Ransomware desde dentro La amenaza interna y el modelo RaaS

El veredicto reciente contra dos profesionales de ciberseguridad implicados en ataques con el ransomware conocido como BlackCat (ALPHV) pone de relieve una realidad inquietante: no solo existen amenazas externas sofisticadas, sino que también pueden provenir de quienes deberían protegernos. Los acusados, que trabajaban en empresas del sector y aceptaron repartir con los operadores del ransomware un porcentaje de los rescates, combinaban conocimientos técnicos y acceso privilegiado para vulnerar sistemas y extorsionar víctimas en Estados Unidos.

Más allá de la historia judicial —donde se describe el pago de rescates en Bitcoin, el lavado posterior de fondos y el abuso de funciones internas para inflar negociaciones—, la lección principal es que el modelo de Ransomware-as-a-Service (RaaS) permite a actores con distintos roles colaborar para maximizar ganancias ilegales. Aunque grupos concretos pueden desaparecer o cambiar de nombre, el esquema técnico y económico persiste y evoluciona, lo que exige respuestas tanto organizativas como regulatorias.

Desde el punto de vista de gestión de riesgo, hay varias implicaciones inmediatas: la necesidad de reforzar la confianza en terceros y contratistas, revisar privilegios y accesos de personal con alta capacidad técnica, y mejorar la supervisión de quienes median en negociaciones o respuestas a incidentes. También queda claro que la existencia de pólizas de ciberseguro puede convertirse en una variable explotable por actores internos y externos, por lo que la información sobre límites y condiciones debe manejarse con extremo cuidado.

En el plano técnico, las defensas tradicionales siguen siendo necesarias pero no suficientes. Resulta imprescindible combinar copias de seguridad probadas y aisladas, segmentación de redes, principio de mínimos privilegios, autenticación multifactor y soluciones modernas de detección y respuesta en endpoints (EDR). Asimismo, mantener un inventario actualizado de activos y aplicar parches de forma priorizada reduce la superficie de ataque que los grupos RaaS suelen aprovechar.

Para organizaciones que gestionan la respuesta a incidentes, conviene establecer procedimientos claros sobre quién puede negociar, qué información se comparte y cómo se documenta cada paso, involucrando siempre a asesoría legal y a las fuerzas de seguridad cuando sea apropiado. Las negociaciones sin transparencia o con actores internos que faciliten datos sensibles aumentan el riesgo de pagos mayores y de repercusiones legales posteriores.

En materia de contratación y recursos humanos, las empresas deberían ampliar las evaluaciones de riesgo al contratar perfiles técnicos con acceso crítico: verificaciones de antecedentes, controles continuos de privilegios, políticas de separación de funciones y supervisión de actividades inusuales. La formación ética y en seguridad para personal con capacidades avanzadas puede reducir la probabilidad de abuso deliberado.

La acción judicial contra estos individuos es un recordatorio de que el combate contra el cibercrimen requiere coordinación entre el sector privado y las autoridades, así como transparencia en la notificación de incidentes para evitar que actores maliciosos repitan tácticas eficaces. Recursos oficiales sobre prevención y respuesta al ransomware aportan guías prácticas que conviene revisar y aplicar: por ejemplo las recomendaciones del CISA sobre ransomware https://www.cisa.gov/ransomware y la información general sobre investigaciones cibernéticas del FBI https://www.fbi.gov/investigate/cyber.

Finalmente, para cualquier organización la recomendación es clara: no delegar la confianza en meras credenciales o experiencia técnica sin controles compensatorios, fortalecer la gobernanza de accesos y respuestas, y diseñar planes de resiliencia que permitan restaurar operaciones sin sucumbir a chantajes. La combinación de medidas preventivas, detección temprana y cooperación con autoridades reduce tanto el atractivo económico de los ataques como la capacidad de actores internos para convertirse en facilitadores del delito.