**El Reino Unido prepara la prohibición del pago de rescates en ransomware para el sector público y las infraestructuras críticas**

—

### 1. Introducción

El gobierno del Reino Unido ha anunciado su intención de prohibir legalmente que las organizaciones del sector público y aquellas consideradas infraestructuras críticas paguen rescates tras sufrir ataques de ransomware. Esta medida busca reducir la rentabilidad de los ciberataques y reforzar la resiliencia nacional, situando al Reino Unido a la vanguardia de la normativa europea en materia de ciberseguridad. El anuncio, que se enmarca en una revisión general de la estrategia nacional de ciberseguridad, refleja una creciente preocupación por el impacto del ransomware en servicios esenciales y el aumento de los pagos multimillonarios que, en última instancia, incentivan la actividad delictiva.

—

### 2. Contexto del Incidente o Vulnerabilidad

Durante los últimos años, las campañas de ransomware han experimentado una escalada tanto en sofisticación como en frecuencia, afectando gravemente a organismos públicos, hospitales, redes de transporte y otras infraestructuras críticas en todo el mundo. En 2023, el 39% de las organizaciones británicas del sector público reportaron haber sido objetivo de al menos un incidente de ransomware, de acuerdo con el informe anual de la NCSC. Los pagos de rescates en el Reino Unido superaron los 88 millones de libras el año pasado, según estimaciones del gobierno, alimentando un círculo vicioso que fortalece a los grupos cibercriminales.

La decisión del Ejecutivo británico sigue la estela de otros países que han evaluado o implementado restricciones similares, y responde también a la presión de reguladores y organismos internacionales preocupados por la financiación indirecta de organizaciones criminales y, potencialmente, terroristas.

—

### 3. Detalles Técnicos

Los ataques de ransomware dirigidos a infraestructuras críticas suelen valerse de técnicas de acceso inicial como la explotación de vulnerabilidades en software expuesto (CVE-2023-34362 en MOVEit Transfer, CVE-2024-21413 en Microsoft Exchange), spear phishing avanzado y, en numerosas ocasiones, la cadena de suministro. Los operadores emplean TTPs recogidas en el framework MITRE ATT&CK, como la técnica T1566 (Phishing), T1486 (Data Encrypted for Impact) y T1071 (Application Layer Protocol).

Herramientas como Cobalt Strike, Metasploit, y kits de ransomware como LockBit, BlackCat/ALPHV y Clop, han sido frecuentemente identificados en incidentes recientes contra entidades públicas británicas. Los Indicadores de Compromiso (IoC) asociados incluyen hashes de binarios, direcciones IP de C2, y artefactos de exfiltración utilizados en la doble extorsión.

La nueva legislación afectará a todas las entidades cubiertas por la NIS2 (transposición prevista para 2024), ampliando la definición de infraestructuras críticas para incluir sectores como energía, agua, salud, transporte y administración pública.

—

### 4. Impacto y Riesgos

La prohibición del pago de rescates introduce un cambio estratégico en la respuesta ante incidentes de ransomware. Por un lado, elimina la opción de pago, que hasta ahora era considerada por muchas organizaciones como la vía más rápida para la recuperación de servicios esenciales. Por otro, obliga a reforzar la prevención y la capacidad de recuperación, incrementando la inversión en backup, planes de continuidad de negocio y segmentación de red.

Existe el riesgo de que, ante la imposibilidad de recibir pago, los grupos de ransomware intensifiquen la presión mediante la publicación de datos sensibles o extorsión directa a los individuos afectados (técnica de triple extorsión). Además, los atacantes podrían desviar sus operaciones a targets menos regulados o con menor madurez en ciberseguridad.

—

### 5. Medidas de Mitigación y Recomendaciones

La Agencia Nacional de Ciberseguridad (NCSC) recomienda fortalecer las siguientes áreas:

– **Gestión de parches y vulnerabilidades**: Priorizando CVE críticos explotados activamente.
– **Backups offline y testados**: Asegurando que las copias de seguridad no sean susceptibles a cifrado o borrado.
– **Autenticación multifactor**: Implementación obligatoria en accesos remotos y administrativos.
– **Segmentación de red y control de privilegios**: Limitando la propagación lateral y el impacto.
– **Simulacros de respuesta a incidentes**: Incluyendo escenarios de ransomware sin opción de pago.
– **Notificación inmediata**: Cumpliendo con los requisitos de reporte a la ICO y autoridades competentes bajo GDPR y NIS2.

—

### 6. Opinión de Expertos

Varios CISOs y analistas del sector han aplaudido la iniciativa, aunque advierten de la necesidad de acompañarla con inversión en capacidades defensivas. “La prohibición por sí sola no eliminará el ransomware, pero puede reducir su atractivo financiero si va acompañada de una mejora real en la resiliencia del sector público”, señala Marta González, responsable de respuesta a incidentes en una consultora internacional.

Por su parte, desde el organismo regulador ICO se insiste en que la transparencia y la rápida notificación serán aún más críticas, ya que la exposición pública de datos puede convertirse en la principal arma de los atacantes.

—

### 7. Implicaciones para Empresas y Usuarios

Las organizaciones afectadas deberán revisar y actualizar sus políticas de ciberseguridad, inversión en prevención y planes de respuesta. Deberán prepararse para escenarios en los que la recuperación sea más lenta y costosa, pero alineada con la legalidad. Los proveedores de servicios gestionados (MSP) y consultoras deberán adaptar sus contratos y asesoramiento para garantizar el cumplimiento normativo.

Para los usuarios finales, la medida podría traducirse en una mayor protección de sus datos a medio plazo, aunque a corto plazo podrían verse afectados por interrupciones prolongadas en servicios esenciales si se producen incidentes graves.

—

### 8. Conclusiones

La prohibición del pago de rescates por parte del sector público y las infraestructuras críticas en el Reino Unido marca un punto de inflexión en la lucha contra el ransomware. Si bien supone un reto operativo y legal para las organizaciones afectadas, representa también una oportunidad para elevar el estándar de ciberresiliencia y desalentar la economía del cibercrimen. El éxito de la medida dependerá de su implementación efectiva, la cooperación internacional y la capacidad de adaptación de todos los actores involucrados.

(Fuente: www.bleepingcomputer.com)