Por qué los grupos de ransomware ahora apuntan al directivo de 46 años en lugar del CEO
Conseguir que una empresa pague un rescate, sugiere una nueva investigación, ya no empieza por la bandeja de entrada del CEO. Empieza por el directivo de 46 años que puede aprobar el pago. Esa es la conclusión del trabajo de la unidad ThreatLabz de Zscaler, que diseccionó una única campaña de ransomware y descubrió que los atacantes habían apuntado sistemáticamente a los mandos intermedios en lugar de a la alta dirección.
La investigación, reportada por The Register el 9 de agosto, siguió a 351 víctimas en 334 organizaciones durante un mes. El perfil que surgió es sorprendentemente consistente: casi dos tercios de las personas comprometidas tenían cargos de nivel directivo o superior, y el empleado comprometido típico era una persona de 46 años de la Generación X. Tres cuartas partes procedían de cinco funciones empresariales: finanzas, ventas, operaciones, recursos humanos y marketing. La mitad trabajaba en empresas industriales o de tecnología de la información.
El organigrama como plan de ataque
La campaña muestra hasta qué punto el ransomware se ha alejado del enfoque de escopeta de las notas de extorsión enviadas masivamente por correo. Según Zscaler, los atacantes estudiaron el terreno antes de golpear, combinando datos extraídos de sistemas vulnerados con fuentes públicas para trazar quién responde ante quién e identificar al personal cuyo poder de presión sobre la decisión de pago de una empresa es mayor.
La lógica es brutal y simple. Un CEO puede ser un objetivo simbólico, pero un directivo de cuentas por pagar puede aprobar una factura. Un responsable de ventas gestiona cuentas de clientes y contratos activos. Un jefe de proyecto controla presupuestos y calendarios de entrega. En más de una docena de las organizaciones afectadas, se comprometió a varios empleados, y los atacantes trabajaron a través de diferentes funciones empresariales en lugar de conformarse con un único punto de apoyo.
Privilegio empresarial frente a privilegio técnico
Zscaler enmarca el cambio como un paso del privilegio técnico a lo que llama “privilegio empresarial”. Tradicionalmente, los equipos de seguridad han tratado a los usuarios privilegiados como administradores y otras cuentas con derechos elevados del sistema. Los atacantes de esta campaña buscaron otra cosa: personas cuyas tareas cotidianas implican sistemas de facturación, flujos de pago, archivos de presupuestos, acuerdos con proveedores, bases de datos de clientes y expedientes de personal.
La conclusión es que no se necesitan credenciales de administrador para causar daños a esta escala; el acceso empresarial ordinario es suficiente. Una cuenta directiva comprometida proporciona una vía hacia información sensible, procesos financieros, aplicaciones empresariales y comunicaciones internas, todo ello útil para la extorsión incluso antes de que se produzca ningún cifrado.
Por qué la Generación X
La inclinación por la edad probablemente no es una coincidencia. Es más probable que los trabajadores de cuarenta y cincuenta años hayan alcanzado puestos de gestión consolidados con acceso a sistemas valiosos y autoridad para tomar decisiones, lo que da a los atacantes una vía hacia el núcleo corporativo sin tocar la alta dirección. Las víctimas de la campaña tenían entre 23 y 70 años, pero el 44 por ciento eran de la Generación X, lo que elevó la media a 46.
La economía de la extorsión crece
Los datos de la plataforma de Zscaler muestran la magnitud: los intentos de ransomware bloqueados aumentaron un 146 por ciento interanual, los casos de extorsión anunciados públicamente un 70 por ciento, y la cantidad de datos sustraídos de las víctimas un 92 por ciento. El énfasis se está desplazando del cifrado hacia la extorsión: para cuando aparece la carta de demanda, la banda puede haber trazado ya toda la cadena de aprobación, quién firma las facturas, quién tiene los contratos, quién gestiona los expedientes de personal, quién responde ante quién. El cifrado de archivos, según Zscaler, es simplemente la parte más visible del daño.
The Register, por su parte, tenía una recomendación seca para el grupo demográfico afectado: desconectarse de la red y avisar a las autoridades.
Lo que deben aprender los defensores
La implicación práctica es que los equipos de seguridad deben tratar los roles directivos como privilegiados por derecho propio. El acceso a los sistemas financieros, las plataformas de recursos humanos y las bases de datos de clientes debe supervisarse y protegerse con la misma seriedad que las cuentas de administrador, porque ahí es donde miran ahora los atacantes. La defensa contra el ransomware, en otras palabras, se ha convertido en un problema de organigrama tanto como en uno técnico.
Traducido por Alessandra