El primer ataque de ransomware se remonta a más de 30 años, cuando el biólogo Joseph Popp creó el «Troyano AIDS». Este troyano, fue distribuido a través de disquetes en 1989 y marcó el inicio de una nueva era en la ciberextorsión. Este cifraba los nombres de los archivos en la computadora de la víctima y, después de 90 reinicios, mostraba un mensaje con instrucciones para obtener una herramienta de descifrado. El rescate debía pagarse mediante un cheque o giro postal enviado a una dirección específica. Sorprendentemente, esta forma de ataque ya existía antes de la llegada de Internet, pero con su integración en nuestra vida diaria, el ransomware ha evolucionado hasta convertirse en una de las mayores amenazas digitales de la actualidad. 

En 2023, la empresa de seguimiento de Criptomonedas “Chainalysis” ha reportado un récord histórico en los ataques por ransomware, con pagos que superaron los 1.000 millones de dólares, a pesar de las advertencias y recomendaciones de agencias como el FBI y CISA (Cybersecurity and Infrastructure Security Agency) de no realizar pagos a los atacantes. Sin embargo, el impacto del ransomware va más allá del costo económico: pérdida de datos, interrupciones operativas, demandas legales, daños a la reputación e incluso el cierre definitivo de empresas son algunas de sus consecuencias. En este artículo, analizaremos los diez ataques de ransomware más impactantes registrados hasta ahora, explorando sus métodos, efectos y las lecciones que dejaron. 

10. Universidad de california 

En 2020, la Universidad de California en San Francisco (UCSF) fue víctima de un ataque de ransomware perpetrado por NetWalker, un grupo de ciberdelincuentes que encriptó y extrajo datos sensibles de los sistemas de la facultad de medicina. Aunque lograron contener el ataque para que no afectara investigaciones relacionadas con COVID-19 ni la atención a pacientes, la universidad se vio obligada a pagar un rescate de 1,14 millones de dólares en criptomonedas para recuperar información clave para sus investigaciones académicas. 

NetWalker utilizó su modus operandi característico: correos electrónicos de phishing para obtener acceso no autorizado y cifrar los datos. Además, publicaron parte de la información robada como presión para garantizar el pago del rescate. Este ataque subraya el impacto devastador del ransomware en instituciones educativas y de investigación. 

9. Dallas 

En mayo de 2023, la ciudad de Dallas sufrió un ciberataque masivo a manos del grupo Royal, que comprometió menos de 200 sistemas informáticos municipales y causó daños significativos. Los atacantes utilizaron una cuenta de dominio básica para infiltrarse en los servidores de la ciudad, aprovechando herramientas de gestión remota y técnicas de movimiento lateral. Antes de ejecutar el ataque, se habían desplazado por la red durante semanas, lo que les permitió encriptar datos críticos al momento de lanzar el ransomware. 

El incidente afectó diversos servicios esenciales, incluidos el sitio web del Departamento de Policía, los pagos en línea de servicios municipales, las alertas del cuerpo de bomberos y los sistemas judiciales. Además, se robaron datos confidenciales, como números de seguro social e información médica, lo que llevó a la ciudad a notificar a los afectados mediante cartas. Aunque Dallas destinó 8,5 millones de dólares para remediar el impacto, muchas víctimas aún buscan compensación o una solución por las consecuencias del ataque. 

8. Kaseya 

En julio de 2021, Kaseya, proveedor de software para MSPs (proveedores de servicios gestionados), sufrió un devastador ataque de ransomware orquestado por el grupo REvil. Los atacantes explotaron vulnerabilidades de día cero en el software on-premises de Kaseya VSA, logrando eludir la autenticación y desplegar ransomware en los sistemas de clientes, lo que afectó a unas 1.500 organizaciones en todo el mundo. Este ataque paralizó operaciones al cifrar archivos esenciales y causar interrupciones masivas. 

REvil exigió un rescate de 70 millones de dólares por un descifrador universal, pero Kaseya rechazó pagar. En su lugar, la empresa desactivó sus servidores VSA y solicitó a sus clientes que hicieran lo mismo mientras trabajaban en parches de seguridad, que estuvieron disponibles días después. Este incidente resaltó una preocupante tendencia en los ataques de ransomware: los ciberdelincuentes apuntan a los proveedores de servicios gestionados para maximizar el alcance y el impacto de sus acciones. 

7. JBS Foods 

En 2021, el grupo de ransomware REvil atacó a JBS Foods, una de las mayores empresas de procesamiento de carne del mundo. Los ciberdelincuentes utilizaron credenciales filtradas de un ataque previo para infiltrarse en la red de la compañía, extrayendo 5 TB de datos durante tres meses antes de desplegar el ransomware. Este ataque encriptó información clave y paralizó la producción en varias instalaciones globales de JBS. 

El impacto fue tan grave que la empresa se vio obligada a suspender sus operaciones temporalmente y, finalmente, accedió a pagar un rescate de 11 millones de dólares para obtener la clave de descifrado. Este caso destaca cómo incluso grandes corporaciones pueden quedar vulnerables ante ataques sofisticados y persistentes como los de REvil. 

En diciembre de 2021, la empresa de gestión de recursos humanos UKG (anteriormente conocida como Kronos) fue víctima de un ataque de ransomware dirigido a su servicio Kronos Private Cloud. Este servicio en la nube, utilizado por más de 8.000 organizaciones para gestionar nóminas, horarios y datos de asistencia, se vio gravemente afectado cuando los atacantes robaron información de los clientes y exigieron un pago a la empresa. Aunque UKG accedió a las demandas, el ataque interrumpió operaciones críticas en hospitales, fábricas y pequeñas empresas, dejando un impacto duradero. 

El incidente se ha relacionado con técnicas similares al troyano bancario Kronos de 2014, aunque los detalles técnicos nunca se hicieron públicos. Además de los daños operativos, UKG enfrentó repercusiones legales significativas: en julio de 2023, llegó a un acuerdo de 6 millones de dólares para compensar a los empleados de empresas afectadas, subrayando las graves consecuencias de los ataques de ransomware en servicios esenciales y sus usuarios. 

6. Kronos 

En diciembre de 2021, la empresa de gestión de recursos humanos UKG (antes conocida como Kronos) fue víctima de un ataque de ransomware dirigido a su servicio Kronos Private Cloud, utilizado por más de 8.000 organizaciones para gestionar nóminas, horarios y datos de asistencia. Los atacantes robaron información confidencial y exigieron un rescate que UKG terminó pagando. Entre los afectados se encontraban hospitales, fábricas y pequeñas empresas que dependían del servicio para operaciones críticas. 

Aunque los detalles técnicos del ataque no se han divulgado, se sospecha una conexión con el troyano bancario Kronos de 2014. Las repercusiones legales han sido significativas, con demandas de empresas afectadas que culminaron en un acuerdo de 6 millones de dólares en julio de 2023 para compensar a los empleados impactados. 

5. Colonial Pipeline 

En 2021, Colonial Pipeline, el mayor proveedor de combustible de la costa este de Estados Unidos, sufrió un ataque de ransomware que interrumpió el suministro de gasolina, diésel y combustible para aviones. Ejecutado por el grupo DarkSide, el ataque se originó a través de una contraseña expuesta en una cuenta VPN, lo que permitió a los atacantes cifrar datos críticos y exigir un rescate en criptomonedas. 

Colonial Pipeline se vio obligada a apagar sus sistemas, causando escasez de combustible, compras de pánico y un aumento en los precios. La empresa pagó un rescate de 4,4 millones de dólares para restaurar sus operaciones, aunque el Departamento de Justicia recuperó más de la mitad de este monto. Este ataque, considerado una «amenaza para la seguridad nacional», puso de manifiesto la vulnerabilidad de las infraestructuras críticas frente al ransomware. 

4. Travelex 

En diciembre de 2019, Travelex, líder mundial en cambio de divisas, sufrió un devastador ataque de ransomware llevado a cabo por REvil. Los atacantes aprovecharon una vulnerabilidad sin parchear en los servidores VPN Pulse Secure de la empresa, desplegando el ransomware Sodinokibi que cifró datos críticos y paralizó sus sistemas informáticos. Aunque el proveedor del software había lanzado un parche en abril de ese año, Travelex no lo implementó, dejando expuesta su infraestructura. 

El ataque tuvo un impacto irreversible en la compañía. Aunque pagaron 2,3 millones de dólares de los 6 millones solicitados para recuperar el acceso a sus datos, el sistema estuvo fuera de línea durante casi dos semanas, afectando gravemente a socios como bancos y supermercados. Enfrentándose a problemas financieros, la pérdida de confianza de sus clientes y la amenaza de una investigación del GDPR, Travelex no pudo recuperarse y liquidó sus operaciones en 2020. 

3. Costa Rica 

En abril de 2022, un ciberataque contra el gobierno de Costa Rica fue tan grave que se declaró «emergencia nacional». El grupo de ransomware Conti penetró en el Ministerio de Hacienda, cifrando archivos y paralizando sistemas clave como el servicio de impuestos digitales y el control aduanero. Los atacantes exigieron un rescate de 10 millones de dólares, pero el gobierno costarricense se negó a pagar, lo que resultó en la afectación de otras instituciones, como el Ministerio de Ciencia, el Ministerio de Trabajo y la Caja Costarricense de Seguro Social. Los atacantes publicaron 672 GB de archivos robados en su sitio web. 

Este ataque de Conti se relaciona con otro perpetrado por el grupo Hive, que afectó los sistemas de salud del país, interrumpiendo servicios críticos como la Historia Clínica Digital Única. A pesar de las exigencias de rescate de 5 millones de dólares, el gobierno nuevamente rechazó el pago. La recuperación de estos ataques fue un proceso largo y costoso, con apoyo de Microsoft y los gobiernos de Estados Unidos, Israel y España para restaurar los servicios vitales del país. 

2. Ucrania 

En 2017, el ataque NotPetya afectó a múltiples países, pero su impacto fue especialmente severo en Ucrania, donde se sospecha que tuvo motivaciones políticas. Similar al virus Petya de 2016, NotPetya explotó dispositivos sin parches, se propagó a través de redes y cifró datos, aunque no era un ransomware tradicional. Los mensajes de rescate eran falsos, ya que no existía una clave de descifrado, lo que dejó los datos irrecuperables y causó daños permanentes a los sistemas afectados. 

El ataque interrumpió organismos gubernamentales, empresas e infraestructuras críticas en Ucrania. Investigaciones de Estados Unidos, Reino Unido y otros países vincularon el ataque al ejército ruso, específicamente a la GRU (inteligencia militar rusa). Este ciberataque se enmarcó en las tensiones geopolíticas entre Rusia y Ucrania, que continúan hasta hoy. 

1. WannaCry 

En mayo de 2017, el ataque de ransomware WannaCry se convirtió en uno de los más extensos y notorios de la historia, afectando a organizaciones e individuos de todo el mundo. El grupo de hackers Lazarus Group fue el presunto responsable, y el ataque se centró en computadoras con el sistema operativo Microsoft Windows, aprovechando una vulnerabilidad conocida como EternalBlue, que había sido filtrada por el grupo The Shadow Brokers. Aunque Microsoft había lanzado parches meses antes, muchas organizaciones y usuarios no los aplicaron, dejándose vulnerables. 

WannaCry afectó a más de 230,000 equipos en más de 150 países en pocos días. Organizaciones como la empresa de telecomunicaciones española Telefónica y el Servicio Nacional de Salud del Reino Unido fueron severamente impactadas, con hospitales y centros de salud obligados a cancelar citas y desviar pacientes debido a sistemas bloqueados. Los atacantes también extorsionaron a usuarios individuales, exigiendo entre 300 y 600 dólares en criptomonedas para desbloquear archivos. Según la empresa Cyence, las pérdidas estimadas por el ataque fueron de aproximadamente 4,000 millones de dólares. 

Los ataques de ransomware se han convertido en una amenaza global que afecta a organizaciones de todos los sectores. A pesar de los esfuerzos para mejorar la ciberseguridad, los ciberdelincuentes siguen adaptándose rápidamente, lo que hace que la prevención y preparación sean esenciales. La capacitación, la actualización constante de sistemas y políticas de seguridad robustas son claves para mitigar estos riesgos. Aunque el costo de estos ataques es alto, la cooperación entre gobiernos, empresas y usuarios es fundamental para reducir el impacto y prevenir futuros incidentes. La lucha contra el ransomware continúa, y la clave está en estar siempre alerta y preparados. 

Autor: Laura Mamián