50 países acuerdan no pagar rescate en caso de ciberataques, ¿o casi?

Por tercera vez desde 2021, decenas de países se reunieron del 31 de octubre al 1 de noviembre en Washington para discutir la lucha contra el ransomware. Es posible que el evento de esta Iniciativa Internacional Contra Ransomware (CRI) no sea donde se esperaba.

No pagues rescates. Bueno… lo menos posible.

Anne Neuberger, asesora adjunta de seguridad nacional de Estados Unidos para cuestiones de ciberseguridad, estuvo muy activa al margen de esta reunión internacional con un objetivo: la adopción de una primera declaración conjunta, con el firme compromiso de los Estados y las instituciones participantes, de no pagar rescates cuando uno de sus instituciones es atacada. La idea es secar las finanzas de los atacantes.

Poco antes de la inauguración de la cumbre, confió en una rueda de prensa que unos cuarenta países estaban de acuerdo y quedaban poco menos de diez por convencer. La versión final fue relativamente conservadora en su redacción. “ Recomendamos encarecidamente que nadie pague una demanda de ransomware. Cada uno de nosotros tiene la intención de predicar con el ejemplo. Hemos llegado a un consenso de que las instituciones relevantes bajo la autoridad de nuestro gobierno nacional no deberían pagar las demandas de extorsión por ransomware. », se lee en el comunicado de prensa de la Agencia de Seguridad Cibernética de Singapur que copreside, con el Reino Unido, el área política del CRI.

Para Rayna Stamboliyska, especialista en diplomacia digital y cuestiones cibernéticas, esto no es sorprendente: “ Cuando se habla con otros estados, ya sean estados miembros de la UE o de cooperación global, se trata de reunir a personas que tienen diferentes culturas, historias, madurez y diferentes dependencias. “. Tal declaración debe ser consensuada.

Desde sus inicios, el número de participantes del CRI ha aumentado considerablemente, de 31 a 50 miembros. Francia participa desde 2021 y se puede ver a Vincent Strubel, director general de la Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI), en una de las fotografías de esta edición.

Costa Rica y Albania, víctimas de ransomware masivo en 2022, se encuentran entre los nuevos miembros junto con otros como Jordania, Papúa Nueva Guinea, Uruguay…” Es muy bueno integrar a los países llamados “del Sur”, porque se enfrentan a otros problemas. Y, a veces, incluso cuando quieren actuar, no pueden por diversos motivos.”, se alegra Rayna Stamboliyska. Lo mismo ocurre con Interpol, la segunda institución de la UE en unirse al CRI”, Es una forma relevante de movilizar a otros países o entidades que no serían invitados directamente. » … como Rusia y China, excluidas desde el inicio de la iniciativa lanzada por Estados Unidos.

El CRI 2023 aporta concreción

Más que una declaración de política general, estos Estados e instituciones lograron acordar acciones concretas. Una originalidad respecto a encuentros anteriores.

Giran en torno a un principio de solidaridad entre los miembros y una mejor circulación de la información. “ Por lo general, se trata del establecimiento de una plataforma respaldada por Australia y que supuestamente permitirá compartir información técnica entre los miembros firmantes. También se utilizará para solicitar asistencia. » analiza Rayna Stamboliyska. Integrará una plataforma de la colaboración de Israel y los Emiratos Árabes Unidos, así como una base de malware de Lituania.

Una semana antes de que se celebrara la reunión en Washington, Anne Neuberger lamentó ante el Consejo de Relaciones Exteriores, un grupo de expertos estadounidense, “ Lo creas o no, es muy difícil para los países compartir rápidamente información sobre un incidente, los elementos específicos que fueron comprometidos, las direcciones IP de donde provienen, de una manera que proteja al siguiente país. “. También anunció que el Departamento del Tesoro de Estados Unidos compartirá su lista negra de billeteras digitales donde ha estado circulando el dinero del rescate.

Esta serie de iniciativas añade un componente técnico a una iniciativa que hasta ahora era esencialmente política. Un paso adelante en la lucha contra el ransomware, si los Estados participantes siguen las iniciativas adoptadas. Un paso que puede parecer tímido dada la escala global del fenómeno y el nivel de organización del ciberdelito gracias a la afluencia de ingresos, pero un paso al fin y al cabo.