Cómo funciona la negociación de ransomware, y cómo un negociador traicionó a sus propios clientes

Un negociador de ransomware contratado para representar a víctimas fue condenado a seis años de prisión tras colaborar en secreto con los atacantes para ayudar a extorsionar cantidades mayores a sus propios clientes. Los fiscales declararon ante el tribunal que el acusado "vendió a las mismas víctimas que había sido contratado para representar".

La negociación de ransomware se ha convertido en los últimos años en una industria de rápido crecimiento pero en gran medida no regulada. Cuando una empresa sufre un ataque de ransomware, normalmente recurre a un negociador externo especializado, que se comunica con los atacantes para intentar reducir el importe del rescate, gestionar el proceso de pago y, cuando es posible, conseguir la devolución de los datos robados.

Este proceso suele ser una negociación extremadamente sensible y confidencial. Los negociadores actúan como especialistas capaces de comunicarse directamente con los atacantes, gestionar transferencias en criptomonedas y dirigir el proceso de forma que se proteja la reputación de la víctima. Debido a la naturaleza de este papel, los negociadores acceden a información altamente sensible sobre la identidad, las técnicas y las exigencias de los atacantes.

En este caso, se determinó que el acusado abusó de ese acceso. Según los documentos judiciales, el acusado filtraba a los atacantes información sobre la cantidad máxima que sus clientes podían permitirse pagar, lo que permitía a los atacantes ajustar sus exigencias de rescate con mayor eficacia. A cambio, el acusado recibía una parte del rescate cobrado.

Según los expertos, este caso pone al descubierto una debilidad fundamental del sector: no existe ningún mecanismo formal de certificación o supervisión que permita verificar la fiabilidad de un negociador. Las empresas que atraviesan una crisis se ven en gran medida obligadas a elegir un negociador basándose en su reputación y en recomendaciones de boca en boca.

Esta falta de rendición de cuentas también es motivo de preocupación para otros actores del sector. Algunos expertos en ciberseguridad señalan que el contacto regular de los negociadores con los atacantes puede, con el tiempo, crear condiciones en las que algunos negociadores desarrollen relaciones cercanas, incluso sospechosas, con grupos de atacantes.

El caso también ilustra lo complejo que se ha vuelto el ecosistema de la industria del ransomware en general. En un ecosistema formado por atacantes, negociadores, aseguradoras y expertos forenses, los intereses financieros de cada actor a veces pueden solaparse, lo que agrava los riesgos derivados de la falta de transparencia y supervisión.

Los fiscales afirmaron que esperan que la condena del acusado sirva de advertencia para el sector. Las autoridades señalan que casos similares ya habían sido vistos con sospecha, pero que este caso se encuentra entre las primeras condenas firmes respaldadas por pruebas concretas.

Los expertos sugieren que las empresas ahora deben realizar una diligencia debida mucho más rigurosa a la hora de elegir un negociador. Algunas aseguradoras han comenzado a ofrecer a sus asegurados listas de negociadores previamente examinados y con antecedentes verificados, lo que se considera un paso hacia una solución parcial del problema de confianza.

Este caso ilustra una vez más lo frágil que resulta la confianza como forma de capital en el mundo de la ciberseguridad. Una empresa ya vulnerable a un ataque puede acabar siendo explotada por segunda vez por la misma persona que contrató para protegerla, una señal de que el sector necesita mucha más transparencia de cara al futuro.