El volumen total de pagos de rescate disminuyó interanualmente en aproximadamente un 35%, impulsado por el aumento de las acciones de las fuerzas del orden, la mejora de la colaboración internacional y una creciente negativa de las víctimas a pagar. Las criptomonedas siguen desempeñando un papel central en la extorsión.
En respuesta, muchos atacantes cambiaron de táctica y surgieron nuevas cepas de ransomware a partir de códigos renombrados, filtrados o comprados. Las operaciones de ransomware también se han vuelto más rápidas, y las negociaciones suelen comenzar a las pocas horas de la exfiltración de datos.
Los atacantes van desde actores de estados nacionales hasta operaciones de ransomware como servicio (RaaS), operadores solitarios y grupos de extorsión por robo de datos, como los que extorsionaron y robaron datos de Snowflake, un proveedor de servicios en la nube.
La actividad de ransomware cambió a mitad de año
En 2024, los atacantes de ransomware recibieron aproximadamente U$S813 millones en pagos de las víctimas, una disminución del 35% con respecto al año récord de $1.250 millones de 2023, y por primera vez desde 2022, los ingresos por ransomware disminuyeron.
El valor extorsionado por atacantes de ransomware entre enero y junio de 2024 había alcanzado los 459,8 millones de dólares, aproximadamente un 2,38% más que el valor extorsionado durante el mismo período de tiempo en 2023. En el primer semestre de 2024 también se produjeron algunos pagos excepcionalmente grandes, como el pago récord de 75 millones de dólares a Dark Angels.
Afortunadamente, la actividad de pago se desaceleró después de julio de 2024 en aproximadamente un 34,9%.
Un análisis detallado de las cepas más activas
- Akira, que ha atacado a más de 250 entidades desde marzo de 2023, es la única cepa de ransomware de las 10 principales en el primer semestre que ha aumentado sus esfuerzos en el segundo semestre de 2024.
- LockBit, que fue interrumpida por la Agencia Nacional contra el Crimen (NCA) del Reino Unido y la Oficina Federal de Investigaciones (FBI) de los EE.UU. a principios de 2024, vio disminuir los pagos en el segundo semestre en aproximadamente un 79%, lo que demuestra la eficacia de la colaboración internacional entre las fuerzas del orden.
- ALPHV/BlackCat, que había estado entre las cepas con mayores ingresos en 2023, salió de la estafa en enero de 2024, dejando un vacío en el segundo semestre.
La tendencia en América del Norte se ha mantenido a pesar de que los grupos de ransomware más activos han cambiado. LockBit fue el grupo de ransomware más activo a principios de 2024, luego RansomHub tomó el control después de que LockBit fuera interrumpido por acciones de las fuerzas del orden.
Este año, CL0P y Akira han sido los grupos más activos en los EE.UU., mientras que RansomHub ha retrocedido al puesto número 5.
El impacto de la disminución de pagos
Los datos de respuesta a incidentes muestran que la brecha entre las cantidades exigidas y pagadas continúa aumentando; en el segundo semestre de 2024, hubo una diferencia del 53% entre los dos factores. Los informes de las empresas de respuesta a incidentes sugieren que la mayoría de los clientes optan por no pagar en absoluto.
Según Dan Saunders, director de respuesta a incidentes para EMEA en Kivu Consulting, alrededor del 30% de las negociaciones realmente conducen a pagos o a que las víctimas decidan pagar los rescates. Por lo general, estas decisiones se toman en función del valor percibido de los datos que se han visto comprometidos específicamente.
Cookson señaló que, gracias a una mejor higiene cibernética y a la resiliencia general, las víctimas son cada vez más capaces de resistir las demandas y explorar múltiples opciones para recuperarse de un ataque. Los montos de pago final generalmente oscilaban entre U$S150.000 y U$S250.000, independientemente de las demandas iniciales.
Segmentación del ransomware
Al observar la siguiente figura, podemos ver la evolución de las distribuciones de pagos de ransomware hasta 2024. En 2020, hubo una larga cola pero un solo obstáculo para los pag nadadores de ransomware, pero en 2024, hubo tres clases de actores de ransomware.
Algunos, como Phobos, tienen pagos promedio que se agrupan en menos de U$S500 – U$S1.000. Hay otro grupo de alrededor de 10.000 dólares y un tercero con pagos superiores a 100.000 dólares, algunos de los cuales alcanzaron el millón de dólares.
También vemos más eventos en el extremo superior de la distribución, lo que significa proporcionalmente mayores ataques que superan el millón de dólares.
Los fondos de rescate y su uso
Entender los métodos de lavado de dinero del ransomware ofrece información fundamental sobre el comportamiento de los actores de amenazas después de la explotación, lo que permite a las fuerzas del orden responder de manera más eficiente.
Los fondos de rescate fluyeron principalmente a través de bolsas centralizadas (CEX), billeteras personales y puentes. Observamos una disminución sustancial en el uso de mezcladores en 2024.
Históricamente, los servicios de mezcla capturaban rutinariamente entre el 10% y el 15% de los flujos trimestrales de lavado de dinero del ransomware. La disminución de la mezcla entre actores de ransomware a lo largo de los años es muy interesante.
Los CEX siguen siendo un pilar de la estrategia de salida del ransomware, y en 2024 se verá una dependencia ligeramente superior a la media de este tipo de servicios (39% frente al 37% del período entre 2020 y 2024).