En casi la mitad de los rescates cibernéticos pagados, los delincuentes no cumplen con su parte del trato

Pagar no garantiza el fin del problema. Ya sean 10.000 euros para una empresa pequeña o millones en casos mediáticos. Entre el 35% y el 40% de las veces que una organización cede a la presión de un ciberataque y paga un rescate, los delincuentes no cumplen su parte del trato. Ni devuelven el acceso, ni restauran los datos o los terminan publicando de todas formas. Así lo advierte Lazarus Technology, proveedor global de ciberseguridad, que tras más de 700 incidentes gestionados, lanza un mensaje claro: negociar no es claudicar, sino gestionar bien para ganar tiempo, obtener información y recuperar el control.

El ransomware sigue siendo la principal amenaza en ciberseguridad. Los atacantes ya no solo bloquean datos: amenazan con publicarlos, contactan con clientes o exigen pagos en criptomonedas para restaurar accesos vitales para la organización o el negocio. Y lo hacen desde una posición de fuerza, sabiendo que muchas de estas entidades no tienen planes de contingencia y el reloj juega en su contra.

A pesar de que la recomendación general siempre ha sido no negociar con ciberdelincuentes, desde Lazarus recuerdan que una negociación bien gestionada permite a los afectados conocer mejor la situación y el perfil del atacante, evaluar el alcance del ataque, cuál es su arma y determinar si la información ha sido robada o solamente cifrada.

La compañía recomienda que, antes de tomar cualquier decisión, las empresas adopten una estrategia de negociación basada en el control del tiempo y del mensaje. Por un lado, retrasar el proceso para evaluar la capacidad interna de recuperación y minimizar el impacto. Y, por el otro, evitar respuestas que den información clave a los atacantes o que les hagan sospechar que se está ganando tiempo.

Una negociación bien llevada puede revelar información clave

Los atacantes suelen estar acostumbrados a la extorsión y la mayoría de las veces actúan con planteamientos extremos, leoninos, dejando muy poco margen de diálogo. Sin embargo, una empresa bien asesorada puede saber cómo negociar y así obtener datos cruciales. Por ejemplo, si los ciberdelincuentes aún tienen acceso a la infraestructura, cuánto tiempo han permanecido en el sistema y si realmente poseen la información que dicen tener.

Un recurso utilizado es mostrar cierta colaboración, pero con dudas técnicas, del tipo “no sé usar criptomonedas”. Lo otro es pedir una prueba de vida: que el atacante descifre un archivo como señal de que tiene la clave de acceso a la información. O bien ganar algo de tiempo con el argumento de que se necesita la aprobación de su seguro o del Consejo de Administración. Todo esto permite saber con certeza si los delincuentes están dentro o no y que, en paralelo, los equipos de ciberseguridad puedan trabajar para restaurar backups, cortar la exfiltración o montar entornos alternativos.

En este contexto, es fundamental pensar muy bien qué se va a decir y que nunca parezca que se está haciendo perder el tiempo a los secuestradores, con experiencia en estas maniobras y perspicacia para cazarlas. También es clave cómo se trasladan los mensajes y se controlan los tiempos de respuesta, con el fin de garantizar el éxito de la información que la organización pueda obtener.

El CEO de Lazarus Technology, Manuel Huerta, comenta que “el objetivo de la negociación no es pagar, sino obtener información que ayude a la empresa a recuperarse y reforzar su seguridad. Es una partida de ajedrez en la que cada movimiento debe ser calculado, evitando que los atacantes tengan el control absoluto de la situación”.