En 2015, mi equipo y yo estábamos hablando en el evento de Seguridad y Vigilancia del gobierno en Farnborough. Tuvimos una conversación interesante con un visitante del Ministerio del Interior sobre la continua legalidad del pago de multas por ransomware y, de hecho, en ese momento, había poca o ninguna orientación por parte del gobierno.
Esto contrastaba marcadamente con las directrices sobre el pago de rescates físicos, que en aquel entonces y todavía lo son, que el pago es ilegal.
Esto nos parecía ilógico mientras dedicamos tiempo a hablar sobre la interconexión de todo (gracias Douglas Adams y Dirk Gfully) y el impacto del malware de todo tipo en los ecosistemas empresariales, la sociedad y el bienestar de las personas. ¿Cómo entonces podría ser ilegal pagar o asegurarse contra una situación de rescate?
El gobierno en ese momento estaba ocupado reforzando las lagunas jurídicas en materia de rescate humano, pero seguía siendo perfectamente legal pagar un rescate cibernético, para financiar efectivamente a delincuentes que se dedican al negocio de desviar dinero de empresas legítimas, organismos públicos e incluso organizaciones benéficas en el mundo. de la manera más cínica, que utilizan ese dinero para crear ransomware aún más eficaz con el fin de atacar a todos de forma aún más eficaz. Y así el ciclo continua.
Si no está seguro de esa afirmación, mire el aumento en el precio promedio de un rescate en los últimos 10 años y verá que estos delincuentes han elaborado sus planes de negocios meticulosamente y pueden atacar grandes centros cívicos de población. impactar los servicios públicos y las grandes empresas para obtener rescates mucho más altos que los humildes comienzos de tratar de extorsionar a individuos. Las bandas de rescate han perfeccionado su software, su entrega y sus objetivos para obtener el máximo pago.
Curiosamente, el principal vector de ataque sigue siendo el phishing. Hemos recorrido un largo camino desde el virus ILOVEYOU que prometió amor y atención hace 24 años, pero en otro sentido no lo hemos hecho. Somos vulnerables a la mayoría de ransomware debido a este método de entrega que ha tenido tanto éxito durante tanto tiempo. ¿Seguramente este nivel de descuido no sería tolerado en el rescate físico? ¿Se permitirá que continúe la falta de formación o de sensibilización? ¿Se ve el rescate simplemente como un costo de hacer negocios?
Por supuesto que no, pero estamos hablando de un tipo de delito con el que nosotros, como sociedad, venimos luchando desde hace un tiempo. Y un delito que de alguna manera ha pasado a ser visto como un costo semilegítimo y válido para hacer negocios. Quizás esto se deba en parte al lenguaje utilizado. Tal vez sea hora de abordar esto y dejar de llamarlo ransomware y comenzar a llamarlo chantaje y extorsión, que es lo que realmente es.
No sólo debemos pensar en la legalidad del pago de rescates digitales sino también en cómo legislamos y castigamos a quienes lo realizan. Las bandas están ganando sumas tan enormes de dinero que, en mi opinión, estamos entrando en un período de gran riesgo, ya que los malos ahora suelen estar mucho mejor financiados que los buenos. La forma de corregir el rumbo ahora necesita visión, compromiso y conocimiento.