Una agencia de EE.UU. pagó un millón de dólares tras casi un mes de negociación con un grupo de ransomware – CYBERDEFENSA.MX
Generalmente, las instituciones públicas siempre se niegan a asumir el pago de rescates por ataques de ransomware que exigen los actores de amenazas al comprender que eso no garantiza obtener los datos cifrados o que las copias sean destruidas y a sabiendas de que son una manera de ayudar a financiar a estos grupos.
Sin embargo, hay excepciones. Ciertos organismos, desesperados o preocupados por las consecuencias sobre los ciudadanos, acaban cediendo a los chantajes de los cibermalos. Eso es lo que pasó con una agencia pública estadounidense que fue víctima del grupo de extorsión Kairós. Tras un largo período de 28 días de negociaciones, la institución acabó desembolsando un rescate de un millón de dólares.
Según el informe de Ransom-ISAC, los delincuentes comenzaron exigiendo 3 millones de dólares, mientras que la organización afectada intentó rebajar esa cifra con varias ofertas, que fueron desde los 100.000 hasta los 430.000 dólares.
Sin embargo, los atacantes mantuvieron la presión y lanzaron un ultimátum: pagar un millón de dólares antes de una fecha límite o publicar toda la información robada.
Curiosamente, durante ese proceso, Kairos no recurrió al cifrado de los sistemas, como ocurre en muchos ataques de ransomware. En su lugar, basó toda su estrategia en amenazar con difundir los datos que aseguraba haber sustraído. Para aumentar la presión, incluso hizo referencia a carpetas especialmente sensibles, como una relacionada con la fiscalía, advirtiendo de que su publicación podría tener un gran impacto.
Según explica Ransom-ISAC, los tiempos que manejaba el organismo responden a las habituales consultas internas que se requerían para hacer el pago. «Las respuestas de la entidad afectada son coherentes con las de una organización que ganaba tiempo mientras se coordinaban las decisiones legales, de liderazgo, financieras y de comunicación», señala el informe.
Una vez recibido el dinero, Kairos envió un archivo que supuestamente demostraba que había suprimido la información robada. Sin embargo, los investigadores advierten de que esa prueba no permite verificar que los datos fueran eliminados permanentemente.
«La ‘prueba’ proporcionada no era técnicamente verificable y no debe considerarse como evidencia de que los datos robados fueron destruidos», concluye el informe. De este modo, y como suele suceder, aunque la víctima se aflojó el bolsillo para evitar una posible filtración, nunca pudo tener la certeza de que los ciberdelincuentes hubieran cumplido su palabra.
¿De qué agencia hablamos?
El informe de Ransom-ISAC oculta la identidad de la víctima por motivos de privacidad. Sin embargo, a partir de la transcripción de la negociación y otros indicios, los investigadores consideran que podría tratarse del condado de Union (Ohio), aunque no lo confirman de forma definitiva. Entre las pistas figuran nombres de archivos como Union.xlsx y union.rar, además de que la víctima se describe como «un condado pequeño con recursos limitados».
El autor del artículo añade que hizo su propia investigación y comprobó que el condado de Union reconoció públicamente el año pasado haber sufrido un ciberataque en el que se robaron datos de decenas de miles de residentes. No obstante, ni el condado ni Kairos han reconocido que se trate del mismo incidente.
