Los ataques de ransomware en el sector público se han vuelto cada vez más habituales en los últimos años, siendo los organismos gubernamentales, las organizaciones sanitarias y las instituciones educativas objetivos frecuentes. Sin embargo, el sector público siempre ha sido un objetivo para los ciberdelincuentes decididos a robar datos y causar daños. Así lo confirma Verizon en su Informe de Investigaciones sobre Fugas de Datos de 2020 (DBIR), en el que se señala que la administración pública es uno de los sectores más atacados y que el ransomware es el tipo de ataque más frecuente. Un informe de Darktrace coincide con esta afirmación y señala que, en 2020, «las administraciones locales fueron el principal objetivo de los ataques de ransomware».
El ransomware es un tipo de malware peligroso e insidioso cuya presencia es cada vez más frecuente en todos los sectores. Los delincuentes que están detrás de este malware también se están volviendo cada vez más hábiles a la hora de exigir un rescate, no solo cifrando los datos, sino también robándolos. En este artículo, analizamos el impacto que el ransomware está teniendo en el sector público y qué medidas se pueden adoptar para mitigar dicho impacto.
Por qué el sector público corre el riesgo de sufrir ataques de ransomware
Puede resultar difícil obtener información sobre el verdadero alcance de los ciberataques en las administraciones públicas. Sin embargo, ya en 2019, la empresa de seguridad SolarWinds presentó una solicitud en virtud de la Ley de Libertad de Información. Los datos obtenidos revelaron algunas conclusiones interesantes: mientras que alrededor de un tercio de los encuestados no había sufrido ningún ciberataque, un número cada vez mayor había sufrido más de 1 000 ataques dirigidos.
La mayoría de estos ataques se produjeron mediante técnicas de phishing y malware. Esto ocurrió a pesar de que se habían implantado medidas tradicionales de ciberseguridad, como cortafuegos y programas antivirus. El estudio pone claramente de manifiesto que el sector público se encuentra en el punto de mira de los ciberdelincuentes y que el ransomware, al ser uno de los tipos de malware más utilizados en la actualidad, supone una grave amenaza para dicho sector.
Los recientes ataques de gran repercusión, como el ataque con ransomware contra la empresa de servicios públicos Colonial Pipeline en EE. UU., ponen de manifiesto hasta dónde llegan las bandas de ransomware. En este ciberataque, no solo se impidió el acceso a los datos mediante su cifrado —lo que provocó la interrupción de las operaciones—, sino que además se sustrajeron y se utilizaron como moneda de cambio para ejercer presión con el fin de que se pagara el rescate.
Un informe de IBM X-Force reveló que el 59 % de los incidentes de ransomware implicaron la sustracción de datos antes de que se produjera el cifrado. Colonial Pipeline constituía un objetivo idóneo para el ransomware, ya que desempeña una función de infraestructura crítica. Del mismo modo, los sectores de servicios públicos constituyen una infraestructura crítica, ya que prestan importantes servicios a los ciudadanos que dependen de los datos: este aspecto no pasa desapercibido para las bandas de ransomware.
Los servicios públicos, como los distritos escolares, las instituciones sanitarias e incluso los ayuntamientos, son todos objetivos de los autores de ataques de ransomware. Un ataque reciente afectó al sistema sanitario de Irlanda. El ataque, que se sospecha que fue perpetrado por una banda de piratas informáticos conocida como Wizard Spider, dejó a los hospitales sin ordenadores durante más de una semana.
De forma similar al ataque contra Colonial Pipeline, los piratas informáticos cifraron los datos y robaron grandes cantidades de información para aumentar la presión con el fin de que se pagara el rescate de 20 millones de dólares (14 millones de libras esterlinas). En 2020, un ataque de ransomware que afectó al ayuntamiento de Redcar y Cleveland acabó costándole a este organismo unos 10 millones de libras esterlinas: los costes incurridos incluyeron el tiempo de inactividad y la reducción de los ingresos procedentes de las multas.
El «ransomware como servicio» en el sector público
El sector público abarca una amplia gama de tipos de organizaciones, desde la sanidad hasta los ayuntamientos, pasando por los responsables políticos y los centros educativos. Por lo tanto, el sector público ofrece a los autores de amenazas diversas oportunidades, no solo para causar trastornos y extorsionar, sino también para sustraer datos.
Lindy Cameron, directora ejecutiva del Centro Nacional de Ciberseguridad (NCSC) del Reino Unido, afirmó recientemente en un discurso pronunciado en la (RUSI), que el aumento de los ataques de ransomware se debía a un «efecto acumulativo», ya que las organizaciones no lograban hacer frente a la sofisticación cada vez mayor de dichos ataques.
Las organizaciones del sector público corren el riesgo de sufrir estos ataques más sofisticados, entre los que se incluye el «ransomware como servicio» (RaaS). Estos «kits» de ransomware facilitan enormemente la creación de campañas de ransomware. Cualquier persona que desee participar en el negocio del ransomware puede hacerlo a cambio de una cuota mensual y una parte del rescate.
En su discurso, la Sra. Cameron señala que el modelo RaaS está impulsando el aumento de los ataques de ransomware. De estos kits RaaS, algunos están diseñados específicamente para atacar al Gobierno y al sector público. Un ejemplo es Eking RaaS, identificado por Darktrace como un kit utilizado para atacar servicios gubernamentales en la región de Asia-Pacífico.
Cómo proteger al sector público frente a los ataques de ransomware
El DBIR señala que en el 85 % de las filtraciones de datos interviene un ser humano. El factor humano es evidente en muchos tipos de ciberataques, incluido el ransomware; un clic erróneo en un correo electrónico malicioso suele ser el comienzo de la pesadilla del ransomware.
Dado que los autores de ataques de ransomware se centran tanto en el robo de datos como en su cifrado, el «factor humano» cobra cada vez más importancia como vía de acceso a una organización. El phishing es uno de los vectores de ataque preferidos de los piratas informáticos porque funciona. En el último informe DBIR de 2021, Verizon señala que el phishing y el ransomware volvieron a ser predominantes; en lo que respecta a los ataques contra la administración pública, la ingeniería social es la técnica preferida, utilizada en el 69 % de las brechas de seguridad.
La distribución y la infección por ransomware se producen a través de diversas vías, pero, como ya se ha mencionado, el phishing es una de las más habituales. Una encuesta realizada a partir de datos de servicios gestionados reveló que el 54 % de los ataques de ransomware se iniciaron con un correo electrónico de phishing: las malas prácticas de los usuarios (27 %) y la falta de formación en materia de seguridad (26 %) fueron los siguientes problemas más habituales que provocaron la infección por ransomware.
Prevención de ataques de ransomware en el sector público
La prevención del ransomware en el sector público consiste en reducir el riesgo. El riesgo de seguridad se reduce mediante un enfoque sociotécnico; de forma muy similar a como los piratas informáticos atacan al sector público y a otros sectores utilizando la ingeniería social y las vulnerabilidades técnicas.
La reducción de los principales vectores de infección por ransomware comienza con una cultura de seguridad excepcional. Esto se consigue impartiendo una formación eficaz en materia de concienciación sobre seguridad a todo el personal. A ello se suma el uso de las mejores herramientas de seguridad disponibles, que cumplen los requisitos de las normas y regulaciones de seguridad, como la ISO 27001.
Los ataques de ransomware en el sector público seguirán produciéndose mientras las organizaciones sigan sufriendo infecciones y sigan pagando el rescate. En sectores que dependen de los datos, como el público y el gubernamental, esta última puede ser una decisión difícil de tomar. Esto significa que es necesario establecer medidas para reducir las posibilidades de que se produzca una infección de ransomware con éxito.