De manera similar a los eventos que se desarrollaron con la desaparición del grupo de ransomware Conti en 2022, los registros de chat internos filtrados del grupo de cibercrimen Black Basta el año pasado nos dieron un vistazo detrás de la cortina de las operaciones modernas de ransomware. Descubrimos que estos grupos han seguido evolucionando hasta convertirse en sindicatos altamente sofisticados y organizados, adoptando un enfoque de extorsión de estilo corporativo.

Según nuestro análisislos miembros de Black Basta estudiaron cuidadosamente a las víctimas para lanzar campañas avanzadas de phishing y malware, explotar vulnerabilidades e intimidar a las víctimas para que pagaran mediante tácticas que desencadenan el pánico. Estaban excepcionalmente organizados: un equipo responsable de los proyectos de ingeniería social trabajaba en un horario fijo de 6 de la tarde a 2 de la madrugada, hora de Moscú. Se subcontrataron tareas adicionales a terceros (servicios de malware, operadores telefónicos y spammers) como si estuvieran contratando contratistas. Las evaluaciones de desempeño internas pesaban mucho a la hora de determinar los salarios y las distribuciones de pagos de rescate a los equipos, al igual que la participación en las ganancias en el mundo empresarial.

Antes de cerrar en 2025, Black Basta lanzó ataques contra 520 víctimas en 39 industrias utilizando dos docenas de variantes de ransomware. recaudando al menos 107 millones de dólares en pagos de bitcoins.

Los registros de chat filtrados ilustran que el ransomware, que ahora representa una industria global de 74 mil millones de dólares al año — ha madurado mucho más allá de su comienzos aislados y primitivos. La fase de negociación ha surgido como una parte deliberada del modelo de negocios de los atacantes, y les toma hasta dos semanas para que puedan aumentar la presión y al mismo tiempo brindar a las organizaciones objetivo una ventana estrecha para tomar decisiones coordinadas.

Las negociaciones también se están volviendo más personalizadas para la víctima, con modelos de precios escalonados basados ​​en el tamaño de la empresa, junto con auditorías de datos de la información comprometida con respecto al valor y la sensibilidad.

Toda la experiencia moderna del ransomware parece marcadamente influenciada por dos componentes en constante desarrollo:

Personalización. Las evaluaciones de reconocimiento y posteriores al compromiso están impulsando la forma en que los adversarios establecen y ajustan sus demandas de pago. Como parte del proceso, analizan de cerca los ingresos y la posición financiera, los contratos y las relaciones con los clientes, las comunicaciones a nivel de la junta directiva, las capacidades de respaldo y recuperación, los niveles de sensibilidad de los datos y los detalles de la póliza de seguro cibernético. El seguro cibernético en realidad actúa como una “señal de fijación de precios”, brindando información sobre los medios financieros de la organización víctima, su disposición a pagar y los posibles límites del monto del rescate durante las negociaciones.

Tácticas de presión. La ejecución de múltiples extorsiones está aumentando la presión sobre las empresas objetivo. Esto incluye cifrado de archivos estándar y filtración de datos, al tiempo que agrega capas como ataques de denegación de servicio distribuido (DDoS), interrupción operativa y acoso de terceros. Las auditorías de datos antes mencionadas brindan a los grupos de ransomware una valoración más precisa de los datos robados, ayudándolos a obligar aún más a las víctimas a pagar durante las negociaciones.

Los atacantes también manipularán intencionalmente los plazos para maximizar sus probabilidades de éxito. Primero pueden fijar un plazo ajustado para crear urgencia y luego extenderlo si sienten que hacerlo resultará en un día de pago más seguro. O podrían adoptar el enfoque opuesto, reduciendo los plazos de días a meras horas para inspirar una decisión impulsada por el pánico para cumplir con la demanda de rescate.

La presencia de un ecosistema cibercriminal en creciente expansión mejora estas tácticas de personalización y presión, con grupos de ransomware capaces de contratar trabajadores internos o soporte externo para el acceso inicial, el robo de datos, la elaboración de perfiles de víctimas, el análisis de datos robados, el acoso/DDoS y la facilitación de pagos. Esto refleja un cambio más amplio hacia la especialización.

Entonces, ¿cómo deberían responder las organizaciones, normalmente el director de seguridad de la información (CISO)? Incorporando las siguientes mejores prácticas en sus estrategias de ciberdefensa:

Comprenda las opciones y los riesgos. A menudo, los CISO deben decidir entre dos opciones terribles: pagar un rescate o enfrentar daños operativos o de reputación. En algunos países, enviar dinero a una entidad sancionada es ilegal y, aunque pagar un rescate puede no ser universalmente ilegal, las fuerzas del orden lo desaconsejan regularmente, ya que incentiva futuras actividades maliciosas. Sin embargo, no pagar un rescate podría afectar no sólo a las operaciones inmediatas, sino también al crecimiento organizacional a largo plazo.

Comprender el ecosistema criminal. Mantenga el conocimiento de las tendencias de ransomware. Realice un seguimiento de las operaciones de ransomware nuevas, en crecimiento y maduras. Exigir la función de inteligencia contra amenazas cibernéticas (CTI) para mantener a los CISO informados sobre la amenaza de ransomware. A través de relaciones establecidas, los CISO deben recopilar información sobre experiencias de organizaciones pares que previamente se han visto comprometidas.

Prepárate y ensaya. Utilice toda la información disponible para prepararse para un incidente de ransomware. Esto permitirá a los CISO tomar decisiones mejores y más sensatas bajo presión. Estarán menos inclinados a tratar las negociaciones como una situación de crisis improvisada y más como un escenario que han planeado y ensayado, con la ayuda de inteligencia sobre amenazas.

En movimientos de acción clásicos como “Tarde de perros”, “La toma de Pelham uno, dos, tres” y “Capitán Phillips”, tanto las víctimas como las autoridades dedican un tiempo considerable a analizar a sus oponentes. En los incidentes de ransomware modernos, los CISO y otros líderes deben adoptar un enfoque similar para comprender cómo un amplio ecosistema criminal, una estructura a nivel corporativo, técnicas de extorsión múltiple, auditorías de datos, evaluaciones de seguros cibernéticos y manipulación de plazos se unen para crear un oponente más formidable.

Con esta comprensión, los equipos de seguridad obtienen información sobre cómo pueden llevar a cabo negociaciones de manera más efectiva en tiempo real. Como resultado, garantizarán que sus organizaciones sobrevivan a estos incidentes con daños operativos y pérdidas financieras mínimos, al tiempo que disuadirán a los ciberdelincuentes de futuros intentos de ataque.