El Ransomware en 2024: Últimas tendencias, amenazas crecientes y respuesta de los gobiernos

El 1 de octubre de 2024, la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos, en colaboración con el Reino Unido y Australia, sancionó a siete personas y dos entidades relacionadas con el grupo cibercriminal ruso Evil Corp.

Dirigida por Maksim Viktorovich Yakubets, Evil Corp ha sido una presencia notoria en el mundo de la ciberdelincuencia desde 2009, cuando desarrolló por primera vez el malware Dridex, utilizado para robar credenciales bancarias y llevar a cabo fraudes financieros. A lo largo de los años, las operaciones de ransomware de Evil Corp han afectado a más de 40 países y causado pérdidas financieras superiores a los 100 millones de dólares, afectando especialmente a la sanidad, los servicios financieros y las infraestructuras críticas.

{{infocard-ransomwarein2024-1}}

Aunque las acciones contra Evil Corp, que coincidieron con la cumbre de la Iniciativa contra el Ransomware celebrada en Estados Unidos -un acontecimiento internacional que reúne a más de 50 países para hacer frente a la amenaza mundial ransomware ransomware-, constituyeron una victoria muy necesaria para la aplicación de la ley a escala mundial, en el último año hemos asistido a un aumento espectacular del tamaño y la escala de los ataques de ransomware .

Aumenta la frecuencia y sofisticación de los ataques de ransomware en 2024

En 2024, los ataques de ransomware aumentaron drásticamente, tanto en frecuencia como en sofisticación. Los ciberdelincuentes se han dirigido cada vez más a sectores de alto valor, como las infraestructuras críticas, la sanidad, las telecomunicaciones y los servicios financieros. 

Para ponerlo en perspectiva, en julio vimos 60 ataques revelados públicamente, un58% más que en 2023. Y en agosto, vimos 63 ataques divulgados públicamente, el mayor número de ataques en agosto registrado. El 30% de los ataques de agosto fueron específicamente contra el sector sanitario.

En 2024, los pagos y demandas de ransomware alcanzaron niveles sin precedentes. En la primera mitad de 2024, la demanda media de extorsión por ataque de ransomware superó los 5,2 millones de dólares. Esta cifra incluye el pago récord de 75 millones de dólares realizado por las víctimas en marzo de 2024. 

No solo se han acelerado los pagos. Los propios ataques son más complejos que nunca, gracias a la proliferación de nuevas cepas de Ransomware, técnicas de ataque avanzadas y la rápida expansión Ransomware(RaaS).

La criptomoneda sigue siendo la forma de pago dominante en estos ataques, lo que permite a los ciberdelincuentes recibir pagos de forma anónima y ejecutar transacciones transfronterizas. Aunque se han intensificado los esfuerzos de las fuerzas de seguridad para rastrear estos pagos, los grupos de ransomware siguen evolucionando sus métodos para eludir la detección.

{{blogad-ransomwaresummer-blog-1}}

Ataques de ransomware de alto perfil en 2024

Varios incidentes importantes de ransomware en 2024 ejemplifican la escalada de la amenaza. En junio, el grupo de ransomware BlackSuit atacó a CDK Global, un importante proveedor de software para concesionarios de automóviles, interrumpiendo las operaciones en miles de concesionarios de Norteamérica. Los atacantes exigieron 387 Bitcoin (unos 25 millones de dólares), aunque los fondos no se recuperaron. Este ataque ilustra cómo el ransomware puede perturbar gravemente las operaciones a gran escala y las cadenas de suministro vitales.

En septiembre, el grupo de piratas informáticos ShinyHunters accedió a los sistemas de AT&T, robó millones de registros de llamadas de clientes y exigió un rescate de 5,72 Bitcoin (unos 373.000 dólares). Aunque se pagó el rescate, los fondos se blanquearon rápidamente a través de múltiples intercambios de criptomonedas, lo que complicó los esfuerzos de recuperación de las fuerzas de seguridad.

Otro incidente importante se produjo a principios de año, cuando el grupo de ransomware AlphV (BlackCat) atacó Change Healthcare, un actor clave en el sistema sanitario estadounidense. El ataque interrumpió los servicios de farmacia y los sistemas hospitalarios de todo el país, y los atacantes exigieron un rescate de 22 millones de dólares. Este caso demostró la vulnerabilidad del sector sanitario a los ataques de ransomware .

Ransomware(RaaS) y su creciente impacto

La aparición de RaaS ha transformado radicalmente el panorama del ransomware . Este modelo permite a desarrolladores experimentados vender herramientas de ransomware a afiliados menos cualificados, que llevan a cabo los ataques. Los afiliados suelen quedarse con hasta el 80% del rescate, mientras que el resto va a parar a los desarrolladores. 

Este modelo de negocio ha hecho que el ransomware sea más accesible y rentable que nunca. Uno de los grupos de RaaS más prolíficos, LockBit, ha sido responsable de miles de ataques en todo el mundo, acumulando más de 200 millones de dólares en pagos de rescates en Bitcoin desde 2022. A pesar de los esfuerzos de las fuerzas de seguridad, como la Agencia Nacional contra el Crimen del Reino Unido que interrumpió la infraestructura de LockBit, los grupos de ransomware continúan adaptándose y evolucionando.

Tácticas de doble y triple extorsión

Los atacantes Ransomware también han empezado a emplear tácticas de extorsión más agresivas. En la doble extorsión, los atacantes no solo cifran los datos, sino que también roban información sensible, amenazando con liberarla a menos que se pague el rescate. 

La triple extorsión va un paso más allá al dirigirse a terceros, como clientes o socios comerciales, para aumentar la presión sobre la víctima para que cumpla las exigencias del rescate. Estas tácticas añaden niveles adicionales de complejidad y riesgo a los ataques de ransomware , haciendo más probable que las víctimas paguen para evitar daños reputacionales o legales.

El papel de la criptomoneda en las operaciones de ransomware

Las criptomonedas siguen siendo fundamentales en las operaciones de ransomware , ya que ofrecen a los delincuentes una forma de exigir y recibir pagos ocultando su identidad. Aunque Bitcoin domina el pago de rescates, los autores ransomware ransomware también han recurrido a monedas privadas como Monero.

Los delincuentes también han adoptado técnicas de blanqueo más sofisticadas, como el salto de cadena, que consiste en mover fondos a través de diferentes blockchains para eludir la detección. Estas estrategias dificultan cada vez más a las fuerzas de seguridad el rastreo y la recuperación de los fondos robados.

{{infocard-ransomwarein2024-2}}

Técnicas de blanqueo utilizadas por los grupos de ransomware

Los operadores Ransomware utilizan varios métodos avanzados para blanquear fondos ilícitos. Las peel chains consisten en mover pequeños incrementos de fondos a través de una serie de monederos intermediarios para ocultar la fuente original. Los mezcladores, otra herramienta habitual, combinan criptomonedas de varios usuarios, lo que dificulta el seguimiento de las transacciones individuales.

Además, los delincuentes recurren cada vez más al blanqueo entre cadenas, que aprovecha las plataformas de financiación descentralizadaDeFi) para convertir los fondos robados en diferentes cadenas de bloques. Estos métodos de blanqueo complican aún más los esfuerzos de las fuerzas de seguridad para rastrear el flujo de fondos.

{{blogad-comradesincrime-report-1}}

Respuesta global a la amenaza del ransomware

Los gobiernos y las fuerzas de seguridad de todo el mundo han intensificado sus esfuerzos para combatir el ransomware, centrándose tanto en interrumpir las operaciones de ransomware como en evitar los pagos a los atacantes. La Iniciativa Internacional contra Ransomware ransomware (CRI, por sus siglas en inglés), liderada por la Casa Blanca, ha fomentado la cooperación internacional, y 40 países firmaron un compromiso en octubre de 2023 para no pagar nunca rescates a los ciberdelincuentes. Esta iniciativa tiene como objetivo reducir los incentivos financieros que impulsan los ataques de ransomware atacando la infraestructura criminal que apoya estas operaciones.

El Departamento del Tesoro de EE.UU. también ha tomado medidas sancionando a bolsas de criptomonedas, como Suex y Chatex, por facilitar pagos de ransomware . Estas bolsas han sido incluidas en la lista negra por procesar fondos ilícitos vinculados a grupos de ransomware .

Un gran éxito se produjo en febrero de 2024, cuando las autoridades estadounidenses, británicas y europeas colaboraron para desbaratar la infraestructura de LockBit, un importante grupo de ransomware que había extorsionado más de 200 millones de dólares en Bitcoin desde 2022. Esta cooperación internacional supuso una importante victoria en la lucha mundial contra el ransomware.

Amenazas tecnológicas emergentes en las operaciones de ransomware

Se espera que los operadores de Ransomware aprovechen cada vez más las nuevas tecnologías para mejorar la eficacia y el impacto de sus ataques. La inteligencia artificial (IA) se está utilizando para automatizar las campañas de ransomware , lo que permite a los delincuentes elaborar correos electrónicos de phishing más convincentes, identificar vulnerabilidades en los sistemas de manera más eficiente y optimizar la entrega del ransomware . A medida que las herramientas de IA se vuelven más avanzadas, las organizaciones pueden tener más dificultades para detectar y prevenir estos ataques.

El auge de las cadenas de bloques de alto rendimiento -que pueden procesar miles de transacciones por segundo- representa otro reto para las plataformas de Inteligencia en Blockchain . Los delincuentes pueden utilizar estas redes más rápidas para mover fondos más rápidamente, dando a las fuerzas de seguridad menos tiempo para rastrear las transacciones ilícitas en tiempo real.

Además, se espera que los grupos de ransomware exploten las vulnerabilidades de las plataformas DeFi y los smart contracts. Estas tecnologías, que sustentan gran parte de la criptoeconomía, ofrecen nuevas oportunidades a los ciberdelincuentes para desviar fondos o exigir el pago de rescates mediante la explotación de protocolos DeFi .

Perspectivas de futuro: Estrategias para acabar con el ransomware

La sofisticación y persistencia de los grupos de ransomware seguirá planteando retos a las fuerzas de seguridad y a los expertos en ciberseguridad. Sin embargo, varias estrategias son esenciales para desbaratar estas operaciones.

Las asociaciones público-privadas desempeñarán un papel fundamental en el seguimiento de los pagos de rescates y el desmantelamiento de la infraestructura del ransomware . Empresas como TRM Labs están ayudando a rastrear las transacciones ilícitas de criptomonedas y a identificar a los principales implicados en las operaciones de ransomware , proporcionando valiosa información a las fuerzas de seguridad.

También es probable que los gobiernos apliquen normativas de ciberseguridad más estrictas, sobre todo para los proveedores de infraestructuras críticas y las empresas privadas. Políticas como la Cybersecurity Act de la UE y la CISA Cybersecurity Advisory de Estados Unidos están estableciendo nuevas normas de ciberseguridad, con el objetivo de mitigar la amenaza del ransomware mediante la aplicación de protecciones más estrictas.

Los sectores de alto riesgo -incluidos el sanitario y el financiero- deben adoptar medidas de ciberseguridad más proactivas, como desplegar una protección avanzada de los endpoints, aplicar parches con regularidad e impartir formación exhaustiva a los empleados sobre concienciación en materia de ciberseguridad. Adoptando estas medidas, las organizaciones pueden reducir su vulnerabilidad a los ataques de ransomware .

A medida que evolucionan los grupos de ransomware , el desarrollo continuo de defensas sofisticadas, marcos normativos más sólidos y una colaboración internacional inquebrantable serán esenciales para mitigar la creciente amenaza del ransomware . La actual oleada de ataques nos recuerda que, aunque se han hecho progresos, la lucha contra el ransomware está lejos de haber terminado, y las partes interesadas de todos los sectores deben permanecer vigilantes.