Negociación traicionada: cómo el caso Martino expone el peligro de terceros en incidentes de ransomware

El reciente fallo que condenó a Angelo Martino a 70 meses de prisión por colaborar con el grupo BlackCat y traicionar a víctimas a las que supuestamente estaba ayudando como negociador de rescates expone una amenaza doble: no solo existen los operadores de ransomware, sino también profesionales de respuesta que, por codicia o colusión, pueden convertir la ayuda en daño. En este caso, según las autoridades, Martino proporcionó a los atacantes información confidencial sobre límites de pólizas y tácticas de negociación de sus propios clientes, lo que permitió a los extorsionadores maximizar los montos exigidos y causó daños financieros y operativos severos a empresas ya en crisis. El Departamento de Justicia y el FBI han enfatizado que, además de perseguir a los autores directos, se perseguirá a los facilitadores internos y externos que habilitan estas campañas.

Más allá del impacto individual, el episodio tiene implicaciones sistémicas para la gestión de incidentes: la confianza en proveedores y negociadores se convierte en un punto de fallo crítico. Muchas organizaciones delegan la negociación y la comunicación con atacantes a especialistas externos durante una crisis, en parte para evitar errores tácticos y para obtener mejores resultados. Sin embargo, cuando esos terceros tienen acceso a información sensible —pólizas de seguro, postura interna sobre pagos, o capacidades financieras—, pueden convertir esa ventaja en una palanca que daña al cliente si coluden con los atacantes. La sentencia y el decomiso de activos demuestran que las ganancias ilícitas pueden perseguirse, pero no rehacen los negocios destruidos o las relaciones profesionales dañadas.

Para los equipos de seguridad y líderes empresariales, este caso subraya la necesidad de incorporar controles contractuales y técnicos antes y durante una respuesta a incidentes. Los acuerdos con proveedores de respuesta e incidencia deben incluir cláusulas claras sobre conflicto de intereses, auditoría y obligaciones de notificación a la empresa, así como sanciones por conducta fraudulenta. Además, es imprescindible limitar y monitorear el acceso a información sensible incluso para consultores externos: registros detallados de qué se comparte, con quién y por qué, y la conservación de copias forenses que permitan verificar las comunicaciones y decisiones tomadas en la gestión del incidente.

En el plano técnico, reforzar la resiliencia reduce la dependencia de negociaciones de rescates costosos. Mantener segregación de redes, copias de seguridad offline y probadas, y visibilidad continua mediante EDR y logging centralizado evita que una intrusión se convierta en una crisis donde la única salida parezca pagar. La preparación y la higiene cibernética efectiva son las mejores formas de reducir el apalancamiento que los atacantes y sus facilitadores pueden tener sobre una organización. CISA y el FBI ofrecen guías prácticas sobre prevención y respuesta que conviene revisar como parte de los planes corporativos: Guía de CISA sobre ransomware y recursos del FBI sobre ciberseguridad.

Otra arista crítica es la relación con las aseguradoras. El caso muestra que los límites y términos de las pólizas pueden ser objetivos de los atacantes o, en el peor de los escenarios, de intermediarios corruptos. Las organizaciones deben exigir transparencia en el uso de la información de seguros durante una negociación y documentar cualquier comunicación que involucre términos de póliza. También es recomendable coordinar de antemano con los equipos legales y con corredores de seguros para definir cómo se manejarán las obligaciones contractuales y las revelaciones de información en una crisis.

La detección y la respuesta internas deben incluir mecanismos para identificar comportamientos anómalos de terceros: transferencias de datos inusuales, accesos fuera de horario o la duplicación de canales de comunicación con actores desconocidos. Los controles de identidad y acceso, la rotación de credenciales, la segmentación de privilegios y la monitorización de exfiltración ayudan a limitar el daño que un actor malintencionado —interno o externo— pueda causar. Un proceso de acreditación y verificación continuada para consultores de incidentes es tan importante como la verificación que se exige a proveedores tecnológicos críticos.

Desde la perspectiva legal y de cumplimiento, la acción del Departamento de Justicia envía un mensaje claro: hay consecuencias penales y civiles para quienes traicionan a clientes en incidentes de seguridad. Esto debería impulsar a las empresas a documentar su cadena de decisiones durante incidentes y a colaborar rápidamente con las autoridades cuando detecten indicios de colusión o fraude. También es una llamada de atención para que los equipos de respuesta y negociadores operen con códigos de conducta, auditorías y, cuando proceda, supervisión externa independiente.

Para los profesionales de la seguridad, este caso plantea una reflexión ética: la posición de negociador conlleva responsabilidad fiduciaria en situaciones de vulnerabilidad extrema. La industria necesita estándares profesionales, certificaciones y obligaciones éticas que mitiguen el riesgo de malos actores que exploten la confianza de las víctimas. Hasta que esos estándares se consoliden, las organizaciones deben exigir referencias verificables, cláusulas contractuales estrictas y, de ser posible, mecanismos de depósito en garantía o terceros de confianza para manejar fondos y comunicaciones sensibles.

En última instancia, la condena de Martino es un recordatorio incómodo de que la seguridad no es solo tecnológica sino relacional y contractual. La mejor defensa contra extorsión y fraude es una combinación de preparación técnica, gobernanza rigurosa sobre terceros y una respuesta coordinada con asesores legales y las autoridades. Actuar ahora para reforzar controles, revisar contratos de respuesta y asegurar la transparencia en todas las comunicaciones de incidentes puede marcar la diferencia entre mitigar un ataque y convertirlo en una catástrofe financiera y reputacional.