Una multinacional de Barcelona es despertava el dijous amb l’aigua al coll, els ordinadors bloquejats i un missatge anònim a les pantalles: o pagaven un rescat de més de mig milió d’euros o abaixaven la persiana. Un virus informàtic els havia agafat per sorpresa i, de cop i volta, totes les dades estaven xifrades. Des d’un xat anònim, algú els reclamava 540.000 euros si volien recuperar-les. 

A la tarda, la companyia va denunciar-ho als Mossos d’Esquadra. En aquest cas, però, feia falta alguna cosa més que la intervenció policial per dissuadir uns criminals d’identitat i parador desconeguts. L’única opció de rescatar les dades passava per seure i negociar amb gent que utilitzava les mateixes tàctiques que els segrestadors de persones. La conversa, però, s’havia de mantenir a través d’un xat anònim i sempre utilitzant Tor, que permet navegar d’incògnit per la Xarxa. 

L’operació va allargar-se quatre dies. Va ser clau la intermediació d’Oleguer Rocafull, analista d’Intel·ligència, i el consultor en ciberseguretat José Nicolás Castellano, que també és el president i organitzador del congrés de ciberseguretat més veterà de l’Estat, el NoConName. “Vam començar a negociar, però vam veure que a l’altra banda no es movien. Sabien que tenien el poder”, recorda Castellano. En aquest cas, la companyia, assistida pel consultor, va atrevir-se a discutir el preu que demanaven per a la informació menys crítica i va dir als hackers ‘Això és el que tenim. No demaneu més. Ho voleu?’. I ho van acceptar. 

No obstant això, l’empresa va veure’s obligada a pagar sense regatejar per les dades vitals. “Era qüestió de vida o mort”, explica Castellano, i afegeix que “la majoria d’empreses que han patit un atac semblant han hagut de tancar”. D’aquesta manera, després de moltes hores de tensió, el rescat va saldar-se amb el pagament de 142.000 euros -lluny dels 540.000 que demanaven al principi- i, això sí, la supervivència de l’empresa.  

Escenes com aquesta no són una excepció a Catalunya, on Castellano detecta una onada creixent d’infeccions per ransomware (de l’anglès ransom, ‘rescat’, i ware, de ‘programari’), que xifra els arxius i infecta els sistemes connectats a la mateixa xarxa. Una vegada instal·lat a l’ordinador, bloqueja l’accés i demana un rescat que oscil·la entre els centenars i els milers d’euros a canvi de les claus de desxifrat. “Aquest darrer mes hem vist moltes, moltes, empreses catalanes afectades. Els atacants van a sac”, assegura. 

A escala mundial, l’últim estudi de la companyia de ciberseguretat Malwarebytes diu que, en comparació amb el primer trimestre del 2018, les incidències registrades per ransomware s’han incrementat un 500% durant els primers tres mesos d’enguany. A Nord-Amèrica, aquests virus ja han bloquejat desenes d’administracions senceres, i alguns Estats i ciutats fins i tot han declarat l’estat d’emergència. A l’Estat espanyol, el Centre Criptològic Nacional (CCN) no atura de plantar cara a una allau d’incidències informàtiques semblants que han deixat víctimes com la Cadena SER o la consultora Everis, entre moltes altres empreses espanyoles. 

‘Malware as a service‘

Segons l’Institut Nacional de Ciberseguretat (INCIBE) de l’Estat espanyol, es tracta d’un atac cada cop més freqüent perquè resulta molt lucratiu pels delinqüents (es calcula que els creadors de WannaCry, un tipus de ransomware que afectà milers d’ordinadors el 2017, guanyaven uns 360.000 dòlars mensuals). A més, cada cop és més fàcil segrestar la informació degut als avenços de la criptografia. Igualment, els hackers poden ocultar la seva identitat i utilitzar sistemes internacionals de pagament anònim i que la Policia no pot rastrejar, com la criptomoneda ‘Bitcoin’.

La majoria d’atacs recents provenen de malwares diferents, tot i que formen part de la família del ransomware. Els hackers funcionen com una empresa amb una organització interna, on cadascú té el seu paper: “s’anomena Malware as a service”, explica Castellano. D’aquesta manera, un primer grup es dedica a fer un estudi de mercat de l’empresa víctima i esbrina el seu poder adquisitiu, els pressupostos que mou, els ordinadors que utilitza, els programes que fa servir i els correus dels directius o dels qui gestionen les finances. I tota aquesta informació s’extreu per mitjà d’Internet. “Ho saben quasi tot”, comenta. Mentrestant, uns altres es fan càrrec de desenvolupar el programari de xifrat, uns altres ho venen a través del Web profund, i uns altres fan l’atac.

El vector d’infecció més típic és un correu amb un document adjunt. Quan algú l’obre per error, el ransomware penetra dins un ordinador i es replica en totes les màquines possibles per mitjà dels anomenats ‘moviments laterals’, que dispersen el virus. Aleshores, es comencen a xifrar les dades utilitzant sovint més d’una clau, cadascuna amb el seu preu. D’aquesta manera, l’empresa víctima ha de pagar certa quantitat per cada paquet d’informació encriptada. 

Punts febles

El ransomware afecta sobretot les grans empreses, més propenses a pagar el rescat per evitar la pèrdua d’informació permanent, la interrupció de l’activitat normal i danys econòmics i reputacionals. Però també són objectius temptadors les petites i mitjanes empreses amb el software desactualitzat -les que utilitzen Microsoft Office 2007 o 2010, per exemple-, que manquen d’antivirus, mesures de seguretat, o disposen de contrasenyes febles. Castellano adverteix que “les empreses no es preparen per uns atacs informàtics cada cop més freqüents, i són aquestes les víctimes”. A més, no n’hi ha prou amb fer còpies de seguretat: “El sistema de còpies d’aquesta empresa no estava pensat per esquivar un atac, perquè el ransomware també ataca les còpies”. Evitar ensurts passa per fer anàlisis de riscos de ciberseguretat, formar el personal i fer proves de penetració, per exemple. “Les companyies s’han de plantejar ja que la ciberseguretat és una inversió i no una despesa”, conclou a Twitter. 

Què és un ramsonware?

Rere els atacs s’hi amaga un ramsonware, un virus que segresta els nostres fitxers. Dit d’altra manera, és un programa maliciós que xifra els arxius i infecta els sistemes connectats a la mateixa xarxa, fins i tot si estan apagats. Una vegada instal·lat a l’ordinador, bloqueja l’accés i demana un rescat que oscil·la entre els centenars i els milers d’euros, pagables amb criptomonedes. Sovint, la via d’infecció és un document adjunt a un correu electrònic aparentment segur. Però també pot tractar-se d’un escriptori remot massa exposat a la xarxa, amb contrasenyes febles i sense mecanismes de protecció, algunes vulnerabilitats dels programes i el navegador o, directament, dispositius externs infectats que s’han connectat als equips.

Segons El Español, se sospita que aquest ransomware va ser creat per un grup rus anomenat Grim Spider, pirates especialitzats en atacar grans objectius. Tot i així, segons l’Institut Nacional de Ciberseguretat (INCIBE), es tracta d’un atac cada cop més freqüent perquè resulta molt lucratiu pels delinqüents (es calcula que els creadors de WannaCry, un tipus de ransomware que afectà milers d’ordinadors el 2017, guanyaven uns 360.000 dòlars mensuals). A més, cada cop és més fàcil segrestar la informació degut als avanços de la criptografia. Igualment, els pirates poden ocultar la seva identitat i utilitzar sistemes internacionals de pagament anònim, com els Bitcoin.

A qui pot afectar?

El ransomware afecta sobretot les grans empreses, més propenses a pagar el rescat per evitar la pèrdua d’informació permanent, la interrupció de l’activitat normal i danys econòmics i reputacionals. Però altres organitzacions també poden ser objectius temptadors. Entre els seus blancs predilectes podem trobar les universitats, amb uns equips de seguretat més petits i una gran interacció d’usuaris, sent així més probable el contagi. Les agències governamentals o els centres mèdics solen necessitar un accés immediat als seus fitxers, i les empreses amb dades confidencials poden estar disposades a pagar per mantenir la informació. Però no canteu victòria si no entreu dins d’aquestes categories: alguns ransomware es difonen de manera automàtica i indiscriminada a Internet i qualsevol ciutadà podria ser-ne víctima.

El ransomware ataca principalment Windows, però macOS, Android i iOS també se’n veuen afectats. Històricament, Linux s’ha comportat de manera més robusta davant dels virus, tot i que recentment el nombre d’atacs dirigits contra aquest sistema operatiu va en augment. Si fins ara el ransomware ha sigut quasi inexistent, és perquè els hackers no s’han molestat a desenvolupar-lo, tenint en compte que poques empreses funcionen amb Linux.

Què fer si et passa?

L’Institut Nacional de Ciberseguretat reclama no pagar per no incentivar els hackers a continuar amb la seva activitat delictiva. A més, demana apagar els ordinadors, trucar a la policia i avisar el servei tècnic. Tot i això, moltes organitzacions afectades paguen i no denuncien. Segons un estudi, mentre el 66% d’empreses asseguren que mai no accedirien a un rescat, en realitat el 65% el paguen quan se’n veuen afectades. Cal tenir en compte que els atacants ofereixen descomptes per actuar ràpidament, perquè les companyies accedeixin a pagar tan bon punt s’ha produït el segrest.

Alguns programes maliciosos especialment sofisticats detecten l’ubicació de l’ordinador infectat i ajusten el rescat per adaptar-se a l’economia del país, exigint més a les empreses dels països rics i menys a les de les regions pobres.

Si el teu ordinador ha estat infectat amb ransomware, hauràs de recuperar el control de l’aparell. Cal reiniciar el sistema operatiu al mode segur, instal·lar un antivirus, escanejar el sistema per trobar el programa ransomware i restaurar l’ordinador a l’estat anterior. Has de saber, malgrat tot, que amb tota probabilitat no podràs desxifrar els fitxers: només ho pot fer la clau matemàtica coneguda per l’atacant.

Com prevenir un atac?

Hi ha diverses recomanacions per evitar una infecció de ransomware, que són bones pràctiques de seguretat en general. Seguir-les, et servirà de protecció davant de qualsevol atac:

1. Instal·lar antivirus i tenir-los actualitzats.
2. Dissenyar la xarxa evitant exposar serveis interns utilitzant tallafocs o detectors d’intrusions.
3. Actualitzar els sistemes de manera automatitzada i centrada.
4. Fer còpies de seguretat periòdiques.
5. Controlar els accessos, restringir l’ús d’aplicacions o d’equips no permesos.
6. Disposar de mitjans per navegar amb seguretat, xifrant les comunicacions i actualitzant els navegadors.
7. Configurar el correu electrònic amb filtres antispam i autenticació de correus entrants.
8. Desactiva les opcions d’Autorun i Autoplay a les unitats externes, com els USB o els CD.
9. Protegeix la seguretat del wifi.
10. En el cas d’una empresa, és recomanable formar els treballadors en matèria de ciberseguretat.