RansomHub, el grupo de hackers que vende información robada

Hace unos días, RansomHub volvió a acaparar la atención de los medios internacionales y es que el grupo de ransomware volvió a ejecutar un ataque que afectó a la Consejería Jurídica de Ejecutivo Federal (CJEF) de México.
Durante su ataque, robo 313 GB de información confidencial en la que se vio información comprometida como:
-Contratos administrativos.
-Información financiera y presupuestaria.
-Datos personales de funcionarios públicos.
-Correos electrónicos y documentos internos.
El grupo había establecido un plazo hasta el 25 de noviembre para que la institución pagara a cambio de no liberar la información recopilada en la Deep Web.
Debido a que la entidad no dio ningún pago, el grupo de ciberdelincuentes liberó 206 GB de esta información.
Esta no sería la primera vez que RansomHub realiza uno de estos ataques. El grupo de hackers ha realizado estas hazañas en varias partes del mundo, sobre todo Estados Unidos, con el objetivo de obtener ganancias económicas.
¿Qué es RansomHub y cómo funciona?
De acuerdo con Cyberpeace, la compañía de ciberseguridad que protege a empresas de ciberamenazas, RamsomHub es un grupo conocido por "atacar entidades estratégicas y vender información robada si el rescate no es pagado".
Para ello, utilizan un modelo de negocio llamado Ransomware-as-a-Service (RaaS), con lo cual permiten que terceros utilicen sus herramientas para ejecutar ataques a cambio de una comisión por el rescate obtenido.
Este grupo apareció en 2018 y ha destacado por sus tácticas avanzadas. Algunas que enumera Cyberpeace son:
-Cifrado ultrarrápido: Paraliza sistemas en cuestión de minutos.
-Doble y triple extorsión: Exige rescates no solo para descifrar datos, sino también para evitar la divulgación de información o ataques futuros.
-Ataques personalizados: Su infraestructura modular permite adaptar ataques a objetivos específicos, como instituciones gubernamentales y empresas que manejan datos críticos.
Para ser parte del grupo, se establecen ciertos requisitos y normas, por ejemplo: "los interesados deben contar con un ID en foros conocidos, preferentemente con un historial prolongado o buena reputación, y proporcionar evidencia de cooperación con otros grupos de RaaS, como capturas de pantalla de pagos recibidos o saldos en direcciones receptoras", señala Cyberpeace.
Actualmente, RamsomHub cuenta con hackers de todo el mundo, quienes han dirigido sus ataques a sectores estratégicos en donde se puede maximizar el impacto financiero y operacional.
Algunos de los sectores vulnerables son:
-Salud y atención médica
-Educación
-Servicios públicos y energía
-Servicios financieros
-Manufactura
-Gobierno y sector público
-Tecnología y telecomunicaciones
-Transporte y logística
El último gran ataque que realizó este grupo de cibercriminales fue la Consejería Jurídica del Poder Ejecutivo Federal (CJEF) el pasado 15 de noviembre. A esta institución se suman el Departamento de Salud de Florida el 1 de julio de 2024, Rite Aid el 3 de agosto de 2024 y Patelco Credit Union el 29 de junio de 2024, sólo por mencionar algunas.
También en México ya ha habido ataques por el mismo grupo. De acuerdo con Cyberpeace, diversas entidades mexicanas de alto perfil han sido víctimas relevantes de este grupo.
Grupo Aeroportuario del Centro Norte (OMA), con más de 2.2 terabytes de datos filtrados, incluyendo información confidencial sobre auditorías y seguridad aeroportuaria.
Universidad Nacional Autónoma de México (UNAM), donde más de 37,000 usuarios fueron afectados por la exposición de información personal.
Mabe, que sufrió la amenaza de filtración de datos bancarios y personales de miles de clientes.
Debido al fuerte impacto que ha tenido el grupo de hackers, Cyberpeace enfatiza la importancia que México y sus entidades "refuercen sus medidas de ciberseguridad y trabajen de manera conjunta con aliados internacionales para proteger su infraestructura crítica de estos peligros".