Reino Unido prohibirá al sector público realizar pagos de ransomware

El Reino Unido avanza con la prohibición de que su sector público y los operadores de infraestructuras nacionales críticas paguen exigencias de ransomware. Las propuestas publicadas el martes como resultado de una consulta pública exigen la prohibición de los pagos de ransomware que abarque a todos los organismos del sector público y a las infraestructuras nacionales críticas, como la energía, el servicio de salud y los ayuntamientos, ampliando una prohibición existente sobre los departamentos gubernamentales. Otras partes de la propuesta incluyen un régimen de prevención para exigir a las víctimas y a las empresas no cubiertas por la prohibición que informen cuando tengan la intención de pagar un rescate. También se está considerando un sistema de notificación obligatoria basado en umbrales que exige a las víctimas redactar un informe con los detalles clave para el gobierno en un plazo de 72 horas tras el ataque, y un análisis más profundo en un plazo de 28 días. El ministro de seguridad del Reino Unido, Dan Jarvis, dijo que el Ministerio del Interior está "decidido a destruir el modelo de negocio de los ciberdelincuentes y a proteger los servicios de los que todos dependemos", y a trabajar "en colaboración con la industria para impulsar estas medidas". El ransomware es un software malicioso que cifra un ordenador o una red para bloquear el acceso a ella hasta que se paga una suma, que normalmente se solicita en criptomoneda. El ransomware disminuyó el año pasado, y Chainalysis informó en febrero de que los ataques de ransomware disminuyeron un 35% el año pasado en comparación con 2023. En junio, CertiK dijo que la mayor parte de las pérdidas de criptomonedas de este año se han debido a compromisos de billeteras y ataques de phishing. El Ministerio del Interior del Reino Unido consultó sobre las propuestas del 14 de enero al 8 de abril y recibió 273 respuestas, el 57% identificadas como organizaciones, el 39% como individuos y el 4% clasificadas como otras. Casi tres cuartas partes estuvieron de acuerdo en que se justificaba una prohibición selectiva de los pagos de ransomware, mientras que algo más de uno de cada cinco no estuvo de acuerdo. También hubo opiniones encontradas sobre el régimen de prevención, y casi la mitad se mostró a favor de una prohibición de los pagos de ransomware en toda la economía. La tercera propuesta de un sistema de notificación basado en umbrales contó con el apoyo del 63% de los encuestados, y menos de la mitad —el 41%— estuvo de acuerdo con la continuación del actual sistema de notificación voluntaria. Un punto de controversia fueron las posibles sanciones para las víctimas que violaran las medidas. Los encuestados estuvieron de acuerdo con el uso de sanciones en todas las propuestas; sin embargo, se plantearon preocupaciones sobre la criminalización de las víctimas y sobre si serían adecuadas las sanciones penales o civiles. El Ministerio del Interior dijo que, dado que la retroalimentación sobre las sanciones fue mixta, "seguirá explorando las sanciones más apropiadas y proporcionadas". La Revisión Anual del Centro Nacional de Ciberseguridad del Reino Unido de 2024, publicada en diciembre, encontró que los ataques de ransomware "siguen representando la amenaza más inmediata y perturbadora" para el país. Según la revisión, en junio de 2024, un ataque de ransomware contra el laboratorio de patología Synnovis retrasó los procedimientos electivos y las citas ambulatorias. Otro ataque el 28 de octubre de 2023 comprometió los sistemas en línea de la Biblioteca Británica. Relacionado: Coinbase se enfrenta a una factura de 400 millones de dólares tras un ataque interno de phishing. La directora ejecutiva de la Biblioteca Británica, Rebecca Lawrence, dijo en un comunicado el martes que la biblioteca "alberga una de las colecciones de conocimiento humano más importantes del mundo", y el ataque "destruyó nuestra infraestructura tecnológica y sigue afectando a nuestros usuarios". El lunes, los republicanos de la Cámara de Representantes de EE.UU. trataron de recortar el presupuesto de 2026 de la Comisión de Bolsa y Valores en un 7% e incluyeron una disposición que bloqueaba la financiación para hacer cumplir una norma que exige a las empresas públicas revelar los incidentes cibernéticos en un plazo de cuatro días. En noviembre, Australia promulgó leyes que entraron en vigor en mayo que exigen a las empresas con una facturación anual de más de 3 millones de dólares australianos (1,9 millones de dólares) y a las entidades responsables de infraestructuras críticas que informen de las exigencias de ransomware. El país había considerado previamente si los pagos de ransomware debían ser ilegales después de que un ciberataque afectara al prestamista al consumo Latitude Financial, pero fue rechazado en ese momento. Revista: ¿Deberíamos prohibir los pagos de ransomware? Es una idea atractiva pero peligrosa [Magazine]