El chantaje a empresas en la Internet profunda prospera como negocio en plena pandemia

Un nuevo brote se ha sumado a la tormenta perfecta provocada por la pandemia de la covid-19 en el d¨ªa a d¨ªa de las empresas: la escalada de ciberataques. Varias compa?¨ªas ya han sido v¨ªctimas de una extorsi¨®n doble: los ciberdelincuentes invaden los sistemas, secuestran datos y encriptan la red interna. Luego, solicitan un rescate para liberar los datos y evitar que la informaci¨®n robada se venda a la competencia o se haga p¨²blica en la Internet profunda, la capa a la que los motores de b¨²squeda como Google no llegan. Los especialistas en ciberseguridad advierten que, con la pandemia, las empresas se han vuelto todav¨ªa m¨¢s vulnerables debido al acceso remoto a los sistemas que realizan los empleados que teletrabajan.

Un estudio realizado por Kaspersky, una empresa rusa de ciberseguridad que opera en Brasil, muestra que, solo en ese pa¨ªs, los ataques que est¨¢n dirigidos a herramientas de acceso remoto aumentaron un 333% entre febrero y abril. De este porcentaje, no se puede saber cu¨¢ntos cometieron el delito de doble extorsi¨®n. En cualquier caso, los ataques ocurren en todo el mundo y contra los objetivos m¨¢s variados: desde un destacado abogado de famosos en Estados Unidos hasta compa?¨ªas de salud, agroindustria o energ¨ªa. Entre ellas, se encuentran las brasile?as CPFL Energia, Cosan, Aliansce Sonae y Arteris, adem¨¢s de la empresa portuguesa EDP, que opera en el sector el¨¦ctrico en Brasil.

EL PA?S ha seguido las p¨¢ginas de la Internet profunda que utilizan seis grupos de hackers internacionales, aunque los estudios realizados por webs especializadas muestran que hay al menos 11 bandas que act¨²an en este tipo de delito cibern¨¦tico. Los hackers a los que ha seguido el peri¨®dico atacaron al menos a 100 empresas, de las cuales al menos 22 no quisieron pagar el rescate y sus datos se subastaron en tiempo real.

Seg¨²n los anuncios, por una oferta inicial de 600.000 d¨®lares se pod¨ªa participar en la subasta de los datos de la estrella del pop Mariah Carey. Esos datos son solo una parte de la informaci¨®n que secuestraron de Grubman Shire Meiselas & Sacks, un bufete de abogados con sede en Nueva York que tiene otros clientes estrella, como Madonna, Lady Gaga y Elton John.

El negocio ha crecido en los ¨²ltimos meses y Brasil est¨¢ entre los objetivos. Kaspersky ha demostrado que, solo en abril de este a?o, Bras fue blanco de m¨¢s del 60% de los ataques que la empresa identific¨® que se realizaron en Am¨¦rica Latina. El segundo pa¨ªs m¨¢s afectado fue Colombia, con 11,9 millones de ataques, seguido de M¨¦xico (9,3 millones), Chile (4,3 millones), Per¨² (3,6 millones) y Argentina (2,6 millones). En Brasil, una de las empresas atacadas fue CPFL Energia. Para demostrar que hab¨ªan robado sus datos, los hackers del grupo Maze publicaron una peque?a parte de la informaci¨®n ¡ªotra pr¨¢ctica com¨²n en estos grupos¡ª, como si fuera una especie de muestra gratuita. CPFL Energia no ha querido hacer comentarios al respecto.

La p¨¢gina Corporate Leaks, que pertenece a una banda llamada Nefilim, publica datos secuestrados de las empresas brasile?as Cosan, Aliansce Sonae y Arteris. ¡°La negligencia de Cosan en ciberseguridad nos ha permitido entrar en su red y movernos libremente durante meses¡±, provocan los secuestradores, que no han revelado cu¨¢nto cobran por devolver los datos.

Cosan es uno de los mayores conglomerados empresariales de Brasil e incluye empresas de las ¨¢reas de energ¨ªa, log¨ªstica, infraestructura y agricultura. Entre los brazos del grupo se encuentran Raizen (una filial conjunta entre Cosan y Shell), que distribuye combustibles, y Comg¨¢s, que genera y distribuye gas y electricidad. Desde 2005, el grupo cotiza en la Bolsa de Valores de S?o Paulo (B3) en la categor¨ªa Nuevo Mercado, donde se encuentran las compa?¨ªas con el m¨¢s alto nivel de gesti¨®n empresarial.

Las reglas de la Comisi¨®n de Valores Mobiliarios (CVM) establecen que, ¡°en caso de que se filtre informaci¨®n o si los papeles de emisi¨®n de la compa?¨ªa oscilan at¨ªpicamente¡±, la empresa debe avisar inmediatamente a la bolsa de valores, ¡°aunque la informaci¨®n se refiera a operaciones en negociaci¨®n (no concluidas), negociaciones en fase inicial, estudios de viabilidad o incluso la mera intenci¨®n de hacer negocios¡±. Por medio de una nota, Cosan lleg¨® a anunciar, el 11 de marzo, que tuvo que interrumpir sus operaciones debido a un ¡°ataque criminal de hackers¡±.

Sin embargo, la compa?¨ªa no ha vuelto a informar a sus accionistas sobre las consecuencias del ataque, que continu¨® con la divulgaci¨®n de los datos de la compa?¨ªa en la Internet profunda. Siguiendo la estrategia de dar tiempo para negociar, los secuestradores publicaron el 20 de marzo el primer paquete de informaci¨®n de la compa?¨ªa. Todo indica que se trata de archivos que se utilizaron en la planificaci¨®n fiscal, los controles de procesos y riesgos fiscales, entre 2014 y 2020.

Como no obtuvieron respuesta, el 1 de abril los hackers dieron otro paso: publicaron la base de datos del departamento jur¨ªdico, que contiene informaci¨®n sobre los procesos laborales, civiles e incluso penales a los que la empresa se enfrenta. El anzuelo es apelar a los principios ¨¦ticos de los visitantes de la p¨¢gina, enfatizando las condenas que se han impuesto a la empresa por trabajo an¨¢logo a la esclavitud. ¡°Si no est¨¢s de acuerdo con el trabajo esclavo, entra en contacto con estas personas, que son los responsables directos¡±, publicaron los hackers en la p¨¢gina Corporate Leaks, donde divulgan los correos electr¨®nicos y tel¨¦fonos celulares de los principales ejecutivos de la compa?¨ªa. Hasta el 25 de junio, el grupo hab¨ªa publicado seis paquetes de datos de la empresa.

Carlos Sampaio, gerente de TI del Centro de Transformaci¨®n e Innovaci¨®n Digital (CESAR), advierte que el aumento del n¨²mero de ataques durante la pandemia no es una coincidencia. ¡°Mandamos a los trabajadores a casa de manera desordenada, que es diferente de establecer un sistema de teletrabajo, y esto ha puesto a las empresas a merced de todo tipo de escenarios¡±, afirma.

Esto se debe a que las empresas no estaban preparadas para ofrecer, en casa de los empleados, la misma estructura de seguridad que tienen en sus oficinas. Redes sin certificado, enrutadores abiertos, un mayor volumen de conexiones en el vecindario, todo esto puede convertirse en la puerta de entrada de personas con malas intenciones. Incluso las empresas que han ofrecido a sus empleados una VPN (red de comunicaci¨®n privada) no son completamente seguras. ¡°La VPN es un t¨²nel que va directo al coraz¨®n de la red de una empresa¡±, advierte.

Los ataques ransomware son viejos conocidos de las empresas. ¡°En el 99,9% de los casos, el atacante no quiere quedarse los datos, solo encriptarlos, lo que significa mezclar la informaci¨®n con una clave que solo ¨¦l tiene y extorsionar a la compa?¨ªa para que compre esa clave¡±, explica Sampaio. ¡°La puerta de entrada del ransomware es el punto m¨¢s d¨¦bil de la tecnolog¨ªa: el ser humano. No solo enviamos a los empleados a casa durante la pandemia, sino que tambi¨¦n enviamos a los CEO, directores, responsables que a veces llevan la base de datos completa en sus port¨¢tiles con el argumento de que facilitar¨¢ su trabajo¡±.

Thiago Giantomassi, socio de fusiones y adquisiciones y mercados de capitales de Demarest, explica que las empresas que cotizan en bolsa son los objetivos principales, precisamente porque est¨¢n obligadas a cumplir las reglas de divulgaci¨®n de hechos considerados relevantes. ¡°La informaci¨®n tiene valor, f¨ªjate en las compa?¨ªas de Internet que trabajan con informaci¨®n en su negocio, como Facebook e Instagram¡±, dice.

Sin embargo, a pesar de las reglas, todav¨ªa es poco com¨²n encontrar hechos relevantes de compa?¨ªas de capital abierto que tratan sobre invasiones cibern¨¦ticas. Giantomassi explica que las compa?¨ªas generalmente eval¨²an si el ataque tiene un impacto relevante en los negocios antes de informar al mercado. ¡°A menudo, la compa?¨ªa no es consciente de las consecuencias de lo sucedido, e incluso si lo es, puede tratarse de informaci¨®n confidencial y estrat¨¦gica que no quiere ver en los medios para proteger sus intereses y los de sus accionistas¡±.

Este puede ser el caso de Aliansce Sonae, la mayor administradora de centros comerciales de Brasil. Como sufri¨® una invasi¨®n y no acept¨® negociar, los hackers ya han publicado tres paquetes de datos que pueden bajarse en la Internet profunda. La informaci¨®n abarca desde presentaciones a inversores hasta informes de auditor¨ªa, hojas de facturaci¨®n y de cobro. La compa?¨ªa no comunic¨® a la CVM que hab¨ªa sido hackeada. Por medio de un comunicado de prensa, Aliansce ha confirmado que sufri¨® el ataque de un virus durante la madrugada del 3 de mayo, pero que la acci¨®n ¡°no caus¨® ning¨²n impacto material en las operaciones de la compa?¨ªa¡±.

Otro gigante que sufri¨® un ataque fue Arteris, del grupo espa?ol Abertis y de la gestora de fondos canadiense Brookfield, que opera en el segmento de concesi¨®n de carreteras. ¡°La compa?¨ªa sufri¨® un intento de ciberataque el 13 de abril, pero pudo tomar todas las medidas de protecci¨®n necesarias para seguir funcionando y garantizar la seguridad de los datos de sus empleados y de los veh¨ªculos que circulan por sus carreteras¡±, dijo en un comunicado. Aun as¨ª, ya hay cuatro paquetes de datos publicados en la Internet profunda. Una parte son documentos legales sobre litigios, muchos relacionados con el Instituto Chico Mendes para la Conservaci¨®n de la Biodiversidad (ICMBIO). Aunque no lo ha notificado a la CVM, la compa?¨ªa dice que lo ha denunciado a la polic¨ªa y est¨¢ colaborando en las investigaciones.

¡°Muro de la verg¨¹enza¡±

A pesar de estar en un momento de mayor vulnerabilidad, la Polic¨ªa Federal ha informado que no existe una estad¨ªstica espec¨ªfica sobre estos delitos cibern¨¦ticos. A trav¨¦s de una nota de prensa, la Polic¨ªa Federal ha explicado que, aunque se les informa de los ataques, llamados ransomware ¡ªun software malicioso instalado en la red atacada que hace imposible que sus usuarios tengan acceso a la informaci¨®n¡ª, ¡°para que podamos actuar deber¨ªa producirse alg¨²n da?o a un bien o servicio de la Federaci¨®n [la competencia para investigar estos casos la tiene la Polic¨ªa Civil]¡±.

Mientras tanto, las empresas son expuestas de forma muy evidente. El blog de Ragnar Leaks llama ¡°muro de la verg¨¹enza¡± el lugar donde publica los datos de las compa?¨ªas ¡°que desean mantener en secreto la informaci¨®n filtrada, exponiendo a sus clientes, socios y a s¨ª mismos a riesgos a¨²n mayores que una recompensa por la caza al tesoro¡±. En el muro est¨¢ EDP - Energias de Portugal, una compa?¨ªa de energ¨ªa el¨¦ctrica que tiene una sucursal en Brasil y opera en Espa?a, Francia y B¨¦lgica. ¡°?Un gigante de este tipo no puede permitirse el lujo de tener una red tan d¨¦bil y vulnerable, en nuestra opini¨®n!¡±, escriben los hackers. Por medio de una nota de prensa, la compa?¨ªa ha confirmado el ataque, ha enfatizado que no se ha filtrado informaci¨®n relacionada con sus clientes y ha declarado que ¡°no ha recibido ni pagado ning¨²n pedido de rescate¡±.