efectivos para catalizar nuevas inversiones comerciales en nuevas capacidades de seguridad y continuidad comercial.

Otro factor en la mezcla es que los ataques se están volviendo menos lucrativos, dijo Coveware. esfuerzos de aplicación de la ley seguir encareciendo los ataques de ransomware. Y con pagar menos víctimas, las pandillas obtienen menos ganancias en general, por lo que el pago promedio por ataque es más bajo. La conclusión es que un número menor de ciberdelincuentes pueden ganarse la vida con el ransomware, según Coverware.

Bill Siegel, director ejecutivo y cofundador de Coveware, dice que en los últimos años, las compañías de seguros han tenido un impacto positivo en la seguridad empresarial proactiva y la preparación para la respuesta a incidentes. Después de que las compañías de seguros cibernéticos sufrieran pérdidas significativas en 2019 y 2020, muchas han endurecido sus términos de suscripción y renovación y ahora requieren estándares mínimos como MFA, copias de seguridad y capacitación en respuesta a incidentes de las compañías aseguradas.

Al mismo tiempo, cree que las compañías de seguros han tenido un impacto insignificante en las decisiones corporativas sobre si pagar o no. «Es desafortunado, pero la idea errónea común es que las compañías de seguros de alguna manera toman esa decisión.

Decir “no” a demandas exorbitantes de ransomware

Allan Liska, analista de inteligencia de Recorded Future, señala las exorbitantes demandas de rescate en los últimos dos años que han alimentado la creciente renuencia a pagar de las víctimas. Para muchas organizaciones, un análisis de costo-beneficio a menudo muestra que no pagar es la mejor opción, dice.

«Cuando las demandas de rescate eran [in the] cinco o seis cifras, algunas organizaciones podrían haber estado más dispuestas a pagar incluso si no les gustaba la idea», dice. “Pero una demanda de rescate de siete u ocho cifras cambia ese análisis y, a menudo, es más barato lidiar con los costos de recuperación y cualquier demanda que pueda resultar del ataque”, dice.

Las consecuencias de la falta de pago pueden variar. La mayoría de las veces, si a los atacantes no se les paga, tienden a filtrar o vender datos que pueden haber extraído durante el ataque. Las organizaciones víctimas también tienen que lidiar con un tiempo de inactividad potencialmente mayor debido a los esfuerzos de recuperación, los gastos potenciales para comprar nuevos sistemas y otros costos, dice Scher de Intel471.

Para las organizaciones que se encuentran en la primera línea del flagelo del ransomware, es probable que la noticia de la caída reportada en los pagos de rescate no sirva de consuelo. Justo esta semana, Yum Brands, la empresa matriz de Taco Bell, KFC y Pizza Hut, tuvo que cerrar casi 300 restaurantes en el Reino Unido durante un día después de un ataque de ransomware. Otro incidente involucró un ataque de ransomware en la empresa noruega de software de gestión de flotas DNV alrededor de 1.000 barcos afectados pertenecen a unos 70 operadores.

La caída de los ingresos empuja a las pandillas en nuevas direcciones

Dichos ataques continuaron sin cesar hasta 2022, y la mayoría espera una pequeña pausa en el volumen de ataques en 2023. Por ejemplo, la investigación de Chainanalysis mostró que, a pesar de la disminución de los ingresos de ransomware, la cantidad de cepas de ransomware únicas implementadas por los operadores de amenazas durante el año pasado aumentó a más de 10,000 solo en la primera mitad de 2022.

En muchos casos, los grupos individuales desplegaron varias tribus a la vez para mejorar sus posibilidades de obtener ingresos de estos ataques. Los operadores de ransomware también pasaron por diferentes cepas más rápido que nunca: la nueva cepa de ransomware promedio estuvo activa durante solo 70 días, probablemente en un esfuerzo por ofuscar sus actividades.

Hay indicios de que la caída de los ingresos de ransomware está poniendo a los operadores de ransomware bajo presión.

Por ejemplo, Coveware señaló que en el último trimestre de 2022, los pagos de rescate promedio aumentaron un 58 % de manera secuencial a $408 644, mientras que el pago medio aumentó un 342 % a $185 972 durante el mismo período. La compañía atribuyó el aumento a los intentos de los atacantes cibernéticos de compensar las caídas de ventas más amplias a lo largo del año.

«Como la rentabilidad esperada de un ataque de ransomware determinado ha disminuido para los ciberdelincuentes, han intentado compensar ajustando sus propias tácticas», dijo Coveware. «Los actores de amenazas suben ligeramente en el mercado para tratar de justificar demandas iniciales más altas con la esperanza de que resulten en grandes pagos de rescate, incluso si su propia tasa de éxito cae».

Otra señal es que muchos operadores de ransomware han comenzado a chantajear a las víctimas nuevamente después de robarles dinero la primera vez, dijo Coveware. El chantaje ha sido tradicionalmente una táctica reservada para las víctimas de las pequeñas empresas. Pero en 2022, los grupos que tradicionalmente apuntaban a empresas medianas y grandes también comenzaron a usar estas tácticas, probablemente debido a presiones financieras, dijo Coveware.