Los costes de recuperación por ransomware en los sectores de la energía y el agua alcanzan, de media, los 3 millones de dólares en un año

Sophos publica el informe sectorial ‘El Estado del Ransomware en Infraestructuras Críticas 2024’, que revela que la media de los costes de recuperación de dos sectores de infraestructuras críticas, como son el de la energía y el agua, se cuadruplicó hasta alcanzar los 3 millones de dólares en el último año. Esta cifra es cuatro veces superior a la media global de todos los sectores. Además, el 49% de los ataques de ransomware contra estos dos sectores de infraestructuras críticas comenzaron con una vulnerabilidad explotada.

Los datos del informe ‘El Estado del Ransomware en Infraestructuras Críticas 2024’ proceden de 275 encuestados de empresas de energía, petróleo y gas, y servicios públicos, que entran dentro de los sectores de Energía y Agua de los 16 sectores de infraestructuras críticas definidos por CISA (America's Cyber Defense Agency). Los resultados de este informe sectorial forman parte de una encuesta más amplia, independiente del proveedor, realizada entre enero y febrero de 2024 a 5.000 líderes de ciberseguridad/TI de 14 países y 15 sectores industriales.

“Los ciberdelincuentes se concentran donde más daño y trastornos puedan ocasionar, de forma que el público exija soluciones rápidas y, tal y como esperan los criminales, eso conlleve el pago de rescates para restablecer los servicios lo más rápido posible. Esto convierte a los servicios públicos en objetivos principales de los ataques de ransomware. Debido a las funciones esenciales que prestan, la sociedad actual exige que se recuperen rápidamente y con una interrupción mínima”, explica Chester Wisniewski, director Global Field CTO de Sophos.

“Desgraciadamente, los servicios públicos no sólo son objetivos atractivos, sino también vulnerables a los ataques en muchos frentes, entre ellos la exigencia de alta disponibilidad y seguridad, así como un enfoque de ingeniería centrado en la seguridad física. Hay una gran proporción de tecnologías antiguas configuradas para permitir la gestión remota, pero sin controles de seguridad modernos como el cifrado y la autenticación multifactor. Al igual que los hospitales y los colegios, estos servicios públicos operan a menudo con una plantilla mínima y sin el personal de TI necesario para estar al tanto de los parches, las últimas vulnerabilidades de seguridad y la supervisión necesaria para una detección y respuesta tempranas”.

El 49% de los ataques contra este tipo de empresas de infraestructuras críticas comenzó con una vulnerabilidad explotada.

Además de los crecientes costes de recuperación, la media del pago de rescate para las empresas de estos dos sectores se eleva a más de 2,5 millones de dólares en 2024, 500.000 dólares más que la media global intersectorial. Los sectores de la energía y el agua también registran la segunda tasa más alta de ataques de ransomware. En total, el 67% de las empresas de estos sectores declararan haber sufrido ataques de ransomware en 2024, en comparación con la media global intersectorial del 59%.

Otras conclusiones del informe son:

• Los sectores de la energía y el agua informan de tiempos de recuperación cada vez más largos. Solo el 20% de las empresas afectadas por ransomware han podido recuperarse en una semana o menos en 2024, frente al 41% en 2023 y el 50% en 2022. El 55% tardó más de un mes en recuperarse, frente al 36% en 2023. En comparación, en todos los sectores, sólo el 35% de las empresas tardó más de un mes en recuperarse.
• Estos dos sectores de infraestructuras críticas registran la tasa más alta de copias de seguridad comprometidas (79%) y la tercera tasa más alta de cifrado con éxito (80%) en comparación con los demás sectores encuestados.

“Esto demuestra una vez más que el pago de rescates casi siempre va en contra de los intereses de la víctima. Un número cada vez mayor (61%) pagó el rescate como parte de su recuperación, y sin embargo el tiempo que tardó en recuperarse se alargó. Estos elevados porcentajes e importes de los rescates no sólo fomentan más ataques contra el sector, sino que no están logrando el objetivo pretendido de acortar los plazos de recuperación”, afirma Wisniewski.

“Estas empresas de servicios públicos deben reconocer que están en el punto de mira y tomar medidas proactivas para vigilar la exposición de sus dispositivos de acceso remoto y de red en busca de vulnerabilidades y asegurarse de que disponen de capacidades de vigilancia y respuesta 24 horas al día, 7 días a la semana, para minimizar los cortes y acortar los tiempos de recuperación. Los planes de respuesta a incidentes deben planificarse con antelación, al igual que para incendios, inundaciones, huracanes y terremotos, y ensayarse periódicamente”.