La extorsión cibernética llega al gigante Salesforce: 1000 millones de registros en juego
Si algo me ha quedado claro tras años analizando incidentes de ciberseguridad, es que el mundo del ransomware se parece cada vez más a una industria perfectamente organizada. Y lo que está ocurriendo con Salesforce es la prueba definitiva: estamos ante un caso que muestra hasta dónde pueden llegar los ciberdelincuentes y cómo las grandes empresas están plantando cara.
La negativa de Salesforce que marca un precedente
Salesforce acaba de tomar una decisión que muchos considerarán valiente (y otros, temeraria): se ha negado rotundamente a pagar el rescate exigido por un grupo de ciberdelincuentes que afirma haber robado cerca de mil millones de registros de sus clientes.
«No vamos a negociar, ni a comprometernos, ni a pagar ninguna demanda de extorsión», confirmó un representante de la compañía. Una postura firme que contrasta con lo que suele ocurrir entre bambalinas en muchas organizaciones.
Y esto no es un ataque cualquiera. Los hackers, que se autodenominan Scattered LAPSUS$ Hunters (un nombre que combina tres grupos notorios: Scattered Spider, LAPSUS$ y ShinyHunters), han amenazado con filtrar toda la información si no se les paga antes de la fecha límite, que era el pasado viernes.
Un método de ataque sorprendentemente simple
Lo más alarmante de todo este asunto no es solo la cantidad de datos comprometidos, sino lo ridículamente sencillo que fue el método de entrada. Según Mandiant (propiedad de Google), que identifica al grupo como UNC6040, la campaña de ataques comenzó en mayo con algo tan básico como llamadas telefónicas.
Los atacantes simplemente llamaban a organizaciones que usaban Salesforce y, con un pretexto convincente, pedían a los empleados que conectaran una aplicación controlada por ellos a sus portales Salesforce. Y lo más sorprendente (o quizás no tanto): muchas personas lo hicieron sin cuestionar.
Este tipo de ingeniería social es el equivalente digital a que alguien llame a tu puerta diciendo que viene a revisar las tuberías y tú le dejes entrar sin pedirle identificación. Básico, pero efectivo.
El dilema del pago de rescates
La negativa de Salesforce llega en un momento en que los pagos por ransomware alcanzan cifras astronómicas. Según Deepstrike, los pagos globales por rescates sumaron 813 millones de dólares el año pasado, una cifra ligeramente inferior a los 1.100 millones de 2023.
¿Y sabéis cuánto pagó Cencora, un distribuidor farmacéutico, tras sufrir un ataque similar? 75 millones de dólares. Con esas cantidades, no es de extrañar que estos grupos sigan proliferando.
Las consecuencias de pagar
El debate sobre si se debe o no pagar estos rescates no es nuevo, pero cada vez hay más consenso entre los expertos en ciberseguridad: pagar solo empeora el problema a largo plazo.
Como señala Kevin Beaumont, investigador independiente: «Las corporaciones no deberían estar financiando directamente al crimen organizado». Y tiene toda la razón cuando advierte que estamos alimentando un ciclo peligroso.
Cada pago no solo financia las operaciones actuales de estos grupos criminales, sino que también les permite invertir en herramientas más sofisticadas, contratar más «talento» y expandir sus operaciones. Es como si estuviéramos pagando el sueldo a quienes nos roban.
Entre los afectados: Toyota, FedEx y 37 empresas más
El grupo de atacantes creó un sitio web donde listaban a Toyota, FedEx y otras 37 empresas clientes de Salesforce cuyos datos fueron comprometidos. En total, afirman haber obtenido «989,45 millones de registros, aproximadamente mil millones o más».
Lo curioso es que el grupo ha dirigido su demanda de rescate directamente a Salesforce, no a las empresas afectadas. «Nadie más tendrá que pagarnos, si tú pagas, Salesforce, Inc.», decía el mensaje en su web. Una estrategia inteligente: en vez de perseguir a 39 empresas por separado, van a por el denominador común.
La contradicción de las agencias gubernamentales
Hay otro elemento interesante en esta historia: el papel de las agencias gubernamentales. Mientras que la Agencia Nacional contra el Crimen del Reino Unido (NCA) recomienda públicamente no pagar rescates, Beaumont menciona que varias organizaciones le han confirmado la presencia de miembros de la NCA durante las negociaciones de rescate.
Esta ambigüedad refleja la complejidad del problema. Las agencias quieren detener los pagos, pero también quieren estar presentes para recopilar información de inteligencia cuando estos ocurren.
Un panorama cada vez más complicado
Como profesional que lleva años en el sector, tengo que reconocer que la situación es cada vez más complicada. Los ataques son más sofisticados, los grupos más organizados, y las cantidades en juego más elevadas.
«Se está convirtiendo en un verdadero lío defender contra estas cosas en las trincheras», dice Beaumont. Y no puedo estar más de acuerdo.
Lo que hace unos años era un problema de seguridad informática, hoy es una cuestión que afecta a la seguridad nacional, la economía global y la viabilidad de muchas empresas. Los ciberdelincuentes han encontrado un modelo de negocio extremadamente lucrativo, y no tienen intención de abandonarlo.
La decisión de Salesforce de plantarse marca un precedente importante. Veremos si otras empresas siguen su ejemplo o si la presión de ver sus datos expuestos acaba siendo demasiado grande para resistir.
