Al ransomware no le importa que sean las fotos de tus hijos

La tarde del viernes 12 de mayo de 2017, las recepcionistas de hospitales de toda Inglaterra vieron cómo las pantallas de sus ordenadores se ponían rojas. Apareció una ventana: tus archivos han sido cifrados; envía 300 dólares en bitcoin; el precio se duplica en tres días. Se cancelaron operaciones. Se desviaron ambulancias.

El ataque se llamaba WannaCry. En un día había alcanzado unos 200.000 ordenadores en 150 países. Y enseñó una lección que la industria de la seguridad repite desde entonces, porque nadie quiere oírla: para el ransomware, tus datos no son preciosos. Son inventario.

Para el cifrado, todo son bytes

Esto es lo primero que hay que entender, y es lo que hace al ransomware distinto de cualquier forma anterior de delito informático. Un ladrón roba lo que tiene valor y deja el resto. El ransomware cifra indiscriminadamente —fotos de bebé, declaraciones de la renta, vídeos de boda, los manifiestos de carga de una empresa— porque el cifrado no necesita saber qué es cada cosa. Recorre el sistema de archivos, encuentra archivos por su extensión y los revuelve con criptografía de grado militar que nadie va a romper.

La crueldad es estructural, no personal. Nadie apuntó al hospital; fuiste cifrado porque eras alcanzable —una máquina sin parchear en una red, con una versión vulnerable del protocolo SMB de compartir archivos—. WannaCry se propagó usando EternalBlue, un exploit desarrollado por la NSA y filtrado un mes antes por un grupo llamado Shadow Brokers. Tus recuerdos fueron daño colateral en el programa de armas de otro.

Seis semanas después llegó NotPetya —disfrazado de ransomware, diseñado como un borrador— entrando por una actualización comprometida de M.E.Doc, un programa ucraniano de contabilidad fiscal, y moviéndose después lateralmente por redes corporativas con los mismos exploits robados, cifrando los registros maestros de arranque hasta que las máquinas ni siquiera podían encenderse. No importaba qué eran los archivos. Importaba que estaban ahí.

La foto de bebé de 300 millones de dólares

La víctima más instructiva de NotPetya fue Maersk, el gigante danés del transporte marítimo: la empresa que mueve alrededor de una quinta parte de la carga marítima mundial. La mañana del 27 de junio de 2017, los empleados de Maersk vieron cómo sus pantallas se apagaban, una tras otra, en oficinas de todo el mundo. Se desconectaron los teléfonos. Cayeron los sistemas de reserva que programan los portacontenedores. Durante diez días, la empresa operó una parte importante de su actividad global con papel, WhatsApp e instrucciones a gritos.

La recuperación fue una de las mayores reconstrucciones informáticas jamás intentadas bajo fuego: unos 4.000 servidores, 45.000 PC y 2.500 aplicaciones reinstalados desde cero. La factura final se estimó entre 200 y 300 millones de dólares. La filial europea de FedEx, TNT Express, perdió unos 300 millones en el mismo ataque. La farmacéutica Merck perdió unos 670 millones.

Este es el detalle que importa para esta historia: Maersk se salvó, en parte, por suerte y por desconexión. Un único controlador de dominio en Ghana —sin conexión en el momento crítico por un corte de electricidad local— sobrevivió mientras todas las máquinas conectadas eran cifradas. Ese único servidor inalcanzable se convirtió en la semilla desde la que se reconstruyó toda la identidad de red de la empresa. La copia que vivió fue la copia que los atacantes no pudieron tocar: no el sistema de copias más sofisticado, solo el que resultó estar desenchufado.

Tu copia también está en la lista

La estrategia de copias de la mayoría de la gente, si tiene alguna, se parece a esto: un disco externo enchufado al ordenador, o una carpeta que se sincroniza con la nube. Ambos son alcanzables. Y alcanzable es exactamente lo que caza el ransomware.

El ransomware moderno no se limita a cifrar tus documentos. Enumera los recursos compartidos de red. Cifra el disco USB que tienes sobre la mesa. Borra las copias de sombra de Windows —los propios puntos de restauración del sistema— antes de que puedas usarlas. Algunas variantes se quedan quietas durante semanas, cifrando poco a poco las carpetas sincronizadas para que las versiones corruptas se propaguen a todos los dispositivos y envenenen el historial de versiones. Tu copia, tu sincronización, tu «tranquilo, está en la nube»: todo está en la misma red, tras las mismas credenciales, a un movimiento lateral de distancia.

Por eso la gente de seguridad traza una línea dura entre una copia y una copia con aislamiento físico —air gap—. Una copia es una copia. Una copia aislada es una copia a la que no se puede llegar: no tú en un momento de comodidad y, por tanto, tampoco un atacante en un momento de oportunidad. La incomodidad es la protección. Cada atajo que hace una copia más fácil de alcanzar la hace más fácil de destruir.

La física del «desde aquí no se llega»

Hay una razón por la que el estándar de oro de la industria para recuperarse del ransomware apenas ha cambiado en treinta años: una copia sin conexión, en un lugar separado, probada mediante restauración. Bibliotecas de cintas. Discos duros desconectados. Soportes de una sola escritura. La tecnología es deliberadamente poco glamurosa, porque el glamour es superficie de ataque.

Piensa en lo que tendría que hacer el atacante para destruir una copia correctamente aislada. No puede llegar por la red, porque no está en ninguna red. No puede cifrarla con credenciales robadas, porque ninguna credencial abre un disco guardado en una bolsa sellada sobre una estantería. Tendría que encontrar físicamente el edificio, pasar la puerta y poner las manos sobre el soporte. Eso convierte un ataque de software escalable —un exploit, 200.000 víctimas— en un robo con allanamiento. Los allanamientos no escalan. Ahí está todo el juego: el ransomware es una economía de escala, y el aislamiento físico rompe esa economía.

Epicuro tenía una palabra para el estado que esto produce: ataraxia, traducida normalmente como tranquilidad —la calma que no viene de creer que nada malo va a pasar, sino de disponer las cosas de modo que lo malo, si pasa, no pueda llegar a lo que importa—. La mayoría de los productos de seguridad te venden el primer tipo de calma: confía en nosotros, estamos vigilando. Una copia sin conexión te vende el segundo: da igual quién vigile, porque no hay nada que ver.

La disciplina sin glamour

Nada de esto es nuevo. La regla 3-2-1 —tres copias, dos tipos de soporte, una externa y sin conexión— precede a WannaCry en décadas. Lo que cambió la era del ransomware es el coste de saltarse el último paso. En 2010, saltarse la copia sin conexión significaba arriesgarse a un incendio doméstico o un disco muerto. En 2017 y después, significa arriesgarse a un adversario que caza activamente tus copias.

Y el último paso sigue siendo el que nadie hace, porque es el único que se resiste a la automatización. No se aísla marcando una casilla. Alguien tiene que desenchufar el disco, llevárselo a alguna parte, encenderlo dos veces al año, verificar los datos y volver a guardarlo. Es trabajo de mantenimiento —numerar, sellar, registrar, comprobar— hecho según un calendario, para siempre.

Por eso fracasa como hábito personal y funciona como profesión. Los mejores en esto son aquellos para quienes no es una tarea encajada entre otras tareas, sino el trabajo entero: recibir el soporte, sellarlo con una banda numerada, fotografiar el sello, guardar las copias en dos lugares, inspeccionar los sellos según el calendario, registrar, repetir —y encender un disco para verificarlo solo cuando su dueño lo pide, por escrito—. Aburrido, documentado y —cuando las pantallas se ponen rojas un viernes por la tarde— la diferencia entre una interrupción y un final.

Las fotos de tus hijos no están más seguras porque el ransomware tenga corazón. Están más seguras cuando, sencillamente, no existe camino del atacante al disco. Sin camino, no hay rescate. No es un argumento comercial. Es física.

Everkeep ofrece custodia sin conexión de discos cifrados que son tuyos y que cifras tú mismo: sellos numerados, registro fotográfico, dos copias en dos lugares separados, inspecciones de los sellos según el calendario —y verificación con encendido solo a petición tuya por escrito—. 199 $ al año por dispositivo.