Nueva táctica de chantaje: “Ransom Busters” ofrece borrar datos robados por ransomware a cambio de hasta 60.000 dólares

Introducción

En un giro inesperado dentro del ecosistema de la ciberdelincuencia, ha surgido un nuevo grupo denominado «Ransom Busters» que está contactando proactivamente a organizaciones víctimas de ataques de ransomware. Este actor, que actúa como intermediario no autorizado, promete a las empresas eliminar sus datos robados de los servidores de bandas de ransomware a cambio de un pago que oscila entre 20.000 y 60.000 dólares. Este fenómeno, detectado y analizado recientemente por GuidePoint Research, introduce un vector de chantaje adicional y plantea nuevos desafíos para los equipos de ciberseguridad y los responsables de la gestión de incidentes.

Contexto del Incidente

El ransomware sigue siendo una de las amenazas más predominantes para organizaciones de todos los tamaños a nivel global. Tradicionalmente, el modelo de doble extorsión —en el que los atacantes exigen un rescate primero por el descifrado de los datos y luego por no publicar la información exfiltrada— ha puesto a las empresas en una situación crítica, especialmente bajo marcos regulatorios estrictos como el RGPD y la NIS2.

En este contexto, Ransom Busters ha comenzado a explotar una nueva oportunidad: tras identificar víctimas de ransomware, envía correos electrónicos en los que se ofrece a “ayudar” a las empresas eliminando sus datos de los servidores de los grupos criminales originales, previo pago de una suma considerable. Esta intervención se produce al margen del acuerdo —o falta del mismo— alcanzado con los autores iniciales del ataque, y añade una capa extra de complejidad al proceso de recuperación.

Detalles Técnicos

Los mensajes identificados por los analistas de GuidePoint contienen promesas de borrar los datos robados alojados en los servidores de actores ransomware conocidos. Aunque no se ha identificado un CVE específico asociado a esta táctica, la operativa encaja dentro de las técnicas de Extorsión (T1657) y Spearphishing (T1566.001) del framework MITRE ATT&CK.

El vector de ataque principal es el correo electrónico dirigido a los responsables de seguridad y directivos de las empresas afectadas, utilizando información extraída de filtraciones previas o brechas de seguridad públicas. En los mensajes, Ransom Busters detalla el tipo de información comprometida y sugiere disponer de acceso privilegiado a los paneles de administración de grupos de ransomware, lo que plantea hipótesis como la colaboración interna, la compra de accesos en foros clandestinos o la explotación de vulnerabilidades en infraestructuras criminales.

No se ha documentado aún la existencia de exploits públicos o módulos específicos en frameworks como Metasploit o Cobalt Strike que permitan a terceros borrar información en servidores de ransomware. Sin embargo, la sofisticación y el conocimiento del ecosistema criminal que demuestran estos actores indica una capacidad avanzada para operar en entornos ilegales y aprovechar la fragmentación de los grupos de ransomware como servicio (RaaS).

Impacto y Riesgos

El impacto de esta táctica va más allá del daño económico inmediato. Además del coste potencial asociado al pago del “rescate secundario”, las organizaciones se enfrentan a riesgos reputacionales, incertidumbre sobre la verdadera eliminación de los datos y posibles implicaciones legales, especialmente bajo el RGPD, que exige notificación y mitigación de brechas de datos personales.

GuidePoint Research alerta de que esta tendencia podría proliferar rápidamente, dado el bajo coste de ejecución y el alto potencial de rentabilidad para los atacantes. Se estima que el 8% de las víctimas de ransomware reciben algún tipo de contacto de terceros ajenos al grupo original en los tres primeros meses tras el ataque, una cifra que podría aumentar si la táctica demuestra ser exitosa.

Medidas de Mitigación y Recomendaciones

Ante este tipo de chantajes, los expertos recomiendan:

– No responder ni negociar con actores desconocidos, ya que no existe garantía alguna de que los datos sean efectivamente eliminados.
– Comunicar inmediatamente cualquier contacto de este tipo al CERT nacional y al equipo legal de la empresa.
– Recopilar y preservar toda la evidencia digital, incluyendo los correos recibidos, para facilitar su análisis por parte de los investigadores y las fuerzas de seguridad.
– Revisar las políticas de respuesta a incidentes, incluyendo procedimientos específicos para la gestión de extorsiones secundarias.
– Fortalecer la monitorización de la dark web y foros clandestinos para detectar posibles ofertas o ventas de datos comprometidos.
– Asegurar la notificación a las autoridades competentes (AEPD en España) en caso de exposición de datos personales, cumpliendo estrictamente con los requisitos de la normativa RGPD y la directiva NIS2.

Opinión de Expertos

Especialistas en ciberseguridad consultados coinciden en que la irrupción de intermediarios como Ransom Busters refleja la creciente profesionalización y diversificación del cibercrimen. “Ya no basta con negociar con el grupo de ransomware original; ahora hay que anticipar posibles extorsiones de terceros que explotan el caos post-incidente”, advierte un CISO de una multinacional europea. Además, señalan que el pago a estos actores no solo es éticamente cuestionable, sino que puede incentivar la aparición de más intermediarios y aumentar la exposición de la empresa a nuevas amenazas.

Implicaciones para Empresas y Usuarios

Para las empresas, este fenómeno implica la necesidad de reforzar los procedimientos internos de respuesta y comunicación frente a incidentes, así como de invertir en inteligencia de amenazas para anticipar movimientos de actores secundarios. Los usuarios cuyos datos han sido comprometidos pueden verse afectados por la potencial exposición continuada de su información, incluso si la empresa decide pagar a estos intermediarios.

Conclusiones

La aparición de actores como Ransom Busters marca un nuevo hito en la evolución de la amenaza ransomware, añadiendo capas de extorsión y dificultando la gestión de crisis para las organizaciones. La clave está en la prevención, la transparencia y la colaboración con las autoridades, evitando caer en la trampa de pagos adicionales a actores no verificados.

(Fuente: feeds.feedburner.com)