· Ciberseguridad · Ransomware
Ciberataque al SEPE (2021): el paro de un país, sin sistema
9 de marzo de 2021, en plena pandemia. Un ransomware cifra los sistemas del SEPE: más de 700 oficinas sin sistema y la web caída.
Según los sindicatos y la prensa, era Ryuk: ransomware operado por humanos. Suele entrar con un troyano como TrickBot, se mueve por la red con cuentas de administrador del dominio (movimiento lateral) y puede encender equipos apagados con Wake-on-LAN para cifrarlos también.
Los primeros días se trabajó con lápiz y papel; un mes después, la plantilla seguía sin internet.
Lo curioso: según el Gobierno, no se robó ningún dato. Y según su director, no parece que se pidiera rescate.
Comment l'éviter ? En trois couches
- 1
Detecta antes del cifrado
MFA en las cuentas de administrador y un EDR con alguien atendiendo las alertas. El movimiento lateral deja huellas.
- 2
Copias offline o inmutables, fuera del dominio
Un atacante con permisos de administrador puede borrar las copias que ve.
- 3
Un plan de recuperación probado
Cuánto tardas en volver (RTO) y cómo sigues trabajando mientras tanto.
Un backup guarda tus archivos. Un plan de recuperación te devuelve el servicio.
Sources
- Ministerio de Trabajo, nota del 10-03-2021
- Xataka
- Genbeta
- TechRadar
- MITRE ATT&CK: Ryuk
El SEPE no detalló cómo entraron: el mecanismo del vídeo es el patrón habitual de Ryuk. Recreaciones rotuladas en el vídeo.
Voir la vidéo sur Instagram ↗