REvil y el ransomware como servicio: una amenaza que se prepara de antemano

El ransomware cifra los archivos de una víctima y exige un pago a cambio de una supuesta clave de recuperación. El modelo se ha profesionalizado: algunos grupos desarrollan las herramientas y las alquilan a afiliados que ejecutan los ataques. Este esquema, conocido como ransomware como servicio (RaaS), facilita que delincuentes con distintos niveles de experiencia participen en campañas coordinadas.

REvil, también denominado Sodinokibi, fue uno de los grupos asociados a este modelo. Sus ataques y el incidente que afectó a clientes de Kaseya mostraron cómo comprometer a un proveedor puede extender el impacto a numerosas organizaciones. La extorsión puede combinar el cifrado con el robo de información y amenazas de publicarla.

La defensa no depende de una única herramienta. Conviene aplicar actualizaciones, restringir los privilegios de las cuentas, proteger el acceso remoto, usar autenticación multifactor y vigilar comportamientos anómalos. Las copias de seguridad deben mantenerse aisladas de los sistemas habituales y probarse mediante restauraciones reales; una copia que no puede recuperarse no sirve ante una crisis. También es necesario disponer de un plan para desconectar equipos afectados, conservar evidencias y comunicar el incidente.

Las listas de víctimas y las páginas de filtración no deben tratarse como simples fuentes de curiosidad. Acceder a ellas puede implicar riesgos y no ayuda a la recuperación de una organización. La mejor respuesta es preventiva: reducir los puntos de entrada, preparar la continuidad del negocio y practicar la recuperación antes de que se produzca el ataque.