RansomHouse: el grupo de hackers que atacó al Clínic de Barcelona.

Es un lobo que se viste con piel de cordero.

RansomHouse, el grupo de hackers que el pasado domingo atacó al hospital Clínic, es una rara avis dentro del mundo de este tipo de organizaciones delictivas.

Desde el modus operandi hasta su especialización en atacar a centros sanitarios -aunque no exclusivamente-, pasando por el hecho de que disponen de varios canales de mensajería en Telegram y uno de ellos está abierto para los periodistas que quieran preguntarles alguna cosa.

El pasado lunes, en ese canal, alguien les preguntó si eran los autores del ataque al Clínic, pero no obtuvo respuesta. De hecho, no hay ninguna conversación entre algún periodista, lo que podría indicar que es solo una puesta en escena para hacer crear que son lo que no son…

Han tardado casi una semana en dar señales de vida. No fue hasta el pasado viernes que dieron una muestra de los 4 terabytes de datos que han sustraído y por los que piden un rescate de 4,25 millones de euros. Según un experto en ciberseguridad, que prefiere permanecer en el anonimato,

“esta cifra está en la media de lo que se suele pedir en ataques similares”.

Esto sorprende y ya hay fuentes en temas de ciberseguridad que empiezan a pensar que quizás no ha sido este grupo el autor del ataque. Se sabe de la relación entre RansomHouse y White Rabbit, otro grupo de hackers. «Puede ser que RansomHouse sea una especie de segunda marca que está usando White Rabbit como fachada para presentarse como un grupo dedicado al hacker ético, como una especie de Robin Hood de la seguridad informática», explica este experto. «Pero en todo caso, los métodos de Ransom House están lejos de ser los que usan los white hat hackers, que nunca atacarían a una empresa sin su consentimiento y jamás provocarían los daños que ha provocado este ataque», añade.

De momento, ni en ninguno de sus canales de Telegram, ni en su página web en la darknet han publicado los datos filtrados, pero puesto que el Clínic y la Generalitat ya han dicho que no van a soltar un céntimo, tarde o temprano aparecerán en algún lugar. Por otro lado, el martes, el Clínic ya recuperó cierta normalidad y a lo largo de la semana se ha ido recuperando paulatinamente. «Este tipo de infiltraciones van a seguir sucediendo, son inevitables. Lo que marca la diferencia es el tiempo en que se consigue recuperar el acceso a los sistemas afectados y que indica lo bien o mal preparada que estaba la empresa o la institución que ha sufrido el ataque», añade este experto.

En este sentido, y por lo que se puede ver y leer en su sitio web, RansomHouse no se presenta como un grupo cuya intención primordial sea la de reventar los servidores de nadie para robar información o encriptarlos y, en ambos casos, pedir un posterior rescate. «La misma posibilidad de que tales incidentes ocurran es un fuerte incentivo para hacer que el sector privado, las corporaciones y el público sea consciente de los problemas de seguridad y de privacidad de los datos, y debe hacer que los involucrados en la recopilación y almacenamiento de datos personales de terceros sean respetuosos con sus responsabilidades», dice RansomHouse.

Por eso -aseguran- lamentan que «desafortunadamente, más a menudo que no, los directores ejecutivos prefieren cerrar los ojos ante la seguridad cibernética ahorrando presupuesto en su personal o gastando grandes cantidades de dinero sin pensar, lo que inevitablemente conduce a vulnerabilidades».

Y afirman que ellos no tienen «nada que ver con las brechas de seguridad y no producimos ni usamos ransomware. Nuestro objetivo principal es minimizar el daño que pudieran sufrir las partes relacionadas». También se muestran convencidos de que en el caso de los ciberataques «los culpables no son los que encontraron la vulnerabilidad o ejecutaron el hackeo, sino los que no se ocuparon adecuadamente de la seguridad. Los culpables son los que no le pusieron candado a la puerta dejándola abierta de par en par e invitando a todos a entrar».

La trampa en este discurso, que podría hacer pensar que estamos ante un grupo de hackers éticos y bienintencionados, es doble. Por un lado, «en su página web, se puede ver que junto a los datos que han robado, se explica a las víctimas cómo han conseguido realizar el ataque, qué vulnerabilidades han explotado y cómo, que no es exactamente lo mismo que explicarle a alguien cómo protegerse de un ataque», dice el experto en ciberseguridad consultado.

Por el otro, su trabajo es cualquier cosa menos desinteresado. «Las corporaciones responden al aviso de que sus puertas están abiertas de par en par de forma negativa, con amenazas directas o el silencio. En casos raros, uno encuentra gratitud y pagos ridículamente pequeños que no cubren ni siquiera el 5% de los esfuerzos de los entusiastas. Bueno, la reacción negativa es comprensible, porque la dirección de la empresa tendrá dificultades para explicar los millones de dólares gastados en auditorías de seguridad y los altos salarios del personal de seguridad a sus accionistas, si algún profesional independiente señala los errores que han cometido», dice RansomHouse.

Estos hackers disfrazan el rescate que este tipo de grupos piden a sus víctimas para liberar sus sistemas y no hacer pública la información como una remuneración por los servicios prestados -aunque nadie se los haya pedido- por señalar las vulnerabilidades que han encontrado. Perversamente, convierten a sus víctimas en clientes involuntarios, pero que deben pagar.

¿Remuneración o rescate?

Como mínimo reconocen que «estos métodos de ganar dinero y señalar los errores de las empresas pueden ser controvertidos

Como mínimo reconocen que «estos métodos de ganar dinero y señalar los errores de las empresas pueden ser controvertidos, y cuando recuerdas que estamos hablando de corporaciones de miles de millones de dólares, queda claro por qué el equipo de RansomHouse es tan importante para entablar un diálogo (..) Aquí y ahora estamos creando una nueva cultura y modernizando esta industria», aseguran.

Pero a continuación llega la amenaza: «Desafortunadamente, las empresas que se niegan a negociar y rechazan argumentos razonables, empresas que no están dispuestas pagar por este tipo de trabajo, se enfrentarán costes legales y de reputación. Para resaltar estos casos, no solo vamos a divulgar información en nuestro sitio web y el canal oficial de Telegram, sino también atraer la atención de periodistas, del público  y a hacer todo lo necesario para que el incidente sea lo más público posible. El acceso a la información es uno de los cimientos de una sociedad civilizada y una vía para que esta se eleve por encima de sí misma y supere retos», asegura RansomHouse.

Lee también

Cómo protegerse de los ataques de extorsión

Francesc Bracero

Y para que no quede duda de que se comportan como una empresa, en su web hay un apartado de Términos del servicio, en los que se especifica cómo se debe hacer el pago.

Primero que hay que mandar un bitcoin a un monedero como procedimiento de verificación, tras el cual, el «cliente» deberá proceder al pago del resto de la cantidad acordada. RansomHouse prohibe expresamente a cualquier departamento policial, a la CIA, el FBI, la NSA o cualquier otra agencia o departamento policial.  Tampoco permiten que la «negociación» la lleve a cabo un tercero en nombre de la empresa o institución atacada.

El incumplimiento de cualquiera de estas dos cosas supone «el fin de toda negociación y de los acuerdos alcanzados. En este caso, la información obtenida se hará pública en la web, en el canal de Telegram, así como a todas las personas implicadas y afectadas.

Por contra, si las negociaciones llegan a buen término -o sea, si la víctima paga- «toda la información cargada se eliminará de los servidores del equipo; todas las publicaciones/sitios web/páginas, etc. publicadas por el equipo y asociadas con la fuga de datos serán eliminadas; se eliminarán todas las puertas traseras explotadas por el equipo; el equipo no compartirá los datos personales con terceros; se proporcionará una lista de recomendaciones de seguridad de la información al responsable de la empresa; se proporcionará software de descifrado, orientación y soporte -algunos de estos grupos tienen call centers como el de cualquier empresa- si es necesario y el equipo nunca utilizará las vulnerabilidades actuales para futuros ataques.

En caso de que surjan nuevas vulnerabilidades, la empresa será notificada». Pero, claro,  vaya usted a saber.

Gracias a: