Bloomberg — Estados Unidos está presionando a un grupo de gobiernos para que se comprometan públicamente a no pagar rescates a los piratas informáticos antes de una reunión anual de más de 45 naciones que se celebrará en Washington a finales de este mes.
Anne Neuberger, viceconsejera de Seguridad Nacional, declaró a Bloomberg News que tiene “muchas esperanzas” de conseguir apoyo para tal declaración, pero reconoció que se trata de una “decisión política difícil”. Si los miembros no pueden llegar a un acuerdo sobre la declaración antes de la reunión, se incluirá como punto de debate, dijo.
El ransomware es un tipo de código malicioso que cifra los archivos informáticos de la víctima, inutilizándolos. Los hackers exigen entonces un pago para proporcionar una clave que los desbloquee. Otro tipo popular de ataque extorsivo consiste en que los hackers roban documentos confidenciales de una víctima y exigen un pago para no publicarlos en Internet.
Estos ataques de rescate han ganado popularidad en los últimos años, en parte porque son muy rentables para los hackers. Esto se debe a que las víctimas suelen llegar a la conclusión de que es más fácil pagar el rescate y restablecer las operaciones que oponerse a las exigencias de los hackers.
El objetivo de la declaración es cambiar ese cálculo, dijo Neuberger. “El pago de rescates es lo que está impulsando el ransomware”, dijo. “Por eso creemos que es tan necesario”.
“Hay que ir a la causa raíz”, dijo Neuberger. “La causa raíz es el dinero”. Se espera que la declaración se aplique a los gobiernos y no a las empresas que habitualmente son víctimas de ataques de ransomware. Neuberger indicó que sería un primer paso hacia un esfuerzo más amplio para frenar el pago de rescates a los piratas informáticos.
El gobierno de Biden estableció una cumbre internacional anual para abordar el ransomware en 2021, una reunión de dirigentes de ciberseguridad de distintas naciones que se reunieron para colaborar en formas de frenar los ataques. La primera cumbre se celebró meses después de que un ciberataque contra Colonial Pipeline Co. interrumpiera el suministro de combustible a lo largo de la costa este de Estados Unidos y sirviera de amplia llamada de atención sobre los peligros del ransomware. Desde la primera reunión, el número de participantes se ha ampliado de 31 países a más de 45.
Pero más de dos años después del pirateo de Colonial Pipeline, una serie de ataques de ransomware perturbadores contra hospitales, fábricas y casinos en los últimos meses demuestra que aún queda mucho por hacer para frenar este delito, dijo Neuberger. “Vamos a erradicar el fantasma de Colonial Pipeline”, dijo, explicando la intención de la reunión del 31 de octubre.
Charles Carmakal, director de tecnología de Mandiant Consulting, es de los que sostienen que una prohibición total está aún lejos de ser factible.
“Queda mucho por hacer antes de poder prohibir los pagos de extorsión”, declaró a Bloomberg en septiembre. “Las fuerzas del orden tienen que ser más agresivas con los actores de la amenaza e imponerles dolor”.
Pero Neuberger sostiene que los avances en las normas de ciberseguridad, la preparación y las intervenciones más enérgicas de las fuerzas de seguridad significan que ahora es más factible no pagar rescates. Dijo que ahora hay más empresas que hacen copias de seguridad para poder restaurar sus sistemas si son pirateados, y que las pólizas de las compañías de seguros están incentivando normas de ciberseguridad más estrictas.
El Reino Unido, que codirige con Singapur la lucha contra la financiación ilícita en el marco de la iniciativa contra el ransomware, no respondió a una solicitud de comentarios. The Record, una publicación de la empresa de ciberseguridad Recorded Future Inc, informó anteriormente de la presión de EE.UU. para que los gobiernos declaren que no pagarán rescates.
Neuberger, que asiste esta semana a la Semana Cibernética Internacional de Singapur, también aboga por una mayor divulgación de las transacciones de criptomoneda para ayudar a frenar el blanqueo de dinero. Quiere ampliar el número de países que aplican las normas “Conoce a tu cliente” para las empresas de criptomonedas, al menos de forma voluntaria.
Además, EE.UU. quiere que los gobiernos de todo el mundo establezcan normas de etiquetado de ciberseguridad para que los consumidores puedan evaluar (antes de comprar) el grado de seguridad de los dispositivos conectados a Internet, como los vigila bebés y las alarmas domésticas, dijo Neuberger. A principios de este año, Estados Unidos anunció una propuesta de etiquetado voluntario de ciberseguridad para los dispositivos conectados a Internet.
Dijo que el objetivo es que las etiquetas de estos dispositivos del “Internet de las cosas” estén en las tiendas a tiempo para la Navidad de 2024.
Lea más en Bloomberg.com