Cuando una empresa paga una exigencia de ransomware, la suposición natural es que el dinero simplemente ha desaparecido. En la mayoría de los casos el pago en sí es irrecuperable, pero el registro en cadena de adónde fue después no lo es, y ese registro suele tener un valor real, incluso una vez que el incidente en sí parece cerrado.
Partiendo de la billetera hacia adelante
Investigar un pago de rescate a posteriori significa trabajar por completo a partir de datos públicos de transacciones, la billetera que recibió la exigencia y todo lo que esa billetera hizo a continuación, en lugar de intentar identificar directamente al atacante. Esto puede revelar si el mismo actor está vinculado a otros incidentes, y dónde terminaron finalmente los fondos.
Para quién se suele realizar este trabajo
Este tipo de investigación retrospectiva la solicitan con frecuencia aseguradoras que evalúan una reclamación por un incidente cibernético, o abogados que estudian los siguientes pasos, y no la propia empresa esperando una recuperación directa. No devolverá el pago, pero puede reforzar de forma sustancial una reclamación o una derivación a las autoridades, y también puede establecer si la misma billetera o infraestructura ha aparecido en otros incidentes no relacionados.
Lo más útil que puede hacer una empresa inmediatamente después de pagar un rescate es registrar el identificador exacto de la transacción y la dirección de la billetera de destino antes de cerrar el incidente internamente.
Qué puede respaldar un rastreo completado
Más allá de fines de seguros o legales, un rastreo documentado de un pago de rescate es a menudo lo que permite a una organización hablar con confianza sobre el incidente después, ante una junta directiva, un regulador o su base de clientes, en lugar de dejar sin respuesta de forma permanente la pregunta de qué ocurrió con los fondos.