Con pocas opciones, las empresas pagan silencio a los ladrones de datos

Hay un nuevo ángulo inquietante para los ataques cibernéticos que se ha vuelto más común durante el último año, y está resultando costoso para las organizaciones: extorsión.

Durante el último año, las compañías a veces han pagado más de US $ 1 millón en dinero secreto a los ciberatacantes que han robado sus datos confidenciales y amenazaron con divulgarlos en línea, dijo Charles Carmakal, vicepresidente de Mandiant, la unidad de análisis forense de FireEye, en una entrevista el miércoles.

"Aquí es donde un adversario humano ha apuntado deliberadamente a una organización, ha robado datos, ha revisado esos datos y comprende su valor", dijo Carmakal. "Hemos visto pagos de siete cifras de organizaciones que temen que se publiquen esos datos".

Mandiant describió tales ataques en un nuevo informe que emitió el jueves, diciendo que en algunos casos, los ejecutivos también se han burlado de los hackers..

Los ataques de extorsión son más sofisticados que el llamado ransomware como Cryptolocker, el malware que encripta los archivos de una computadora y donde el pago está en bitcoin.

Si bien los ataques de ransomware pueden ser devastadores en su franqueza, el pago exigido generalmente es de unos cientos de dólares, aunque algunos ataques han logrado extraer mucho más.

Sin embargo, los ataques de extorsión son mucho más meticulosos y podrían ser potencialmente más dañinos, especialmente para una gran empresa. Carmakal dijo que algunos de los datos, si se revelan públicamente, podrían potencialmente llevar a una empresa a la quiebra..

Entonces "la realidad es que mucha gente está pagando", dijo.

Para Mandiant, que ha investigado grandes violaciones de datos en Target, Home Depot y Anthem, puede ser difícil aconsejar a una organización sobre qué medidas tomar, dijo Carmakal..

Los atacantes a menudo no dan mucho tiempo para permitir una revisión forense completa para determinar si los piratas informáticos están mintiendo. Y hay falsificadores que buscan un pago fácil.

"Lo que necesitamos es una prueba de que alguien realmente tiene acceso a los datos", dijo Carmakal. "Hacemos que envíen una muestra, o hacemos una investigación lo más rápida posible".

Si los artefactos forenses revelan que alguien ha estado escabulléndose, la siguiente es una decisión muy difícil: incluso si una empresa paga, no hay garantía de que los atacantes no divulguen los datos de todos modos..

"Hay absolutamente un riesgo en no pagar, y hay un riesgo en pagar", dijo Carmakal. "El objetivo de todos es pagar el rescate, y los atacantes se van y eliminan datos, pero nunca obtendrás la confirmación de que quieres que los atacantes hayan eliminado los datos".

Únase a las comunidades de Network World en Facebook y LinkedIn para comentar temas que son lo más importante.