A pesar del aumento de los rescates, el estudio de este año indica una ligera reducción en la tasa de ataques de ransomware, con un 59% de las empresas afectadas, frente al 66% en 2023. En España también ha habido una disminución en el porcentaje de ataques. El 59% de las empresas españolas ha sido atacada por ransomware en 2024, frente al 77% en 2023. Aunque la propensión a sufrir ciberataques aumenta con los ingresos, incluso las empresas más pequeñas (menos de 10 millones de dólares de ingresos) siguen siendo objetivo habitual, con algo menos de la mitad (47%) afectadas por ransomware en el último año.
El informe de 2024 también revela que el 63% de las peticiones de rescate eran de 1 millón de dólares o más, con un 30% de peticiones de más de 5 millones de dólares, lo que sugiere que los operadores de ransomware buscan grandes pagos. Desgraciadamente, estos importes de rescate cada vez mayores no son sólo para las empresas con mayores ingresos. Casi la mitad (46%) de las empresas con ingresos inferiores a 50 millones de dólares recibieron, en el último año, una petición de rescate de siete cifras.
"No debemos permitir que el ligero descenso en los índices de ataques nos dé una sensación de complacencia. Los ataques de ransomware siguen siendo la amenaza dominante hoy en día y están alimentando la economía de la ciberdelincuencia. Sin el ransomware, no veríamos la misma variedad y volumen de amenazas precursoras y servicios que alimentan estos ataques. Los costes desorbitados de los ataques de ransomware desmienten el hecho de que se trata de un delito con igualdad de oportunidades. El panorama del ransomware ofrece algo para cada ciberdelincuente, independientemente de su habilidad. Mientras que algunos grupos se centran en rescates multimillonarios, hay otros que se conforman con sumas menores compensándolas con volumen", afirma John Shier, CTO Field de Sophos.
El informe también revela que el 97% de las empresas afectadas por ransomware durante el año pasado acudieron a las fuerzas de seguridad y/o los organismos oficiales públicos para obtener ayuda con los ciberataques. El 61% declaró haber recibido asesoramiento sobre cómo hacer frente al ransomware, mientras que el 60% recibió ayuda para investigar el ataque. El 58% de los que sufrieron el cifrado de sus datos recibieron ayuda de las fuerzas de seguridad para recuperar sus datos del ataque de ransomware.
"Tradicionalmente, las empresas han evitado colaborar con las fuerzas de seguridad por miedo a que sus ataques se hicieran públicos. Si se sabe que han sido víctimas, esto podría afectar a su reputación empresarial y empeorar la situación. Las nuevas normativas sobre notificación de incidentes cibernéticos, por ejemplo, parecen haber normalizado la colaboración con las fuerzas de seguridad, y los datos de esta encuesta muestran que las organizaciones están dando pasos en la dirección correcta", afirma Chester Wisniewski, director CTO Field de Sophos.
En lo que respecta al método, por segundo año consecutivo, las vulnerabilidades explotadas fueron la causa más común de un ataque, afectando al 32% de las empresas. Le siguieron de cerca las credenciales comprometidas (29%) y el correo electrónico malicioso (23%). Esto coincide directamente con los resultados de la respuesta a incidentes del último Active Adversary Report de Sophos.
Aquellos ataques que comenzaron con vulnerabilidades explotadas supusieron un impacto más grave para la empresa atacada, con un mayor índice de compromiso de las copias de seguridad (75%), cifrado de datos (67%) y propensión a pagar el rescate (71%), que cuando los ataques comenzaron con credenciales comprometidas. Las empresas encuestadas también sufrieron un impacto financiero y operativo considerablemente mayor, con un coste medio de recuperación de 3,58 millones de dólares frente a los 2,58 millones, cuando un ataque comenzó con credenciales comprometidas. Además, hubo una mayor proporción de empresas atacadas que tardaron más de un mes en recuperarse.
Otras conclusiones destacadas del inform e son:
- Menos de una cuarta parte (24%) de las empresas que pagan el rescate entregan la cantidad solicitada originalmente, y el 44% de los encuestados declara haber pagado una cantidad menor de la requerida en un inicio.
- El pago medio del rescate fue del 94% de la petición inicial.
- En más de cuatro quintas partes (82%) de los casos, la financiación del rescate procedía de múltiples fuentes. En general, el 40% de la financiación total del rescate procedía de las propias empresas y el 23% de proveedores de seguros.
- El 94% de las empresas afectadas por ransomware el año pasado afirmaron que los ciberdelincuentes intentaron poner en peligro sus copias de seguridad durante el ataque, porcentaje que se eleva al 99% en el caso de las administraciones públicas locales y estatales. En el 57% de los casos, los intentos de comprometer las copias de seguridad tuvieron éxito.
- En el 32% de los incidentes en los que se cifraron los datos, éstos también fueron robados (un ligero aumento con respecto al 30% del año pasado), lo que incrementa la capacidad de los atacantes para extorsionar a sus víctimas.
"Gestionar el riesgo es la esencia de lo que hacemos como equipos de seguridad. Las dos causas más comunes de los ataques de ransomware, vulnerabilidades explotadas y la vulneración de credenciales, se pueden prevenir, pero siguen afectando a demasiadas empresas. Estas deben evaluar críticamente sus niveles de exposición a estas causas y abordarlas de inmediato. En un entorno defensivo en el que los recursos son escasos, es hora de que las empresas también impongan costes a los atacantes. A través de la subida del listón de lo que se necesita para penetrar en las redes, las empresas pueden aspirar a maximizar su gasto en equipos de protección”, afirma Shier.
Sophos recomienda las siguientes buenas prácticas para ayudar a las empresas a defenderse contra el ransomware y otros ciberataques:
- Comprender el perfil de riesgo con herramientas como Sophos Managed Risk, que puede evaluar la superficie de ataque externa de una empresa, priorizar las exposiciones más peligrosas y ofrecer orientación personalizada para remediarlas.
- Implementar una protección para endpoints diseñada para detener una serie de técnicas de ransomware perennes y en constante cambio, como Sophos Intercept X.
- Reforzar las defensas con detección de amenazas, investigación y respuesta las 24 horas del día, ya sea a través de un equipo interno o con la ayuda de un proveedor de detección y respuesta gestionadas (MDR).
- Crear y mantener un plan de respuesta ante incidentes, así como copias de seguridad periódicas y prácticas de recuperación de datos de las copias de seguridad.
Los datos del informe “El Estado del Ransomware 2024” proceden de una encuesta independiente del proveedor realizada a 5.000 líderes de ciberseguridad/TI entre enero y febrero de 2024. Los encuestados se encontraban en 14 países de América, EMEA y Asia-Pacífico. Las empresas encuestadas tenían entre 100 y 5.000 empleados, y los ingresos oscilaban entre menos de 10 millones de dólares y más de 5.000 millones de dólares.