¿Pagar impuestos al Estado o rescate a los hackers? ¿Qué elegirías para evitar una copia de seguridad de 10 minutos?

Un investigador de la Universidad de Texas en Dallas propone mirar la lucha contra el ransomware no solo desde el ángulo tecnológico, sino también desde la acción política. Atanu Lahiri, profesor de sistemas de información, analiza en su trabajo qué medidas pueden realmente frenar a los ciberdelincuentes y en qué casos la prohibición de pagar rescates puede traer más beneficios que perjuicios.

Lahiri considera el ransomware una de las principales amenazas para organizaciones de todo el mundo. La mayoría de estos ataques comienzan con correos de phishing o mediante la explotación de fallos en software sin actualizar. Solo en 2024, según cifras del Centro de Quejas sobre Delitos en Internet del FBI, se registraron más de 3.000 incidentes de este tipo. Los pagos confirmados superaron los 800 millones de dólares, aunque el impacto real es mucho mayor porque muchas compañías prefieren no revelar que han sido comprometidas.

El estudio advierte que la política de prohibir o sancionar el pago de rescates no siempre tiene efectos claros. Por un lado, entregar dinero fortalece a los atacantes y fomenta nuevos incidentes, un fenómeno que los autores denominan “extortionality”: la concesión de unas empresas aumenta la vulnerabilidad de otras. Por otro, una prohibición absoluta puede resultar desastrosa, especialmente en hospitales, donde la falta de acceso a información crítica pone en riesgo vidas humanas.

Mediante modelos matemáticos, Lahiri concluye que en muchos casos la estrategia más efectiva es no ceder al chantaje. Sin embargo, esto solo funciona si las organizaciones actúan de forma coordinada. Si incluso una parte de ellas paga, el riesgo global se incrementa. Por eso, las políticas públicas deben ser cuidadosas: se podrían aplicar multas o impuestos a las compañías que entreguen dinero a los delincuentes, pero al mismo tiempo es necesario contemplar excepciones para hospitales y servicios de infraestructura crítica.

El investigador señala que el simple debate sobre una eventual prohibición ya puede impulsar a las empresas a invertir en sistemas de copias de seguridad y en entrenamientos de recuperación operativa. Como alternativa a un veto estricto, Lahiri propone incentivar la creación de redundancia: subsidios para tecnologías de respaldo, simulacros de restauración y programas de concienciación.

Según el especialista, la mejor defensa sigue siendo una buena preparación: copias de seguridad periódicas y planes de recuperación rápida. Sin estas medidas, las organizaciones seguirán pagando, alimentando así el negocio del ransomware.