Caso de estudio: Wannacry, Telefónica en 2017
Un caso altamente mediático fue el ocurrido a Telefónica España el año 2017. El día 12 de
mayo de ese año, y mientras Chema Alonso –white-hat hacker, ex-jefe de seguridad y actual
CDCO de Telefónica– se encontraba de vacaciones, ocurrió lo peor. Las máquinas de gran parte
de la empresa sucumbieron, una por una, a una pantalla roja y gris solicitando rescate. El
“secuestro virtual” de Telefónica, con un claro culpable: Wannacry.
Este malware, que se presume habría nacido de las mentes del Grupo Lazarus (Lazarus Group)
en Corea del Norte, se aprovechó de un exploit o vulnerabilidad llamada EternalBlue. Dicha
vulnerabilidad afectaba al protocolo SMB (Server Message Block) en equipos Windows, y había
sido descubierta por la NSA, nunca reportada, y luego nuevamente descubierta por Microsoft
dos meses antes del ataque.
Asimismo, Wannacry contenía una herramienta de backdoor llamada DoublePulsar, la que le
daba la posibilidad de instalarse y luego replicarse en otros equipos en la red igual de
vulnerables. Es así como al encender dichas máquinas Wannacry podía instalarse sin
problemas, solicitando cifras cercanas a los 200 BTC, lo que equivale actualmente a más de dos
millones de dólares.
Wannacry golpeó a todo el mundo en una escala sin precedentes. Según cifras de Europol, más
de doscientas mil máquinas fueron afectadas en más de 150 países. Sin embargo, el golpe a
Telefónica causó un impacto profundo al otro lado del Atlántico, ya que la empresa española
tiene una serie de subsidiarias en Latinoamérica, las que también vieron interrumpidos sus
servicios durante días. El caso puso la palabra “ransomware” en el acervo de ciberseguridad
latinoamericano, y con justa razón.
Las consecuencias de un ataque de Ransomware
Un ataque de Ransomware trae consigo una multitud de problemas, muchos de ellos
compartidos con el resto de las vulnerabilidades conocidas. Sin embargo, la magnitud y
gravedad de los ataques es especialmente dañina para ciertos sectores de nuestras
organizaciones.
Interrumpe la continuidad del negocio. Un ataque de ransomware inutiliza de manera
inmediata a un número determinado de equipos. Asimismo, al tratar de contener el
accionar de los ciberdelincuentes la respuesta lógica es apagar el resto de los equipos, lo
que debilita aún más la continuidad de trabajo y negocio de cualquier organización.
Puede significar una pérdida económica importante. En gran parte de los casos, las
empresas que se ven envueltas en ataques de ransomware suelen ceder ante la presión y
pagar los rescates solicitados por los criminales. Al mismo tiempo, el proceso de
recuperación puede ser complicado, y la reparación y/o contratación de especialistas es
costosa.
Archivos clave del negocio pueden perderse. De no lograr recuperar satisfactoriamente los
archivos cifrados, o al sufrir el ataque de un ransomware peligroso e irreversible, es
posible perder dichos archivos sin solución.
Disminuye la confianza en la organización. Ser vulnerado suele ser indicativo de una falla
en los procesos de seguridad, por lo que todo ataque informático trae como consecuencia
desconfianza a nivel externo e interno. Esto se hace extensivo a los usuarios de nuestras
plataformas, potenciales clientes que ven con malos ojos una intrusión, e incluso a
nuestros propios empleados.
Puede ser la puerta de entrada para otro tipo de ataques. Cuando los cibercriminales
encuentran una puerta abierta, el ransomware no es lo único que implementan. De hecho,
muchas herramientas de este estilo son complejas y pueden abrir el camino a ataques de
fuerza bruta con datos obtenidos de phishing, el compromiso de otros equipos en la red o
más malware.
Cómo prevenir un ataque de Ransomware
Con pasos estrictos pero sencillos, es posible mitigar en gran parte el riesgo de un ataque de
ransomware en nuestra organización.
Mantener los equipos y sistemas operativos actualizados
El consejo más importante de todos. Las actualizaciones periódicas son imprescindibles en
un mundo tecnológico cada vez más veloz. Asimismo, estar atento a los parches de
software o a las vulnerabilidades críticas en aplicaciones de infraestructura permite tener
la vara alta en caso de intrusión.
Filtrar, analizar o prohibir los archivos adjuntos
El correo electrónico es un vector de ataque importante. Debido a aquello, se hace cada
vez más preciso educar sobre lo peligroso de abrir archivos de orígenes desconocidos,
pues pueden contener malware.
También es una obligación instalar sistemas de filtrado o de análisis de archivos adjuntos,
complementarios a las soluciones antimalware que ya puedas tener instalada.
Crear y mantener sistemas de persistencia o copias de seguridad
Si tus archivos están seguros en un lugar no infectado por el ransomware, los
cibercriminales pierden toda ventaja sobre ti. Sólo asegúrate de no dejar vulnerables
dichas copias de seguridad.
No pagar el rescate al ser atacado
El objetivo principal detrás de los ataques de ransomware es monetario. Al pagar, le
entregas ventaja al hacker y lo instas a delinquir nuevamente, sin contar con la dificultad
de conseguir criptomonedas para financiar el rescate. Además, existen muchas
herramientas –basadas en ransomware exitoso– que ayudan en el proceso de descrifrado
de manera totalmente gratuita.
Si por otro lado el ataque es muy complejo, es una mejor idea asesorarse por una empresa
de respuesta en tiempo real a ataques de ransomware. Estas empresas son capaces de
negociar y pagar directamente a los atacantes, mientras buscan una solución que no
impacte en la continuidad del negocio.
Link: https://preyproject.com/blog/es/ransomware-por-que-es-una-amenaza-grave-para-la-
ciberseguridad/
