¿Por qué las copias de seguridad ya no protegen contra el ransomware?

Tradicionalmente, las copias de seguridad regulares del sistema han sido una de las defensas clave de las organizaciones contra los ataques de ransomware, ya que permitían a las organizaciones restaurar los sistemas rápidamente, sin pagar rescate. Si bien las copias de seguridad periódicas siguen siendo una práctica necesaria y prudente, ya no brindan la protección contra el ransomware que solían brindar.

Durante años los ciberdelincuentes bloquearían los sistemas y exigirían un rescate, generalmente en Bitcoin, para proporcionar una clave de cifrado.

A medida que evolucionó el ransomware, los ciberdelincuentes se dieron cuenta de que los mismos niveles de acceso a la red que necesitaban para plantar archivos de ransomware también se prestaban bien para exfiltrar datos y les permitían sortear los molestos archivos de copia de seguridad que se interponían entre ellos y el pago solicitado, es decir ahora con la evolución de ransomware pueden cifrar o bloquear la restauración de dichas copias. Además de cifrar los archivos de las víctimas, los ciberdelincuentes también los roban y luego amenazan con vender o divulgar públicamente los datos si la víctima no paga el rescate.

Los ataques de ransomware con un componente de extorsión se han disparado en popularidad desde que surgieron por primera vez a fines de 2019. Un estudio reciente de Coveware encontró que el 77% de los ataques de ransomware implican una amenaza de filtración de datos exfiltrados. Además, los ciberdelincuentes se están alejando del modelo de "encriptar y exfiltrar" hacia el de "exfiltrar y extorsionar". El prolífico grupo de ransomware REvil recientemente robó datos y esquemas de productos Apple inéditos y luego prometió venderlos si no recibían un rescate de 50 millones de dólares.

Se prevé que estos tipos de ataques aumenten en frecuencia debido a la preponderancia del "ransomware como servicio" (RaaS). RaaS permite a los ciberdelincuentes vender suscripciones a “soluciones” de ransomware de la misma manera que los desarrolladores legítimos venden productos SaaS benignos. Los desarrolladores de RaaS ganan dinero a través de comisiones de rescates exitosos. RaaS reduce drásticamente la barrera de entrada para el delito cibernético al brindar a todos, incluso a las personas con pocas o ninguna habilidad técnica, la capacidad de lanzar ataques de ransomware.

Los ataques de ransomware se dirigen a las pymes

Los ciberdelincuentes se dirigen cada vez más a las pequeñas y medianas empresas (PYMES), muchas de las cuales son proveedores de grandes empresas. Si bien las grandes empresas pueden permitirse reforzar sus defensas de seguridad contra los ataques, muchas pymes tienen un presupuesto limitado, lo que las convierte en "objetivos fáciles".

En 2019, las pymes representaron alrededor del 60% de los objetivos de ransomware. El estudio de Coveware encontró que el 77% de las víctimas de ransomware tienen 1000 empleados o menos, con servicios profesionales (especialmente bufetes de abogados), atención médica y organizaciones del sector público que representan casi la mitad de todos los objetivos.

Protección de su organización contra el ransomware de extorsión de nueva generación.

El informe encontró que casi la mitad de los ataques de ransomware comienzan con ciberdelincuentes que comprometen los servicios de protocolo de escritorio remoto (RDP), ya sea mediante el uso de credenciales robadas, adivinando contraseñas predeterminadas o comunes, o explotando vulnerabilidades sin parchear. El segundo vector de ataque más común, que representa un 25% adicional de los ataques, es el phishing por correo electrónico.

Esta es una buena noticia para las organizaciones, porque significa que la inmensa mayoría de los ataques de ransomware exitosos involucran credenciales de inicio de sesión robadas o adivinadas, que, por cierto, también representan más del 80% de las filtraciones de datos exitosas. Cualquier organización puede fortalecer drásticamente sus defensas de seguridad simplemente asegurando sus credenciales de usuario a través de una completa seguridad de contraseña y administración de identidad y autenticación (IAM).

Aquí hay cinco pasos a seguir ahora mismo:

1. Implemente una arquitectura de seguridad de confianza cero, donde todos los usuarios, humanos y máquinas, sean verificados y autenticados antes de que se les permita acceder a los recursos de la organización.

Después de haber ganado popularidad durante años, la confianza cero se está disparando ahora debido al trabajo remoto generalizado. Con fuerzas de trabajo distribuidas que se conectan desde múltiples dispositivos y ubicaciones, la confianza cero es el único modelo que garantiza que todos los que inician sesión en la red de la organización sean quienes dicen ser.

2. Exija que los empleados utilicen contraseñas únicas y seguras para cada sitio web y aplicación. Esto protege a la organización contra las infracciones causadas por contraseñas débiles y fáciles de adivinar.

3. Exigir el uso de autenticación multifactor (2FA) en todas las cuentas que lo admitan. Incluso si un ciberdelincuente logra hacerse con una contraseña que funcione, sin el segundo factor de autenticación, será inútil.

4. Implemente una plataforma de cifrado y seguridad de contraseñas de nivel empresarial en toda la organización. Las plataformas de nivel empresarial son más robustas que los administradores de contraseñas de nivel de consumidor. Si bien ambos tipos de soluciones generan y almacenan automáticamente contraseñas sólidas y únicas, y completan automáticamente las credenciales de inicio de sesión en sitios web y aplicaciones, las soluciones de nivel empresarial tienen características adicionales que permiten a los administradores de TI hacer cumplir las políticas de seguridad de contraseñas en toda la empresa.

5. Empareje la plataforma de cifrado y seguridad de contraseñas con una solución de monitoreo de la web oscura. Estas soluciones escanean foros de la web oscura y notifican a las organizaciones si alguna contraseña de la empresa se ha visto comprometida. Esto permite a los administradores de TI forzar el restablecimiento de contraseñas de inmediato, minimizando el riesgo de que los ciberdelincuentes tengan tiempo de usarlos para violar los sistemas de la empresa, exfiltrar datos y plantar malware.

El ransomware está evolucionando agresivamente y las organizaciones deben ser agresivas para combatirlo. Dado que la mayoría de los ataques de ransomware involucran credenciales de inicio de sesión robadas, las organizaciones que implementan una seguridad de contraseña integral, junto con un modelo de seguridad de confianza cero e IAM, tienen muchas menos probabilidades de ser víctimas.