Legislación sobre pagos de ransomware: ¿qué tiene sentido y qué no?
En los últimos años, los ataques de ransomware se han convertido en la rama más lucrativa del ciberdelito. Los mayores, más peligrosos y exitosos actores de amenazas y cepas de ransomware han generado decenas de millones de dólares en 2021 hasta ahora y no muestran signos de desaceleración con su actividad.
Frente a este turbulento clima de ransomware, se han lanzado ideas sobre un marco legislativo que podría prohibir todos los pagos de ransomware. Por supuesto, en la superficie, el razonamiento detrás de tal prohibición sería que, de esta manera, grandes cantidades de dinero dejarían de fluir hacia las arcas de los piratas informáticos y los actores de amenazas. Sobre el papel, pagar un rescate es esencialmente financiar a los ciberdelincuentes.
Por supuesto, el problema nunca es tan simple y las cosas nunca son en blanco y negro. Como han demostrado los últimos ataques de ransomware de muy alto perfil en los EE. UU., Hay casos en los que la infraestructura crítica se cae y todo el país sufre mucho por ello.
Colonial Pipeline, que pagó más de $ 4 millones en dinero de rescate para obtener una herramienta de descifrado, fue el proveedor clave de combustible líquido para toda la costa este. El trabajo de ransomware que el grupo DarkSide realizó en Colonial fue esencialmente tan dañino que los estados afectados tuvieron que comenzar a transportar combustible a las regiones periféricas utilizando camiones cisterna.
La prohibición de los pagos de ransomware tampoco detendrá los ataques por completo, por supuesto. Además, si una red importante que sirve a la infraestructura vital se ve afectada y el formateo y la reinstalación tomarían demasiado tiempo, una prohibición de pago similar podría poner de rodillas a estados enteros y ponerlos en un estado de emergencia.
Graeme Newman, asegurador cibernético internacional de una gran compañía de seguros del Reino Unido que también se ocupa del seguro cibernético, señaló una solución intermedia. Si los legisladores quieren evitar que los piratas informáticos obtengan millones de casi cualquier empresa más grande, pero también quieren brindarles a los proveedores de infraestructura crítica una red de seguridad, se necesitaría un organismo o sistema de organismos especializados. Esas entidades examinarían cada ataque caso por caso y tomarían una decisión final sobre si el pago es realmente necesario y si rechazarlo afectaría la infraestructura vital.
Actualmente no existe ningún obstáculo legal en el camino de una empresa atacada con ransomware para efectuar el pago, ya sea a través de una aseguradora o directamente. Queda por ver qué tan probable es que esta situación cambie en el futuro previsible.
