Los Estados están intensificando sus ataques destructivos mediante ransomware y programas de borrado seguro. ¿Qué se puede hacer para gestionar este riesgo?
En 2017, adversarios vinculados a Rusia desató un ataque que más tarde se conoció como NotPetya, como parte de una campaña en curso contra Ucrania. Disfrazado para parecerse a Ransomware Petya, Las consecuencias del devastador ciberataque fueron la destrucción, más que el beneficio económico. El daño causado por la herramienta de borrado de datos se extendió mucho más allá de su objetivo, afectando a empresas de toda Europa y de otros lugares.
Casi una década después, los programas de borrado seguro y el ransomware se están convirtiendo en herramientas clave para atacantes de estados nación para interrumpir servicios críticos y causar trastornos.
El Oleoducto colonial El incidente es un ejemplo perfecto del daño que puede producirse como resultado de este tipo de ataque. Atribuido a DarkSide, un grupo con vínculos rusos — El ataque obligó al cierre del mayor oleoducto de Estados Unidos, lo que provocó una escasez generalizada de combustible.
En 2021, Corea del Norte adversarios vinculados al gobierno Los ataques de ransomware Maui se perpetraron contra hospitales y centros de diagnóstico con el objetivo de generar ingresos y causar caos.
La escalada de la situación geopolítica, incluida la guerra entre Rusia y Ucrania y conflicto de Irán A esto se suma la amenaza, con crecientes temores de ataques destructivos por parte de adversarios vinculados con naciones hostiles como China, Rusia, Irán y Corea del Norte (CRINK).
Esto ha llevado a las agencias de seguridad nacional a emitir advertencias, con el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) detallando herramientas para ayudar a las empresas mitigar el riesgo.
¿Qué pueden hacer las empresas para gestionar este problema creciente?
La evolución del ransomware
No cabe duda de que existe el riesgo de ataques de estados nación que utilicen ransomware El uso de la ciberdelincuencia como parte de objetivos geopolíticos está en aumento. Tracey Hannan-Jones, directora de consultoría de seguridad de la información en UBDS Digital, cree que la línea que separa la ciberdelincuencia de la geopolítica «nunca ha sido tan delgada».
Lo que antes era dominio de bandas criminales con motivaciones económicas se ha convertido en un "sofisticado instrumento del poder estatal", según Hannan-Jones.
Esto implica que el ransomware, el malware y los ciberataques destructivos se utilizan más allá de la extorsión. «Son armas de disrupción geográfica, desplegadas por actores estatales para desestabilizar gobiernos, paralizar infraestructuras y proyectar poder, sin disparar un solo tiro», afirma.
Anteriormente, los ataques de ransomware seguían una lógica predecible: cifrar, exigir un pago y obtener beneficios.
Esto ha cambiado drásticamente, ya que los actores estatales —sobre todo los alineados con Rusia, Corea del Norte, China e Irán— han adoptado y adaptado las mismas técnicas, a menudo "con objetivos que van mucho más allá del beneficio económico", afirma Hannan-Jones.
Socavando la confianza
Gary Barlet, director de tecnología del sector público en Illumio, coincide con el análisis de Hannan-Jones. En algunos casos, los ataques están diseñados para socavar la confianza pública, generar inestabilidad operativa y ejercer presión económica, afirma Barlet.
Explica cómo muchos grupos de ransomware operan en entornos donde reciben protección indirecta o aprobación tácita de gobiernos que ven un valor estratégico en su actividad. «Esta convergencia supone un enorme desafío para los defensores, que ya no se enfrentan únicamente a actividades delictivas aisladas».
Según Barlet, el problema ahora reside en las amenazas que se sitúan en una "zona gris" entre los ataques con fines lucrativos y las operaciones alineadas con el Estado. "Los grupos de ransomware se comportan cada vez más como intermediarios, atacando a adversarios extranjeros o contribuyendo a esfuerzos de desestabilización más amplios".
Al mismo tiempo, resulta difícil identificar a los responsables, ya que las operaciones cibernéticas están diseñadas deliberadamente para que los delincuentes puedan negar su participación. «A primera vista, un ataque puede parecer motivado por intereses económicos, pero el momento en que se ejecuta, la selección de objetivos o el impacto general pueden sugerir una intención estratégica subyacente», explica Barlet.
Oportunista frente a estratégico
Los ataques de estados nación pueden ser estratégicos u oportunistas. El dinero suele ser un factor motivador en este tipo de ataques, como los perpetrados por Corea del Norte.
No es raro observar cómo adversarios estatales "monetizan la inseguridad digital para generar ingresos ilícitos", afirma Jamie Moles, gerente técnico sénior de ExtraHop. "Al colaborar con organizaciones ciberdelincuentes, los estados implementan ransomware y explotan las vulnerabilidades de la cadena de suministro. Esta extracción financiera permite a los regímenes eludir las sanciones internacionales y financiar operaciones de inteligencia extraoficiales".
En ocasiones, la oportunidad puede influir, y el conflicto en Irán ha permitido que naciones como Rusia pasen desapercibidas.
Mientras tanto, los atacantes patrocinados por el Estado a veces se aprovechan del ecosistema del cibercrimen para ocultar su culpabilidad en los ataques, dice Andrew Brandt, comandante principal de incidentes de inteligencia de amenazas en Huntress. "¿Para qué gastar tiempo en desarrollar malware personalizado y a medida cuando simplemente puedes tomar el código fuente filtrado de Gh0stRAT ¿Y usar eso en su lugar?
Riesgo en la cadena de suministro y la infraestructura crítica
El riesgo se incrementa a medida que las cadenas de suministro se interconectan digitalmente, lo que genera nuevos puntos débiles que los atacantes aprovechan rápidamente. Según Barlet, de Illumio, los ciberdelincuentes suelen abusar de configuraciones incorrectas, API inseguras y autenticación débil para obtener acceso inicial antes de avanzar hacia sistemas críticos.
Los grupos que utilizan ransomware también saben que interrumpir las cadenas de suministro puede ser mucho más perjudicial y rentable que robar datos. «Incluso una interrupción breve puede tener repercusiones en las cadenas de suministro globales, sobre todo en entornos de producción justo a tiempo, donde los retrasos se propagan rápidamente», afirma Barlet.
A medida que crece esta amenaza, los modelos de seguridad tradicionales pueden tener dificultades, ya que están diseñados para incidentes, no para campañas respaldadas por el Estado.
Según Barlet, los modelos de seguridad suelen basarse en una mentalidad centrada en el perímetro. «Los equipos de seguridad piensan en términos binarios sobre si un atacante logró entrar o no, lo que significa que a menudo no tienen en cuenta lo que sucede después. Esto crea expectativas poco realistas de que se puede prevenir cualquier brecha de seguridad».
Sin embargo, cuando los atacantes traspasan el perímetro, suelen moverse lateralmente entre los sistemas, escalando el acceso y provocando interrupciones generalizadas. «Al centrarse demasiado en el perímetro, las organizaciones defienden un límite finito, mientras que los ciberdelincuentes operan libremente en el interior una vez que lo atraviesan», explica Barlet.
El dice el Jaguar Land Rover Los ataques al sector minorista del año pasado siguieron este patrón. “Los atacantes comprometieron las redes, atacaron sistemas críticos para los servicios y las operaciones, y extrajeron información confidencial”.
Limitar el impacto
A medida que las líneas de ataque se vuelven más difusas, es fundamental garantizar una mentalidad de resiliencia, una conciencia intersectorial, visibilidad de la cadena de suministro y responsabilidad a nivel ejecutivo. Marcos como ISO 27001, Puede servir de base para gestionar el riesgo en medio de amenazas crecientes.
Ante el aumento de la amenaza de los estados nación en medio de la inestabilidad geopolítica mundial, Barlet cree que las empresas, en particular las que operan en sectores críticos, deben abandonar la idea de la prevención total y centrarse en limitar el impacto del ransomware mediante la contención de las brechas de seguridad.
«Una estrategia centrada en la contención obliga a los atacantes a ralentizar sus acciones, lo que les dificulta permanecer ocultos y moverse entre diferentes sistemas», explica. «Más importante aún, los obliga a modificar sus técnicas y procedimientos, lo que brinda a los equipos de seguridad muchas más posibilidades de detectar, responder y recuperarse de los ataques».
Hannan-Jones, de UBDS Digital, opina que la prioridad debe ser la resiliencia, no la prevención. «Ninguna organización puede garantizar que no será atacada, por lo que el enfoque debe centrarse en la resiliencia: la capacidad de detectar, responder y recuperarse mediante una sólida planificación de continuidad del negocio y recuperación ante desastres».
Según Hannan-Jones, la preparación para la respuesta ante incidentes es fundamental, e incluye planes ensayados con "rutas de escalamiento claras y protocolos de comunicación para reducir significativamente el impacto de un ataque exitoso".
Según aconseja, las organizaciones también deberían priorizar la integración de la inteligencia sobre amenazas. «Esto implica ir más allá de las alertas de seguridad genéricas y utilizar inteligencia sobre amenazas específica del sector y contextualizada geopolíticamente para comprender qué actores de amenazas están activos, sus tácticas y sus objetivos, y así gestionar el riesgo de forma proporcional».
Amplíe su conocimiento
Podcast: Phishing para causar problemas T01 E02: Seguridad de los sistemas y servicios públicos
Blog: El factor resiliencia: Desglosando el ataque de ransomware BridgePay
