Ataque ransomware de REvil infecta 800GB de la empresa pública española Adif

La empresa pública encargada de las líneas de ferrocarril en España ha sufrido un ataque ransomware perpetrado por el grupo REvil, según informó Ransom Leaks en Twitter. Los funcionarios de Adif se encontraron el siguiente mensaje:

Simultáneamente a la publicación, se producirá el tercer ataque. Les aconsejamos que se pongan en contacto inmediatamente. Tenemos información personal incluyendo correspondencia, contratos y otra contabilidad (Un total 800 de gigabytes de datos). Si no cumple con nuestros términos, sus datos serán publicados en un dominio público. Continuaremos descargando sus datos hasta que se ponga en contacto con nosotros.

Este tipo de mensajes caen bajo el guión clásico de un ataque de ransomware. Los secuestradores de datos piden dinero a cambio de no difundir información que pueda perjudicar a la empresa. Los ciberdelincuentes abogan que tienen bajo su poder contratos, facturas, correspondencia privada, números de teléfono, datos de clientes, certificados, expedientes, tarifas e informes internos. La información más sensible podría ser los datos de los clientes, que aún no queda claro si sólo son nombres u otro tipo de data más comprometedora. En otro mensaje llegaron a mostrar más documentos bajo su poder como forma de amenaza.

BeInCrypto ha tenido contacto directo con Adif y le preguntamos:

• ¿piensan pagar el rescate?
• ¿el pago para el rescate era en Bitcoin u otra divisa?
• ¿Siguen recibiendo ataques como promete el grupo REvil?

Adif si respondió a BeInCrypto, pero no quiso declarar más información del asunto obteniendo una respuesta que esquivaba nuestra preguntas:

Adif confirma un ciberataque por Ransomware que ha sido controlado por los servicios internos de seguridad. Estos hechos ya han sido denunciados a las autoridades pertinentes. En ningún momento se ha visto afectada la infraestructura, garantizándose siempre el buen funcionamiento de todos sus servicios. Adif, consciente de ser el gestor de una infraestructura crítica como es la explotación de la red ferroviaria, considera la ciberseguridad como uno de los pilares de la seguridad integral.

Patrocinado

Patrocinado

El grupo REvil son conocido por ataques como las de Lady Gaga

En el gremio de la ciberseguridad conoce muy bien al grupo detrás del ataque, REvil. Se hicieron conocidos en mayo del 2020 con el ataque a la empresa de representación de artistas llamada Gurbman Shire Meiselas & Sacks, para la gran mayoría este nombre le es desconocido pero entre sus clientes se pueden encontrar a Lady Gaga o a Bruce Springsteen. Esta operación llegó a sustraer un total de 1 TB de información, de la cual 756 GB era de Lady Gaga. [Infosecurity] La demanda de REvil para no difundir la información sustraída era un rescate de 21 millones de dólares en Bitcoin. Sus peticiones no fueron aceptadas por la empresa Gurbman Shire Meiselas & Sacks ni por Lady Gaga bajo la recomendación del FBI como informaron en un comunicado:

“Hemos sido informados por expertos y el FBI de que negociar o pagar un rescate a los terroristas es una violación de la ley penal federal”

Para mayor morbo, REvil insinuó y amenazó que tenía también mucha información de Donald Trump. [NBC] El grupo REvil publicó el siguiente mensaje:

“La próxima persona que publicaremos es Donald Trump. Hay una carrera electoral en marcha, y encontramos una tonelada de trapos sucios a tiempo. Y para ustedes, votantes, podemos hacerles saber que después de tal publicación, ciertamente no querrán verlo como presidente.”

La empresa negó que Donald Trump fuese parte de su clientela desmintiendo tal alegación. Finalmente la amenaza se quedó en palabras para el ya presidente de Estados Unidos. La amenaza y la extorsión es el arma elegido por estas mafias que pretenden conseguir financiarse colándose en base de datos débiles para “supuestamente” liberar la información una vez pagado el rescate. Existe un consenso entre las autoridades para nunca pagar el rescate, especialmente ya que tampoco es una garantía de que no publiquen la información robada o que siquiera la liberen.