Protección y recuperación frente al ransomware
El ransomware no es realmente una sola amenaza, sino todo un modelo de negocio, con actores especializados en diferentes eslabones de la cadena: acceso inicial, negociación de la extorsión, exfiltración de datos y el propio cifrado. Esa especialización es la razón por la que los grupos de ransomware se han vuelto tan eficaces, y por la que «tenemos antivirus» dejó de ser una respuesta adecuada hace ya mucho tiempo. Los incidentes modernos de ransomware suelen combinar el robo de datos con el cifrado, por lo que incluso una organización con copias de seguridad sólidas puede sufrir graves daños por la filtración o venta de los datos robados, independientemente de si puede restaurar sus sistemas.
El objetivo práctico no es una promesa poco realista de que nunca se producirá un ataque, sino reducir las probabilidades de que tenga éxito y garantizar que, si ocurre, se pueda recuperar en un plazo que no ponga en riesgo a la empresa, con copias de seguridad que el atacante no haya comprometido también.
Donde los planes realmente fallan
La carencia más habitual que observo no es la prevención, sino la preparación para la recuperación, que nunca se ha puesto a prueba de verdad. Existen copias de seguridad, pero nadie ha llevado a cabo recientemente una restauración completa, bajo una presión de tiempo realista, para confirmar que funciona y averiguar cuánto tiempo lleva realmente. Además, en ocasiones se puede acceder a las copias de seguridad desde la misma red que el resto de los sistemas, lo que significa que un atacante lo suficientemente meticuloso también puede cifrarlas o eliminarlas; en ese caso, disponer de copias de seguridad no habría servido de nada.
Cómo lo abordaría yo
En lo que respecta a la prevención: reducir la superficie de ataque que los intermediarios de acceso inicial realmente explotan, subsanar las brechas que permiten a un atacante pasar de una cuenta comprometida al control de todo el entorno, y asegurarse de que el personal sea capaz de reconocer el phishing y la ingeniería social, que siguen siendo el origen de la mayoría de los incidentes. En cuanto a la recuperación: copias de seguridad que estén realmente aisladas del entorno de producción que un atacante podría comprometer, y un plan de respuesta a incidentes específico y probado —no un documento genérico, sino algo que se haya ensayado con antelación para que las personas conozcan su función concreta a 2am, en lugar de tener que improvisar—. También me aseguraría de que haya reflexionado detenidamente sobre las decisiones que se toman bajo una presión real, antes de encontrarse en esa situación: quién toma la decisión, qué se comunica a quién y cuáles son sus opciones reales si ocurre lo peor.
Si desea obtener una evaluación realista de su situación actual ante un ataque de ransomware, póngase en contacto con nosotros antes de que lo descubra por las malas.