Ransomware como servicio: cómo las cadenas de suministro basadas en la nube son fácilmente atacadas

Con la nube convirtiéndose en el medio principal para acceder a un número creciente de ofertas de software, parece que toda aplicación está migrando a un modelo de entrega «como servicio» estos días. Así que no debería sorprender que el ransomware se haya subido al carro de la nube.

Conoce el ransomware como servicio (RaaS), un medio preempaquetado y fácil de desplegar para bloquear redes de datos y luego extorsionar a sus propietarios para que paguen —generalmente en forma de Bitcoin u otra criptomoneda— para desbloquearlas.

Como las formas más populares de servicios gestionados, RaaS podría incluir soporte técnico las 24 horas y foros de usuarios dedicados a sacar el máximo partido a la aplicación. Los compradores pueden adquirir la «solución» de varias formas, incluyendo suscripción mensual, licencias de pago único o reparto de beneficios con el proveedor del software. Sea como se suministre, RaaS tiene un objetivo común: infligir caos digital y obtener enormes beneficios en el proceso. Es una de las razones principales por las que los ingresos por ransomware se dispararon a unos 20.000 millones de dólares en EE. UU. el año pasado, según Cybersecurity Ventures.

Según informes, disponible en la dark web desde alrededor de 2016, RaaS ha escalado rápidamente desde entonces como medio de propagar ransomware. La cadena de suministro global, compuesta por múltiples socios independientes de todos los tamaños y grados de sofisticación tecnológica, es especialmente vulnerable al ataque. Grandes fabricantes, distribuidores y minoristas podrían pensarse seguros, habiendo gastado millones en medidas de seguridad estrictas dentro de sus propias casas, pero el proveedor más pequeño e insignificante puede servir de puerta de entrada a una riqueza de datos sensibles sobre clientes y operaciones. Según algunas estimaciones, dos tercios de todos los ciberataques provienen actualmente de la cadena de suministro.

Los dispositivos móviles, que han explotado en número y aplicaciones en la última década, son vectores populares de infección. «Digamos que un subcontratista de un desarrollador entra para construir una extensión de software basada en API para un cliente», dice Padmini Ranganathan, vicepresidenta global de estrategia de producto en SAP Procurement. «¿Cómo sabes que su código es seguro? ¿O que están protegiendo los dispositivos que usan?».

Las redes deben ser igualmente vigilantes protegiendo sistemas embebidos en la nube, dice Ranganathan. Y aunque la tecnología en la nube no es una amenaza de seguridad automática, eleva los niveles de riesgo con la proliferación de dispositivos vinculados al internet de las cosas. Las empresas deben responder realizando auditorías estrictas de todos los dispositivos y sistemas que tienen acceso a sus datos, tanto externa como internamente, dice.

Con RaaS facilitando a los ciberdelincuentes el secuestro de redes por rescate, se pensaría que empresas privadas y agencias gubernamentales tendrían especial cuidado protegiendo sus datos. La oleada de ataques de ransomware en años recientes sugiere que no es el caso. Solo en 2021, las víctimas han incluido un oleoducto, un procesador de carne, un distribuidor químico, un fabricante de automóviles, incluso un servicio de ferry en Martha's Vineyard. No parece haber patrón sobre la entidad atacada —solo que todas resultaron vulnerables a una forma de ataque que se ha vuelto alarmantemente fácil de ejecutar.

Los proveedores más pequeños —o los grandes, para el caso— podrían argumentar que carecen de recursos para invertir en ciberseguridad. Ranganathan sugiere que no están viendo el problema con el marco mental adecuado. Seguro, las medidas de seguridad adecuadas pueden ser caras de adquirir y servir como lastre temporal en el balance. Pero, ¿cuál es el coste de recuperarse de un ciberataque —especialmente una demanda de rescate que podría alcanzar millones de dólares? ¿O la caída de perder clientes furiosos porque sus datos personales sensibles fueron comprometidos por negligencia de un minorista o proveedor de servicios? «Subestimamos el concepto de valor en riesgo», dice Ranganathan.

Un aspecto importante de la ciberseguridad no necesariamente cuesta más. Es la concienciación y diligencia por parte de los empleados sobre la amenaza de brechas a través de cualquier número de sistemas y dispositivos. Nada debería confiarse a priori; a menudo un ataque exitoso se debe a descuido humano, no a vulnerabilidades en la tecnología.

Las técnicas de los hackers, por supuesto, siguen evolucionando. El ataque de ransomware de hoy probablemente tome una forma totalmente nueva en los años venideros. La tecnología se esforzará por mantener el ritmo con la amenaza siempre cambiante, pero la vigilancia constante por parte de diseñadores de sistemas e incluso los usuarios más ocasionales es clave.

Las empresas deben prestar la misma atención a la seguridad de sistemas que al mundo más deslumbrante de ventas, marketing y desarrollo de nuevos productos. Dice Ranganathan: «No podemos quitar los ojos de la higiene arquitectónica en nombre de la innovación rápida».

Padmini Ranganathan es vicepresidenta global de estrategia de producto en SAP Procurement.