Si sigue exactamente las recomendaciones descritas en este artículo, nunca tendrá que pagar un rescate, siempre recuperará sus datos y minimizará las interrupciones a un período que esté dispuesto a aceptar.
Algunos datos interesantes
• Cada día se denuncian en la República Checa 20 delitos relacionados con ciberataques.
• En los últimos 3 años, el número de ataques se ha duplicado.
• Cada año, de media, se paga un 25 % más por un ataque.
• Solo algunas organizaciones se preparan para un ataque con antelación. Las demás esperan.
• La pregunta no es si llegará un ataque, sino cuándo llegará.
Qué es el ransomware
El ransomware es código malicioso (malware) creado con el fin de enriquecer al atacante. Funciona mediante la extorsión de usuarios. Los usuarios afectados se ven obligados a pagar para recuperar el acceso (descifrar sus propios datos).
Cómo funciona el ransomware
En cuanto el ransomware se infiltra en un ordenador o una red informática, cifra todos los datos de los discos locales, discos externos, almacenamientos de red, NAS y también los datos de otros equipos. Gracias a protocolos vulnerables (normalmente a través de sistemas sin actualizar), el ransomware puede llegar incluso a lugares de la red y dispositivos que, por lo demás, están muy bien protegidos y normalmente son inaccesibles. También es muy peligroso que el cifrado no tenga que comenzar inmediatamente después de la infección, sino tras un cierto tiempo. Una vez cifrados todos los datos, el atacante exige un rescate. Normalmente aparece en los monitores de los equipos afectados una solicitud para pagar una determinada cantidad dentro de un plazo concreto y comienza una cuenta atrás (por ejemplo, pague 5 Bitcoin en 72 horas a una determinada cuenta de Bitcoin). Si se convierte en víctima de un ataque de ransomware y pierde todos los datos, sistemas y copias de seguridad, no queda otra opción que pagar el rescate. Tras el pago del rescate, los atacantes deberían enviar una clave de descifrado. Después de introducirla, debería producirse el descifrado de sus datos y, por tanto, su restauración a su estado original.
¿Por qué hay tanto ransomware ahora y se oye hablar de él en todas partes?
Sencillamente porque funciona y es una forma muy fácil de ganar dinero de manera ilícita. Mientras que antes los atacantes de ransomware exitosos procedían de las filas de programadores muy buenos, con un carácter suficientemente corrupto como para enriquecerse de esta manera, hoy basta con tener ese carácter corrupto. Esto se debe a que el ransomware se puede comprar o incluso alquilar. Por lo tanto, cuando casi cualquiera puede ser un atacante exitoso, el número de ataques aumenta lógicamente.
¿Los atacantes envían realmente claves de descifrado funcionales después del pago?
No hay una respuesta general a esta pregunta. Las experiencias de nuestros clientes y socios son contradictorias. Mientras algunos pagaron incluso varias veces y posteriormente descifraron los datos con éxito, otros nunca recibieron las claves. Depende de cada ataque. Incluso se conocen casos de ransomware aparentemente «defectuoso», en los que se produjo el cifrado, pero la conexión para los pagos y la comunicación no funcionaba, por lo que no fue posible descifrar los datos.
Un consejo: intente ponerse en contacto con el atacante de antemano y pídale una prueba de que realmente controla sus datos. Pida al atacante que descifre una parte de los datos o que le proporcione alguna parte de los datos afectados (por ejemplo, varios archivos). Así sabrá si es posible contactar con el atacante y si realmente puede ayudarle. Si se exige una cantidad pequeña, por ejemplo entre 100 y 500 dólares (normalmente un ataque masivo contra un gran número de usuarios), puede que el atacante no responda y, aun así, se envíen las claves de descifrado, porque el proceso está automatizado. Sin embargo, si es una organización grande o próspera contra la que se ha cometido un ataque dirigido y la cantidad exigida asciende a miles de dólares, probablemente el atacante estará dispuesto a hablar con usted por su propio interés. Entonces solo queda pagar, esperar, descifrar, aprender la lección y protegerse del próximo ataque.
¿Puede el ransomware atacarnos también a nosotros?
Sí. Y si aún no ha ocurrido, es muy probable que suceda muy pronto. Una de las tendencias actuales en el ámbito del ransomware es dirigirse a usuarios y organizaciones locales. Esto aumenta las posibilidades de éxito de los atacantes. Hoy en día, casi nadie cae en correos electrónicos escritos en mal inglés que invitan a abrir un archivo adjunto sospechoso. Pero si el director recibe un correo electrónico de un prestigioso bufete de abogados (la dirección de correo electrónico está, por supuesto, falsificada), redactado en un buen checo jurídico, indicando que, debido a una factura impagada, se presentará una demanda contra la empresa en los próximos días, es muy probable que el director abra el archivo adjunto infectado que supuestamente contiene la factura impagada. Y como en muchas empresas la alta dirección tiene configurados derechos completos, es decir, de administrador, el cifrado puede comenzar. Otro método habitual son, por ejemplo, los ataques a través del protocolo RDP, en los que el atacante intenta forzar por fuerza bruta el acceso al escritorio remoto. Si lo consigue, nada impide la ejecución del ransomware.
10 + 1 reglas para una defensa eficaz contra el ransomware
1) La forma más frecuente de infección es mediante correo electrónico y un archivo adjunto infectado o un enlace en el correo electrónico que conduce a contenido infectado. Lo mínimo que puede hacer es configurar un filtrado de correo más estricto.
2) Los usuarios constituyen el mayor riesgo. No es difícil convencer a un usuario sin formación para que abra un archivo adjunto bajo algún pretexto. Dicho archivo puede ser, por ejemplo, una factura presuntamente impagada enviada al departamento de facturación, un supuesto currículum enviado al departamento de recursos humanos, un supuesto pedido enviado al departamento comercial o una supuesta confirmación de entrega de un envío. Por tanto, no otorgue derechos de administrador a usuarios que no deben tenerlos.
3) Informe a los usuarios y fórmelos repetidamente sobre comportamientos seguros. Especialmente a aquellos usuarios que tienen configurados permisos más elevados.
4) Actualice. Un sistema actualizado normalmente significa un sistema parcheado y con menos vulnerabilidades (aunque no siempre, por supuesto). En los sistemas actualizados regularmente siempre hay un menor riesgo de que el sistema sea atacado por ransomware y este se propague más.
5) Utilice protección activa contra ransomware, como antivirus y software de seguridad. O utilice la protección activa contra ransomware, presente en todas las soluciones de copia de seguridad de Acronis. La ventaja de la protección activa de Acronis es que está especializada directamente en ransomware. La protección activa puede detectar y detener el cifrado y la propagación del ransomware, o al menos mitigar los daños causados. Además, la protección activa de Acronis puede restaurar automáticamente desde la caché del sistema de archivos los archivos ya cifrados. En los equipos en los que no tenga una solución de copia de seguridad de pago de Acronis, instale al menos la protección activa gratuita contra ransomware: Acronis Ransomware Protection (La protección activa gratuita incluida en Acronis Ransowmare Protection está destinada únicamente a los sistemas operativos Windows 7, 8 y 10. La protección activa de las soluciones de copia de seguridad de pago de Acronis también protege sistemas operativos de servidor e infraestructura virtual).
6) Utilice protección pasiva mediante copias de seguridad. Ninguna protección activa garantiza una defensa del 100 % contra el ransomware. Siempre es una lucha entre los desarrolladores de protección activa y los creadores de ransomware. Por tanto, la protección activa solo aumenta las posibilidades de resistir un ataque. Cree copias de seguridad y guárdelas en un lugar seguro. En el peor de los casos, podrá restaurar los datos y los sistemas desde las copias de seguridad. La condición es que las copias de seguridad se almacenen de forma «segura», véanse los puntos 7 y 8 siguientes.
7) Proteja las copias de seguridad. Si el ransomware llega a las copias de seguridad (el ransomware más inteligente intenta hacerlo primero), también las cifrará sin piedad. Si utiliza una solución de copia de seguridad de Acronis, dispone además de protección activa contra ransomware. Entre otras cosas, esta no permite cifrar desde los equipos atacados las copias de seguridad creadas por Acronis (el llamado sistema de autodefensa de Acronis).
8) Oculte las copias de seguridad. No necesita proteger activamente las copias de seguridad si el ransomware no puede acceder a ellas. Por lo tanto, no almacene las copias de seguridad en ubicaciones a las que todos tengan acceso. Lo peor que puede hacer es guardar las copias de seguridad libremente junto a los datos de los usuarios. Debe asignar un espacio para las copias de seguridad y separarlo. Es necesario definir exactamente los permisos. Si crea copias de seguridad mediante software de Acronis, configure que solo Acronis tenga acceso a dicho almacenamiento y que se requieran credenciales protegidas por contraseña. No utilice esta contraseña ni el almacenamiento de copias de seguridad para ningún otro propósito.
9) Almacene copias de las copias de seguridad en un lugar donde el ransomware no pueda dañarlas. El lugar ideal es el almacenamiento en la nube de Acronis: Acronis Cloud Storage. ¿Por qué? Porque la comunicación entre los dispositivos cliente y el almacenamiento en la nube se realiza mediante un mecanismo propietario que utiliza autenticación, entre otros medios, a través de certificados válidos, por lo que no hay posibilidad de que el ransomware pueda dañar o cifrar las copias de seguridad en la nube. Esto significa que, aunque la organización esté bajo ataque y se envíe una copia de seguridad infectada al almacenamiento en la nube de Acronis, las demás copias de seguridad almacenadas en la nube estarán bien. La última copia de seguridad infectada no podrá utilizarse para la restauración. Sin embargo, será posible utilizar cualquier otra copia de seguridad creada anteriormente cuyo contenido aún no esté cifrado.
Si lo comparamos con los almacenamientos externos habituales de tipo nube pública o nube privada, accesibles mediante protocolos de uso común, está claro que al abrir una conexión durante un ataque en curso también se pondrán en riesgo las copias de seguridad almacenadas en un almacenamiento secundario fuera de la organización. Además, el ransomware puede acceder a estos almacenamientos, igual que a los almacenamientos locales. Así, el ransomware puede cifrar incluso las copias de seguridad que tiene almacenadas al otro lado del mundo. Ese almacenamiento secundario solo protegerá a la organización frente a fallos del almacenamiento principal de copias de seguridad, pero lamentablemente no es suficiente contra el ransomware.
10) Si cumple todos los puntos anteriores, podrá dormir tranquilo. Tendrá la certeza del 100 % de que no pagará ningún rescate. Tendrá la seguridad de que no perderá los datos. Tendrá la certeza de que, incluso si el ransomware cifra la mitad de la organización, finalmente podrá volver a poner en funcionamiento los sistemas (aunque, por supuesto, llevará tiempo). Si esto no le basta, lea el punto 11.
11) Punto para expertos: si no está dispuesto a tolerar interrupciones causadas por ransomware u otra causa (garantiza un funcionamiento continuo, opera sistemas críticos, cada hora de interrupción le genera enormes pérdidas), consulte la combinación de la solución empresarial de copia de seguridad Acronis Backup y Acronis Disaster Recovery. Este sistema puede, en el momento de una incidencia (causada, por ejemplo, por ransomware), iniciar equipos críticos en la nube de Acronis y asumir así todos los servicios que deben mantenerse operativos. Tras volver a poner en funcionamiento el entorno de producción, podrá cambiar el funcionamiento de vuelta a los equipos de producción de la organización casi sin interrupción (calcule 1–2 minutos sin conexión). Los datos actuales de los equipos temporales en la nube se cargarán en segundo plano en dichos equipos y, posteriormente, se realizará el cambio.
Descripción general de las soluciones de Acronis para la protección contra ransomware
| Para quién es adecuada la solución | Soluciones adecuadas para hogares | Soluciones adecuadas para organizaciones | ||||
| Nombre de la solución | Acronis True Image Standard |
Acronis True Image Advanced |
Acronis True Image Premium |
Acronis Backup |
Acronis Backup + Acronis Cloud Storage |
Acronis Backup + Acronis Disaster Recovery |
| Solución de pago |  |
|
|
|
|
|
| Para proteger ordenadores, estaciones y portátiles |
|
|
|
|
|
|
| Para proteger servidores, infraestructura virtual y en la nube |
|
|
|
|||
| Protección contra el cifrado de datos y la propagación de ransomware |
|
|
|
|
|
|
| Creación y almacenamiento de copias de seguridad en almacenamientos locales y de red |
|
|
|
|
|
|
| Protección contra el cifrado de copias de seguridad de Acronis |
|
|
|
|
|
|
| Envío de copias de seguridad a un almacenamiento en la nube separado de Acronis |
250 GB | 1 000 GB | Según sus propias necesidades |
Según sus propias necesidades |
||
| Inicio de una copia idéntica de un equipo crítico en la nube |
|
|||||
| Transferencia de una copia reciente del equipo de vuelta a producción |
|
|||||
Los nombres de las soluciones, en la parte superior de la tabla, contienen enlaces (haga clic para ir a la solución correspondiente).
¿Necesita asesoramiento específico?
• ¿Necesita asesoramiento sobre protección contra ransomware?
• ¿Le interesa saber cómo podría ser esa protección en su organización?
• ¿Quiere ver con sus propios ojos cómo protegemos nuestros sistemas?
No dude en contactarnos en el número +420 596 912 961 o escriba al correo electrónico info@acronis.cz
Autor del artículo: Redacción ZEBR.ai
