El desarrollo del modelo de negocio ransomware-as-a-service (RaaS), que permite a los piratas informáticos utilizar herramientas y servicios de ransomware listos para usar, ha potenciado este campo del delito cibernético (incluso teniendo habilidades técnicas de TI limitadas) para lanzar ataques altamente disruptivos.
Así lo dan a conocer Darren Pain, director de Responsabilidad Cibernética y Evolución y y Dennis Noordhoek, director de Políticas Públicas y Regulación, ambos de The Geneva Association (GIA, por sus siglas en inglés), quienes precisan que entre los diferentes tipos de extorsión destacan:
1. Acoso: Los ciberdelincuentes se ponen en contacto con clientes, socios comerciales, empleados y medios de comunicación para informarles que la organización fue pirateada y exigir el pago.
2. Ruptura: Las pandillas de ransomware realizan ataques de denegación de servicio distribuido (DDoS) para cerrar los sitios web públicos de la víctima.
3. Exfiltración: Los piratas informáticos amenazan con divulgar información confidencial o cambiar datos dentro del sistema de una empresa para que ya no se pueda utilizar o no sea preciso si no se paga un rescate
4. Cifrado: Los adversarios cibernéticos cifran los archivos clave y las víctimas deben pagar para recuperar el acceso a sus datos y sistemas informáticos comprometidos.
Darren Pain y Dennis Noordhoek señalan que el ransomware ha sido un factor importante en el notable deterioro del rendimiento de suscripción de las aseguradoras cibernéticas en los últimos dos años. En conjunto, añaden, la tasa de siniestralidad en los seguros cibernéticos en Estados Unidos aumentó de 44.6 por ciento en 2019, al 66.9 por ciento en 2020, y el ransomware representó las tres cuartas partes de las reclamaciones, según la agencia de calificación crediticia AM Best.
Los indicadores más recientes no sugieren ninguna mejora sustancial en el entorno de las reclamaciones, y el ransomware sigue siendo un factor clave. Dada la continua presión al alza sobre las reclamaciones, los índices de siniestralidad de las aseguradoras cibernéticas se mantuvieron elevados en 2021 a pesar de un fuerte aumento en el precio del seguro cibernético el año pasado
Los autores del documento advierten del inconveniente de pagar rescates, debido a que al hacerlo las empresas también incentivan potencialmente a los delincuentes de ransomware y, en el proceso, aumentan el riesgo de futuros ataques contra ellos mismos o contra otros.
En tanto, los gobiernos han insinuado el impacto no intencional que el seguro puede tener en la extorsión de ransomware, destacando cómo los rescates exigidos a menudo se adaptan a la cantidad asegurada en virtud de la póliza de seguro Cibernético, subrayan.
Los debates de política están en curso en varios países sobre la posibilidad de prohibir los pagos de rescate por completo. La razón es que, si se prohibieran los rescates o los pagos de seguros por este motivo, sería menos probable que las víctimas de ransomware pagaran a los ciberdelincuentes.
A pesar de la polémica, se asegura que prohibir los pagos de rescate no es realmente la respuesta. Aseguran que una prohibición total de los pagos de rescate podría hacer que tales transacciones se vuelvan clandestinas y alentar a los atacantes a involucrarse en nuevas formas de extorsión.