Un reciente ataque de ransomware que alcanzó a una filial ubicada en Chile habría dejado más de un terabyte de información en manos de ciberdelincuentes. Especialista explica por qué el peligro puede continuar incluso después de recuperar los sistemas.
Nombre, correo electrónico, número de teléfono, contratos, documentos de identidad y credenciales de acceso forman parte de la información que una empresa puede almacenar sobre sus trabajadores, proveedores y clientes. Cuando esa organización sufre un ciberataque, las consecuencias también pueden llegar directamente a las personas.
Un reciente caso conocido en Chile involucró a una multinacional cuya filial en Quilicura fue alcanzada por un ataque de ransomware. Según los propios delincuentes, más de un terabyte de información habría sido sustraído para posteriormente exigir un pago a cambio de no divulgarla.
A diferencia de otros ataques que solamente bloquean los sistemas, la denominada doble extorsión combina el secuestro de archivos con el robo de información. Aunque la empresa consiga restablecer sus operaciones, los datos extraídos pueden utilizarse posteriormente para realizar fraudes, suplantaciones de identidad o campañas de engaño mucho más creíbles.
“Después de una filtración, el delincuente puede conocer el nombre de la persona, la empresa con la que mantiene una relación e incluso algún trámite reciente. Por eso, el correo o mensaje fraudulento deja de parecer genérico y puede resultar mucho más convincente”, explica César Alcacibar, experto en ciberseguridad y fundador de vZion Cloud.
Las primeras medidas
Si una empresa informa que sufrió un incidente o existen antecedentes de una posible exposición, las personas potencialmente afectadas deberían:
- Cambiar la contraseña del servicio comprometido y de cualquier otra cuenta donde se repita.
- Cerrar las sesiones abiertas y activar la autenticación de doble factor.
- Revisar movimientos bancarios, cambios de claves y solicitudes de recuperación de cuentas.
- Desconfiar de mensajes que exijan actuar rápidamente, aunque incluyan datos personales correctos.
- No abrir enlaces ni archivos enviados supuestamente por la empresa sin verificar su origen.
- Guardar capturas, correos y antecedentes de cualquier intento de fraude posterior.
Alcacibar advierte que cambiar únicamente la contraseña puede ser insuficiente si el atacante obtuvo documentos, correos internos o información que permita responder preguntas de seguridad y suplantar al titular frente a otras instituciones.
“El dato robado no pierde valor cuando termina el ataque. Puede circular durante meses y ser combinado con información obtenida desde otras filtraciones. La vigilancia tiene que mantenerse incluso cuando la empresa comunica que sus sistemas ya volvieron a funcionar”, señala.
Recuperar archivos no significa protegerlos
Para las organizaciones, mantener respaldos separados y actualizados permite recuperar información y reducir la interrupción de sus operaciones. Sin embargo, un respaldo no evita que los archivos previamente extraídos sean divulgados o utilizados con fines delictivos.
“Respaldar y proteger son tareas complementarias. El respaldo permite recuperar la operación, mientras que la seguridad debe impedir accesos indebidos, detectar movimientos anómalos y limitar la cantidad de información a la que puede llegar una cuenta comprometida”, precisa el fundador de vZion Cloud.
Además de contener el ataque, las compañías necesitan determinar qué información fue alcanzada y comunicar el incidente de forma comprensible. Mensajes vagos como “detectamos actividad inusual” no permiten que clientes o trabajadores conozcan su nivel de exposición ni adopten medidas proporcionadas.
“Las personas necesitan saber qué ocurrió, qué datos podrían estar involucrados y qué deben hacer. Guardar silencio para proteger la reputación puede terminar ampliando el daño, porque deja a los afectados expuestos a una segunda etapa del fraude”, concluye Alcacibar.
