“La información ya se encuentra en la dark web”: experto sobre ciberataque a Ecopetrol

El ciberataque contra Ecopetrol continúa revelando detalles sobre la información que fue extraída por los delincuentes informáticos y los riesgos que representa su publicación. Un análisis conocido por 6AM W de Caracol Radio señala que los atacantes habrían obtenido cerca de un terabyte de información, equivalente a 327.095 archivos, de los cuales 11 fueron clasificados como críticos y tres como de alto riesgo.

De acuerdo con el documento, entre la información comprometida hay 429 archivos relacionados con credenciales y controles de acceso. También se habrían llevado cerca de 64 gigabytes de información correspondiente a operaciones financieras y del tesoro, además de 584 archivos relacionados con pagos realizados por la petrolera.

En entrevista con 6AM W de Caracol Radio, Yefrin Garavito, investigador forense de la Unidad de Investigación de la Defensa y colaborador de la Fiscalía y la Policía Nacional, explicó que detrás del ataque estaría el grupo de ciberdelincuentes conocido como Gentleman, especializado en ataques de ransomware dirigidos contra empresas de alto valor.

“Es un grupo de ciberdelincuentes que se ha especializado en desarrollar ransomware focalizado para empresas de alto flujo. Han atacado más de 300 empresas en todo el mundo, incluyendo organizaciones en Latinoamérica y Colombia”, explicó.

Garavito señaló que el ataque tuvo dos fases. La primera consistió en el robo de información mediante el acceso a credenciales y servicios en la nube. La segunda buscaba cifrar los sistemas de Ecopetrol para impedir el acceso a la información y exigir el pago de un rescate. Sin embargo, aseguró que esa etapa fue bloqueada por los mecanismos de ciberseguridad de la compañía.

Lea más: Así se orquestó el ciberataque a Ecopetrol: Fiscalía investiga

“Obtuvieron credenciales e información de la nube de varios usuarios de Ecopetrol, pero cuando intentaron activar el ransomware, los sistemas de la empresa generaron las alertas y bloquearon el ataque. Por eso no llegó a mayores”, afirmó.

El experto confirmó que la información robada ya fue publicada en la dark web luego de que, presuntamente, Ecopetrol no accediera a negociar con los responsables del ataque.

“Esa información ya se encuentra en la dark web. Los atacantes intentaron realizar una negociación, publicaron un cronómetro para que fueran contactados y, al no lograrlo, decidieron divulgar la información para generar un daño reputacional”, indicó.

Aunque explicó que una persona del común difícilmente accederá a esos archivos, advirtió que sí representan un riesgo para otros actores especializados en ataques informáticos.

“Quienes buscan este tipo de información saben cómo ingresar a la dark web. Allí pueden encontrar documentación que incluso incluye planos de infraestructura crítica, lo que podría facilitar la planeación de nuevos ataques. Ecopetrol tendrá que fortalecer no solo la ciberseguridad, sino también la seguridad física de sus instalaciones”, sostuvo.

Garavito añadió que, una vez la información es publicada en la dark web, resulta muy difícil eliminarla completamente.

“Quien descargue esa información puede volver a publicarla en otros sitios, como ha ocurrido con otras grandes filtraciones internacionales. Es muy difícil recuperarla o impedir que siga circulando”, explicó.

Sobre la forma en que se produjo el ataque, el investigador aseguró que una de las hipótesis que deberán verificar las autoridades es si existió el uso indebido de credenciales de un usuario con altos privilegios, lo que incluso podría abrir la puerta a investigar una posible participación interna.

“Para acceder a los servidores y a los servicios en la nube tuvieron que utilizar una credencial de usuario. El análisis forense permitirá identificar cuál fue la cuenta utilizada para el escalamiento de privilegios y establecer si se trató de un descuido o si hubo una entrega deliberada de esa información”, señaló.

Consultado sobre el monto que habría exigido el grupo criminal, Garavito indicó que no fue posible establecer una cifra porque Ecopetrol nunca inició conversaciones con los atacantes.

“Empresas como Ecopetrol no pueden negociar con este tipo de organizaciones por las restricciones legales y los protocolos de cumplimiento. En otros casos documentados a nivel internacional, las exigencias económicas por ataques de ransomware han oscilado entre 250.000 dólares y hasta 10 millones de dólares”, concluyó.

Escuche la entrevista completa a continuación:

Escuchar Caracol Radio EN VIVO: