El ransomware y la «guerra del rescate»: por qué todos debemos estar preparados para los ciberataques, en Radio Davos

• La mayoría de los directores ejecutivos cree que tiene la ciberseguridad bajo control, pero muchas de las personas directamente responsables de ella están menos seguras.

• Uno de los muchos hallazgos sorprendentes del informe del Foro Económico Mundial Global Cybersecurity Outlook.

• En este episodio del pódcast participa el experto en ciberseguridad de Accenture.

• Además, el director del Centro de Ciberseguridad del Foro explica por qué el ransomware a menudo puede considerarse una «guerra del rescate».

• Suscríbete a Radio Davos.

Es una época de auge para los ciberdelincuentes que buscan ganar dinero fácil secuestrando datos informáticos y exigiendo un rescate. A medida que el trabajo en línea se disparó durante la pandemia, también lo hizo la ciberdelincuencia: los ataques de ransomware aumentaron un 151 % en 2021. El Global Cybersecurity Outlook del Foro Económico Mundial reveló que ese año hubo, en promedio, 270 ciberataques por organización, y cada brecha de ciberseguridad exitosa le costó a una empresa 3,6 millones de dólares.

En este pódcast hablamos con Jim Guinn, director gerente sénior, responsable de Seguridad, Estrategia y Consultoría en Accenture, empresa que sufrió el año pasado un ataque de ransomware muy publicitado, y con Algirde Pipikaite, responsable de Estrategia de Ciberseguridad del Foro Económico Mundial.

Y, para hablar de por qué el ransomware a menudo puede considerarse una «guerra del rescate», conversamos con Alex Klimburg, director del Centro de Ciberseguridad del Foro Económico Mundial.

Lee el informe del Foro Global Cybersecurity Outlook de 2022.

Esta es la transcripción de las entrevistas del episodio de Radio Davos:

«Guerra del rescate»

Alex Klimburg, director del Centro de Ciberseguridad del Foro Económico Mundial: El ransomware es una de las armas políticas en auge en el ciberespacio. De hecho, en mis publicaciones me he referido a los ataques políticos de ransomware como «guerra del rescate». Sin duda, ha sido el arma preferida en los conflictos cibernéticos de los últimos años.

Los ataques de ransomware forman parte del panorama mundial desde hace tiempo, pero podemos remontarnos a 2015 o 2016, cuando un grupo de actores cibernéticos, piratas informáticos criminales —aunque probablemente pertenecientes a un servicio de inteligencia—, consiguió un arma cibernética de la NSA llamada EternalBlue. EternalBlue era un exploit de Windows de gran alcance: una vulnerabilidad de seguridad del sistema operativo Windows muy difícil de corregir y que entonces se desconocía. En esencia, cualquiera que tuviera esta vulnerabilidad podía acceder a cualquier equipo con Windows.

Esa herramienta, supuestamente mantenida por el servicio de inteligencia estadounidense, fue robada por esta comunidad de piratas informáticos y publicada en línea. En 2016, durante las elecciones estadounidenses, se sospechaba que en realidad había sido la inteligencia militar rusa, que intentaba no solo avergonzar a la inteligencia estadounidense, sino también causar problemas al generar más actividad ciberdelictiva: cuanta más actividad ciberdelictiva hay, más ocupados están los defensores cibernéticos y más dificultades tienen para lidiar con la ciberdelincuencia, así como con la guerra y la inteligencia cibernéticas. En esencia, a veces aumentar el nivel de ciberdelincuencia resulta beneficioso para algunos actores en todos los sentidos.

Así que difundieron esta vulnerabilidad llamada EternalBlue y dijeron: «Oye, ¿alguien quiere hacerse con ella? ¿Alguien quiere usarla?». Durante un par de años nadie lo hizo, lo cual resultó bastante extraño.

Y de repente, en 2017, actores vinculados a Corea del Norte difundieron algo llamado WannaCry. WannaCry fue un ataque de ransomware extremadamente destructivo que afectó, por ejemplo, al Servicio Nacional de Salud del Reino Unido, hasta el punto de que una cuarta parte de los hospitales quedó fuera de servicio en un momento dado. Para ponerlo en contexto, no cabe duda de que muchas personas murieron como consecuencia de este ataque. Claramente, fue un intento de probar la vulnerabilidad EternalBlue en condiciones reales, pero también de mostrar a otros actores el atractivo del ransomware, porque básicamente se podía pagar para que los datos se descifraran, restauraran y devolvieran. En el caso de WannaCry, los datos no se destruyeron.

En teoría, era posible pagar y recuperar los datos o, al menos, volver a poner en funcionamiento el sistema. Sin embargo, resultó que los piratas informáticos no respondían mucho a las solicitudes de algunas personas para que les devolvieran efectivamente sus datos. Por eso quedó bastante claro que se trataba más bien de un ataque político. A los atacantes les interesaba más causar daños que ganar dinero.

Así que ese ataque llegó y pasó, y fue bastante grave. Pero lo que ocurrió después fue aún peor, apenas seis meses más tarde. Fue NotPetya. NotPetya se considera ahora el ciberataque más destructivo de la historia y se originó en Ucrania. Al parecer, un agente de inteligencia ruso o un operador cibernético infectó intencionadamente a una empresa ucraniana de software empresarial, vinculada con numerosas compañías externas de todo el mundo. Entre ellas estaban, por ejemplo, FedEx y Maersk.

El ransomware se propagó rapidísimo, en dos días, y logró causar graves interrupciones, por ejemplo, en Maersk y FedEx, así como en decenas de otras empresas. Ahora se calcula que los daños totales superan los 2.000 millones de dólares, una suma astronómica. Solo en Maersk, los daños ascendieron a 300 millones durante ese período, una de las mayores pérdidas cibernéticas registradas hasta la fecha.

Y lo que ocurrió con este ataque fue que, aunque en teoría era un ataque criminal y se afirmaba que se podían recuperar los datos pagando un rescate pequeño, en realidad no había forma de pagar. Nadie respondió nunca al correo electrónico y nunca se descifraron los datos, así que fue un ataque de ransomware falso. Fue un ataque de «guerra del rescate». La intención principal era causar daños y perturbaciones políticas.

Ucrania siempre ha estado vinculada a las pruebas de campo y las nuevas armas cibernéticas. Los ataques de guerra del rescate se probaron primero en Ucrania, y a veces se considera que gran parte de la actividad que vemos ahora en el ámbito internacional es ransomware perpetrado por ciberdelincuentes auténticos, interesados únicamente en el dinero. Pero, en ocasiones, puede tratarse de actores con motivaciones políticas que buscan causar perturbaciones. Esa es la lección que aprendimos en 2017: es un arma sumamente eficaz tanto para generar inseguridad política como para elevar la tensión general. En esencia, es una herramienta muy eficiente si se quiere causar perturbaciones a gran escala.

Robin Pomeroy: ¿Y estamos viendo que esto aumenta ahora, desde la invasión de Ucrania?

Alex Klimburg: Lo que estamos viendo es un nivel muy alto de ransomware que ya estaba activo antes de la invasión. La alerta de invasión se produjo más o menos en octubre del año pasado y, desde entonces, observamos un aumento de los ataques de ransomware en toda Europa, en particular. Europa quedó rezagada respecto a Norteamérica durante bastante tiempo, otro indicio de que la mayoría de los ataques de ransomware eran políticos y no criminales: Europa habría sido un objetivo tan atractivo como la mayoría de las empresas estadounidenses, pero, por razones políticas, Estados Unidos era el objetivo principal, y de repente el foco empezó a cambiar. Más empresas europeas fueron atacadas.

Vimos, por ejemplo, un ataque bastante importante contra el sector minorista de combustibles en Alemania y una gran refinería de petróleo en Rotterdam. También se han denunciado otros ataques, por ejemplo, contra empresas de transporte y sectores similares. A veces estos ataques ofrecen una opción de pago, pero esta es falsa o tarda tanto en poder utilizarse que resulta totalmente inútil. O bien se ha cifrado tal cantidad de datos que deben recuperarse que, en la práctica, no tiene sentido: los datos quedan destruidos.

El arma cibernética preferida hoy en día es el ransomware, que muy a menudo tiene motivaciones políticas y, por tanto, es en realidad una guerra del rescate. Aunque las líneas entre los actores políticos y los ciberdelincuentes se difuminan intencionadamente.

¿Confían demasiado los líderes empresariales ante los riesgos cibernéticos?

Algirde Pipikaite, responsable de Estrategia de Ciberseguridad del Foro Económico Mundial: La verdad es que me encantaría decir que me sorprenden las estadísticas que acabas de mencionar, pero, por desgracia, no creo que hayan sorprendido a la comunidad de ciberseguridad. Creo que sorprendimos a muchos directores ejecutivos y miembros de consejos de administración, porque tienen mucha más confianza en su resiliencia y en su capacidad para responder si se produce un incidente. Jim, ¿qué opinas?

Jim Guinn, director gerente sénior, responsable de Seguridad, Estrategia y Consultoría en Accenture: Has dado en el clavo. Hemos observado la misma tendencia durante todos los años en que he participado en iniciativas para ayudar a proteger infraestructuras críticas. Se cree que tenemos este problema llamado ciberseguridad, que lo entendemos y que podemos resolverlo desde la dirección ejecutiva. Pero, cuando se consulta a las personas de la organización que tienen que enfrentarse a ello a diario, tienen menos confianza en su capacidad para frustrar un ataque, porque saben que las amenazas evolucionan y cambian constantemente.

Cuando haces una presentación o una actualización para el consejo de administración a nivel general, muy por encima, y dices: «Este es nuestro estado actual, estas son las medidas que hemos tomado para mejorar nuestra resiliencia cibernética y este es el camino que seguiremos», la situación puede haber cambiado en tres semanas. El informe ya se ha publicado, los ejecutivos lo han visto y piensan: «Vaya, tengo mucha confianza en que lo tenemos controlado». Pero entonces cambia el clima o el entorno, o surgen tensiones entre dos países de Europa del Este que elevan el nivel de riesgo para todos los países. Las cosas suceden tan rápido en el ciberespacio que la confianza de un alto ejecutivo en una determinada postura de ciberseguridad no siempre guarda relación con la solidez y resiliencia reales. Ambas fluctúan con el tiempo, y esa es una realidad desafortunada del mundo en que vivimos.

Algirde Pipikaite: ¿Crees que nos enfrentamos a esta realidad porque estamos tan conectados? ¿Y tiene algo que ver la COVID? ¿O prevés que, con el inicio del fin de la pandemia, ojalá mejore la situación de la ciberseguridad? ¿Qué opinas?

Jim Guinn: Retrocedamos hasta 2019. Ese año se produjo continuamente un número considerable de incidentes cibernéticos. Podemos remontarnos aún más: Stuxnet, WannaCry, Wannacrypto y muchos otros incidentes cibernéticos de alcance mundial. Cuando el mundo tuvo que pasar de la forma de trabajar de 2019 a la actual —con una conectividad muy intensa desde las redes domésticas, los dispositivos móviles y redes potencialmente inseguras para comunicarse con los activos corporativos—, observamos un aumento de la actividad cibernética, sencillamente debido a la conectividad.

Yo creo que nunca volveremos a trabajar ni a hacer las cosas como en 2019. El trabajo a distancia seguirá evolucionando y extendiéndose, y eso aumentará la cantidad de activos con direcciones IP. Si hay un activo con dirección IP —es decir, una persona que trabaja con un dispositivo, se conecta a otro y realiza su trabajo—, aumentar las conexiones amplía la superficie de ataque. Y, al ampliarla, se dan más oportunidades a los actores malintencionados para encontrar la manera de entrar. Si pensamos en cosas como el metaverso, la IA responsable, el 5G y otras tecnologías que acelerarán una adopción tecnológica más amplia, creo que este problema solo empeorará. No será más fácil ni mejor. Seguirá evolucionando y tendremos que mantenernos muy alerta en la forma de abordar las medidas cibernéticas de nuestras organizaciones.

Algirde Pipikaite: Quisiera retomar el tema de la IA, la cadena de bloques, el 5G y las nuevas tecnologías y realidades que estamos incorporando, como la realidad aumentada y el metaverso. A esto se suma el aumento de los ataques de ransomware, que el año pasado, en 2021, fue de al menos un 150 %, si no más. Además, las criptomonedas se utilizan a gran escala para los pagos y para rastrearlos. Mi pregunta es: ¿seguiremos sufriendo ataques de ransomware muy básicos? ¿O prevés que la incorporación de nuevas tecnologías, o la combinación de las que utilizaremos, dará lugar a ataques realmente sofisticados?

Jim Guinn: Creo que veremos ambas cosas; la historia ha demostrado que será así. Un factor común que hemos observado, aunque no siempre, es que no se habilitan medidas sencillas, como la autenticación multifactor en distintos dispositivos. Por eso alguien puede entrar: ha obtenido credenciales por algún otro medio.

Hasta que no pongamos en práctica los fundamentos —como la autenticación multifactor en toda la empresa, desde los activos de tecnología operativa y los activos de TI empresarial hasta los dispositivos móviles y todos nuestros terminales—, seguirán entrando actores menos sofisticados y causando daños: bandas cibernéticas que buscan ganar dinero rápido.

Lo segundo es que, con todo el respeto a todas las naciones, si un Estado cuenta con buena financiación y capacidades cibernéticas sólidas, y quiere causar daños mediante un agente estatal o un afiliado, no se le puede detener. Es solo cuestión de tiempo.

Recientemente ha habido varios ataques multinacionales de día cero —nadie sabía que se avecinaban— perpetrados por afiliados de Estados o directamente por Estados, que han causado una gran conmoción. Son casi imposibles de prevenir. Si alguien quiere entrar y cuenta con financiación de un Estado o de un afiliado, será imposible detenerlo. Es cuestión de tiempo.

Así que creo que veremos ambas cosas: bandas muy poco sofisticadas que intentan ganar dinero rápido robando credenciales y entrando, y actores estatales muy sofisticados que quieren causar perturbaciones en el mundo.

Robin Pomeroy: Da bastante miedo. Así que, en la primera categoría, hay que tapar todos esos agujeros, como los de un barco con fugas. Si se tapan las vías de acceso a esas redes, deberían poder detenerse las bandas criminales de ransomware. Pero, en la otra categoría, hablas de actores estatales que llevan más de una década operando, según lo que sé como aficionado, y dices que es imposible detenerlos. Entonces, ¿qué hacemos para evitar que un servicio de salud se paralice o que se interrumpa la red energética de un país? ¿Hay que actuar después de los hechos? ¿Esa es la situación?

Jim Guinn: Sí. Y seguiré con tu analogía, porque es muy buena y se utiliza a menudo. Un gran filósofo dijo una vez: «En el momento en que se creó el barco, también se creó el naufragio». Es decir, una vez construido y puesto a navegar, el barco va a sufrir un accidente; tarde o temprano, uno se estrellará, y será una tragedia. Durante los primeros años de mi carrera trabajé en alta mar y en embarcaciones. Lo primero que se aprende es a abandonar el barco en caso de emergencia. Eso significa que hay un plan de seguridad, se sabe dónde reunirse y cada persona conoce su función.

Siempre intentamos evitar un naufragio, también en el ámbito cibernético. Sin embargo, si ocurre, lo importante no es que haya sucedido, sino la resiliencia y la rapidez con la que se puede aislar, contener, recuperar y responder de forma ordenada. Siguiendo tu analogía, si se produjera una catástrofe grave en un barco y todo el mundo entrara en pánico, sería muy trágico. Se trata de planificar, ejecutar y actuar deliberadamente para que, cuando le ocurra a una organización de la que formas parte, sea cual sea la forma que adopte, tengas un plan bien probado y fiable que te permita ser más resiliente y recuperarte con rapidez.

Todos vamos a enfermarnos. Nos dará gripe, un resfriado o, Dios no lo quiera, la COVID, pero todos enfermaremos. Aun así, deberíamos poder recuperarnos si contamos con el plan adecuado. Con los medios farmacéuticos adecuados, todos podemos mejorar. Lo mismo ocurre con la ciberseguridad: sucederá. Hablemos de cómo recuperarnos de forma lógica y estructurada para minimizar en el futuro el impacto en la organización, los clientes o los proveedores.

Algirde Pipikaite: Al principio, Robin mencionó que una empresa u organización tarda en promedio unos 280 días en identificar un incidente y responder, o empezar a responder. Eso significa que, si alguien fue víctima de un ataque informático el 1 de enero, quizá no se entere hasta mediados de octubre.

Si la resiliencia es nuestro lema, ¿cómo podemos prevenir un ataque y cómo abordarías a un atacante que permanece en nuestras redes potencialmente durante 280 días? El reconocimiento que realiza y la forma en que identifica tus datos sensibles, vulnerabilidades, gestión de accesos y demás, así como su recorrido por la red durante nueve o diez meses, son impresionantes. ¿Sigues creyendo que es una batalla que podemos ganar o, una vez que lo detectamos, solo intentamos evitar que la situación empeore?

Medidas de precaución contra los ciberataques

Jim Guinn: Puede que esa sea la estrategia de algunas organizaciones: «Cuando lo detectemos, intentaremos prevenirlo». No es necesariamente lo que aconsejaríamos, incluso a partir de nuestra propia experiencia.

Se trata de estar preparados y planificar con antelación. Cuanto más rápido puedas actuar desde el momento del impacto —es decir, el primer día, cuando se produce la infiltración o entra un actor malintencionado—, más podrás reducir el plazo de cientos de días a solo unos pocos y minimizar así las consecuencias.

Hay muchas cosas que podemos hacer. Estaré encantado de compartir una buena arquitectura de referencia con cualquiera que escuche este pódcast, aquí o en otros sitios. Existen algunos principios sencillos, aunque su aplicación puede ser difícil. Si los utilizas, puedes reducir el tiempo desde el impacto hasta la expulsión del atacante, es decir, hasta sacarlo de la red.

Medidas como la autenticación multifactor. Si se necesitan varias credenciales para acceder a cada dispositivo, resulta muy difícil desplazarse lateralmente por la red.

Confianza cero. ¿Qué significa? Que no confío en nadie que esté en la red, así que necesito varias formas de autenticar el acceso a determinados activos en un contexto empresarial para protegerlos y evitar perder propiedad intelectual o datos.

Hay algunos aspectos fundamentales. Y, de nuevo, no son fáciles de implementar y requieren tiempo y dinero. Pero los ciberincidentes más espectaculares —uso esa palabra en sentido negativo, no positivo— que hemos visto ocurrieron en redes planas, sin autenticación multifactor y sin capacidad para observar el entorno y saber qué está pasando.

Intentamos explicarlo con sencillez: si no puedes verlo, no puedes protegerlo. Literalmente, si no puedes verlo, no puedes protegerlo. Poder observar todo el entorno y correlacionar los eventos te da más posibilidades de reducir el tiempo de permanencia de cientos de días a unas pocas horas.

Incluso en nuestro propio caso, el año pasado, cuando una banda de ransomware LockBit logró infiltrarse en un conjunto concreto de servidores mal configurados, para ser francos, la dejamos fuera en menos de cinco horas. Así que sabemos que se puede hacer. Nuestra propia experiencia, lo que tuvimos que afrontar debido a una configuración incorrecta de la autenticación multifactor, demuestra que pudimos identificar, aislar y erradicar a un actor malintencionado en menos de cinco horas.

Algirde Pipikaite: Con los límites difusos del trabajo desde casa, muchas personas utilizan dispositivos de trabajo para asuntos personales y gestiones privadas, o sus dispositivos personales para trabajar. ¿Es fácil identificar cuándo un intruso entra en la red, si hay tantos dispositivos y enrutadores conectados que no cuentan con la seguridad corporativa, sino con la seguridad doméstica —o quizá ni siquiera con ella—, dentro de nuestras redes? ¿Cómo lo identifican? Y, una vez identificado, ¿cuáles son los pasos? ¿Qué hacen para contener un incidente y cómo saben que quien está en la red no es Jim, Kelly o Diana?

Jim Guinn: Hay muchísimas cosas que forman parte de una estrategia de ciberseguridad, pero es importante poder entender los patrones de uso o los perfiles y qué debería hacer cada perfil y cómo interactúa con su trabajo, también conocido como «roles» (o «roles», por sus siglas en inglés): ¿cuál es mi función en la organización? ¿Con qué debería interactuar? ¿Qué datos debería manipular? ¿Cuándo suelo hacerlo?

Hay muchas cosas que podemos utilizar —analítica de datos e IA—, una IA responsable, es decir, entenderla y no utilizarla para obtener beneficios ilícitos. Hay muchas cosas que podemos aprender sobre nuestros entornos simplemente observando cómo interactúan las personas con la tecnología y las máquinas.

Los fundamentos de algo como la confianza cero consisten realmente en tener un conjunto de roles, perfiles e identificadores que interactúan con un conjunto de sistemas de una manera determinada, saber cómo lo hacen y, después, permitir el acceso mediante un mecanismo de «confiar y verificar».

Y, en el caso de las organizaciones —y lo lamentable es que, como comentamos en el informe, muchas de las organizaciones más pequeñas, que son muy, muy importantes para el ecosistema, tienen personas que utilizan varios dispositivos para conectarse a los activos corporativos. También tienen posturas de ciberseguridad poco sofisticadas, debido al coste y al tiempo que requiere implementarlas. Puede que una organización de 100 personas sea fundamental para una parte de la cadena de suministro de bienes duraderos o productos farmacéuticos, y que tenga una vulnerabilidad que alguien pueda aprovechar para infiltrarse en ella y llegar a su organización. No es imposible detener esos ataques, pero es muy difícil.

Y volvemos a lo mismo: si no sabes qué se supone que deben hacer las personas mientras están conectadas a una red, no puedes prever realmente qué deberían estar haciendo. Así que volvemos a «si no puedes verlo, no puedes protegerlo» o «si no lo sabes, no puedes protegerlo». No es fácil. Se puede hacer, pero lleva tiempo y exige determinación para invertir de verdad tanto en los activos corporativos e intelectuales como en nuestra gente.

No olvidemos a nuestra gente. La mejor manera de evitar que un agente de amenazas entre es contar con nuestra propia gente. Que nuestra gente actúe con diligencia, que no haga clic en enlaces, que no comparta activos; por ejemplo, que yo lea mi correo web en el mismo dispositivo que uso como ordenador y alguien me envíe un vídeo supuestamente gracioso que contiene malware, que acaba en mi activo corporativo y puede propagarse por la red y entrar. Así que nuestra gente probablemente sea nuestra mayor fortaleza y, potencialmente, nuestra mayor debilidad ante los ciberincidentes.

Robin Pomeroy: ¿Podemos hablar de cómo es ser víctima de un ataque de ransomware? La gente piensa en un rescate; les llega una nota por debajo de la puerta con letras recortadas de un periódico: «Tenemos a tu cachorro, danos 50 dólares y te lo devolveremos». En cierto modo, no está tan lejos de la realidad, ¿verdad? Estaba leyendo sobre el ataque que sufrieron el año pasado. ¿Es cierto que pegan algo como fondo de pantalla en tu pantalla que dice: «Sí, ya hemos tomado el control de este ordenador. Aquí estamos. Ja, ja, ja. Envíennos el dinero»? Quiero decir, es así de básico. ¿Es así como uno se da cuenta por primera vez de que está bajo ataque?

Jim Guinn: Esperemos que no, porque para entonces ya se han desplazado lateralmente por toda la red, se han infiltrado en varios dispositivos y ahora tienen lo que, en la práctica, sería un control asfixiante sobre tu infraestructura. Cuando aparece ese mensaje, la situación es realmente grave. Quiero decir, muy, muy grave. Lo ideal es atraparlos en el acto. Verás tráfico de red anómalo. Verás actividad que no es normal.

Ya sabes, por ejemplo, tu plataforma MXDR. Tenemos una de las mejores del mundo. La utilizamos con cientos y cientos de clientes. Cuando detecta una anomalía y activa una alerta, investigas de inmediato qué ha ocurrido. Así que lo ideal es detectarla antes de que recibas esa notificación. Pero si la recibes, tendrás que seguir toda una nueva serie de pasos que no serán nada ideales ni para ti ni para tu gente, tus clientes o tus proveedores. Así que esperemos que puedas detectarla antes de que eso ocurra. ¿Se entiende?

Robin Pomeroy: Sí, totalmente. Aunque el acrónimo me desconcertó: MXDR. ¿Podrías explicar qué significa?

Jim Guinn: Significa «gestionar, ampliar, detectar y responder». Es un conjunto de tecnologías que conforma, por así decirlo, un gran caleidoscopio de todas las actividades que se producen en tu red y de todo lo demás; permite ver qué está ocurriendo.

Y es la capacidad de gestionar, ampliar, detectar y responder ante un evento concreto. Puede ser anómalo, bueno o malo. Pero es algo diferente, así que hay que investigarlo. Es como una capa que se extiende por encima de la red e identifica una onda. Luego analizamos esa onda para averiguar qué es, por qué se correlaciona con otras áreas y por qué aparece en otros lugares. Es una forma de detectar mejor cuándo se produce un incidente o existe la posibilidad de que ocurra.

Robin Pomeroy: Así que nos contarás todo lo que puedas sobre el ataque del año pasado, pero se ha informado bastante sobre el grupo de ransomware LockBit. Quizá podrías contarnos quiénes son o quiénes podrían ser. Pedían 50 millones de dólares de rescate. ¿Cómo se desarrolló todo desde tu perspectiva?

Jim Guinn: Fuimos completamente transparentes con todos nuestros clientes. El incidente ocurrió el 30 de julio y diría que fue un domingo; tengo que rebobinar mentalmente, pero creo que fue un domingo. Recuerdo que me levanté el lunes por la mañana. Estoy bastante seguro de que fue un domingo, pero recuerdo el lunes por la mañana: mi jefe de entonces me había enviado un mensaje. Me levanté sobre las 5 o las 5:15 de la mañana. Normalmente, al levantarme saco a pasear al perro. Todavía llevaba la ropa con la que había salido a pasear a los perros. A veces paso junto al teléfono; no lo llevo conmigo. Entro en la oficina, toco la pantalla y veo que me había llegado un mensaje, y pienso: «Esto nunca es buena señal». No es nada bueno recibir un mensaje a esa hora de la mañana.

Así que miro el mensaje y el mundo cambió.

Y, bueno, lo que diré es que no siempre puedes creer lo que lees de un agente de amenazas. Hay un par de razones. En primer lugar, no eran 50 millones de dólares. No revelamos lo que pedían, pero puedo decirte que era bastante menos. Ocurrió que, en menos de cinco horas, ya lo habíamos contenido. Desde que alguien entró, se activaron nuestras alertas, supimos que algo era anómalo y tuvimos que investigarlo, quedó aislado en menos de cinco horas. Así que, en cuanto a la posibilidad de exfiltrar lo que fuera —los datos—, resultó que, tal como compartimos ampliamente con muchos clientes, se trataba sobre todo de planos de asientos, correos electrónicos de comunicación interna, algunos datos comparativos disponibles públicamente y una serie de otras cosas. Los datos no tenían valor.

Los agentes de amenazas —LockBit y cualquiera de ellos— suelen alardear de lo que tienen para que, si no consiguen obtener dinero de la entidad de la que lo han extraído, puedan intentar venderlo en la web oscura aumentando su valor percibido. En este caso, era una piedra pintada con aerosol dorado. Sí, había algo. Era material. No era material de valor financiero, pero eran datos. Los pintaron de dorado para que parecieran más importantes o valiosos. Y menos mal que no lo eran, porque las circunstancias habrían sido distintas. Pero la realidad es que se dieron cuenta de lo que tenían y, cuando dijimos «sí, no vamos a pagar», el asunto se hizo público. Una vez que supimos qué tenían y nos sentimos seguros de que lo habíamos contenido y aislado, la situación pasó a ser más una táctica dilatoria que una negociación: querían ganar tiempo hasta que se supiera públicamente lo que nosotros ya sabíamos y hasta que nuestro equipo interno de respuesta a emergencias informáticas (CERT) y nuestro CISO interno (director de seguridad de la información) pudieran entender la situación. Así que, sin duda, el rescate no ascendía a esa cantidad. Y, para que quede muy claro, sin duda no pagamos.

Ransomware: pagar o no pagar

Algirde Pipikaite: ¿Qué tan difícil es decidir si pagar o no? ¿Las empresas suelen decidir pagar y quitarse el problema de encima? ¿O es menos complicado no pagar e intentar reconstruir la red? Hay dos filosofías distintas. ¿Cuál suelen seguir y qué es lo que más se ve en el mercado?

Jim Guinn: Es una pregunta excelente, y no es fácil responderla. Algunos creen que siempre hay que pagar; otros, que nunca hay que hacerlo. Lo que intento reducir a lo esencial, al menos con los clientes a los que prestamos servicio mi equipo y yo, sobre todo en infraestructuras críticas, es lo siguiente: si va a afectar a la salud, la seguridad o el medioambiente —quiero ser muy claro: salud, seguridad y medioambiente—, hay que contar con un protocolo para decidir si se va a pagar o no. Si va a tener un impacto significativo que podría afectar muy negativamente al medioambiente, a la seguridad de nuestra gente o de otras personas, o a la salud de los pacientes y su atención, hay que tener un árbol de decisiones que se haya puesto a prueba muchas veces mediante ejercicios de simulación y conversaciones con directivos. Así se puede determinar qué significaría pagar y qué significaría no hacerlo, sin tener que intentar decidirlo en tiempo real.

Personalmente, creo que hay que determinar con mucha antelación qué tipo de incidente justificaría pagar y cuál no. Después, hay que aplicar esos protocolos cuando se presente —si es que se presenta— una situación de ese tipo y atenerse a las decisiones tomadas, porque intentar tomar decisiones muy importantes en tiempo real, con las emociones a flor de piel y en medio de un ciberincidente, por lo general puede llevar a tomar una decisión que no sea la mejor.

Así que hay que pensarlo cuando las cosas están tranquilas, la gente no está alterada y no se está viviendo una situación desafortunada de pánico o de emergencia. El objetivo de planificar para la guerra no es necesariamente el plan en sí, sino el hecho de haberlo planificado. Y repasar ese plan, tanto ante un ciberincidente como en operaciones empresariales críticas, te da más posibilidades de tomar la mejor decisión en ese momento.

Así que no me inclino por ninguna de las dos posturas. Estoy justo en el centro. Todas las empresas deben poder determinar, dentro de los requisitos legales de la jurisdicción en la que operan, si deben pagar o no, en función de las consecuencias para la salud, la seguridad y el medioambiente.

Robin Pomeroy: Entonces, ¿las empresas realmente simulan esos escenarios, esos juegos de guerra? Supongo que las grandes empresas tienen capacidad para hacerlo, pero ¿sabes si las empresas hacen ese tipo de ejercicios?

Jim Guinn: Sí. Hemos evolucionado desde principios de los años 2000 —1998, 1999, 2000, 2001, 2002—, cuando algunas de estas tecnologías emergentes empezaban a despegar. Hemos avanzado mucho. Las instituciones realmente grandes que cuentan con un presupuesto suficiente realizan ejercicios de equipos rojos y ejercicios de simulación y procesos de toma de decisiones para averiguar cómo responderían ante un evento concreto y qué protocolo debería guiar esa decisión.

Y las organizaciones más pequeñas también cuentan ahora con mecanismos que ofrecen muchos de los gobiernos que conocemos —ya sea Australia, Singapur, la UE, Estados Unidos o Canadá—, los cuales facilitan ese tipo de capacidades para que las organizaciones pequeñas puedan aprovecharlas, aunque no tengan la escala ni la capacidad de todas las organizaciones que podrían necesitarlas o quererlas en ese momento.

Pero estamos mejorando. Y quienes sí se preparan probablemente estén en la mejor posición para reducir ese plazo, no solo el tiempo de permanencia, sino también las posibles pérdidas de propiedad intelectual, datos u otros activos materiales.

Encuentra todos nuestros pódcast aquí.

Suscríbete: Radio Davos; Meet the Leader; Book Club; Agenda Dialogues.

Únete al Club de pódcast del Foro Económico Mundial en Facebook.