Archivos adjuntos, enlaces y ransomware recibidos por correo electrónico

Ransomware: lo que la pasarela puede hacer y lo que no

Cybermalveillance.gouv.fr, el servicio nacional francés de asistencia a las víctimas, describe el ransomware como un ataque que bloquea el acceso a un sistema o cifra los datos, y a veces amenaza con divulgarlos, a cambio de un rescate. El servicio señala que la intrusión suele producirse por una vulnerabilidad o un acceso remoto mal protegido, o por el compromiso de una cuenta o de un equipo mediante phishing o un programa malicioso.

El correo no es la única puerta de entrada, pero la ANSSI lo designa como «el principal vector de infección del puesto de trabajo» (traducción). El mismo organismo cita «el envío de adjuntos maliciosos para explotar las vulnerabilidades de un puesto de trabajo con fines de extorsión o de espionaje». Es también una entrada que se puede filtrar antes de que llegue al buzón. El desarrollo típico por correo electrónico:

1. un mensaje con un adjunto o un enlace;
2. una macro activada, o una contraseña introducida en una página falsa;
3. un acceso a la red o a las cuentas;
4. más tarde, a veces semanas después, el cifrado de los archivos.

Un ejemplo, a título ilustrativo. Un empleado recibe una «factura impagada» en formato Word. El documento muestra una franja borrosa y pide habilitar el contenido para leerlo. Si lo hace, la macro descarga un programa que da acceso al puesto. Los archivos del servidor no se cifrarán hasta más tarde. Si el adjunto se retira a la llegada, esta cadena no empieza; si pasa, todo depende del reflejo de no activar la macro y, después, de la copia de seguridad.

La pasarela actúa sobre la primera etapa. No ve una intrusión a través de un acceso remoto, ni una cuenta ya abierta con una contraseña robada en otro lugar. No restaura nada.

Cybermalveillance.gouv.fr recomienda copias de seguridad periódicas, copias desconectadas, restauraciones verificadas y actualizaciones aplicadas sin demora. También recomienda no pagar el rescate. Para sus archivos, la cuestión se trata en ransomware: proteger y restaurar una gestión documental.