El Reino Unido corre un alto riesgo de sufrir un ataque de ransomware «catastrófico», y el gobierno no está preparado para hacer frente a esta amenaza, según un nuevo informe parlamentario.
El Comité Conjunto sobre la Estrategia de Seguridad Nacional descubrió que “grandes franjas” de la infraestructura nacional crítica (CNI) del Reino Unido son vulnerables al ransomware debido a que muchos de estos servicios operan sistemas de TI obsoletos, incluida la tecnología operativa (OT) heredada.
El Servicio Nacional de Salud (NHS) del Reino Unido tiene una vasta infraestructura heredada, lo que lo coloca en una “posición particularmente difícil para protegerse de los ciberataques”, señala el informe.
El Comité citó el impacto del ataque de ransomware al Gobierno de Costa Rica en abril de 2022, que dejó paralizada durante meses gran parte de la infraestructura digital del país.
El Reino Unido aún no ha experimentado un ataque tan coordinado en su CNI; sin embargo, la experiencia de Costa Rica muestra cuán rápidamente una nación puede caer de rodillas ante un ataque a tan gran escala a su infraestructura digital.
El Comité añadió que tras la explosión de ataques de ransomware en 2021, la amenaza de este vector sigue siendo más grave que nunca. La mayoría de los ataques de ransomware contra el Reino Unido provienen de actores de habla rusa.
Los esfuerzos del gobierno del Reino Unido en esta área son actualmente inadecuados, según el informe, y su planificación resultará deficiente.
Si bien el gobierno ha publicado una ambiciosa Estrategia Cibernética Nacional, “sus informes de progreso son actualmente deficientes”, según el Comité.
Hay “casi ningún” apoyo estatal para la mayoría de las víctimas de ransomware y, a menudo, una escasa comprensión de lo cibernético entre las fuerzas policiales que responden. Como resultado, muchas víctimas se ven obligadas a recurrir a empresas privadas de respuesta a incidentes cibernéticos, incluidas las autoridades gubernamentales locales.
Esta falta de apoyo se debe en gran medida a la financiación insignificante de las agencias gubernamentales responsables de la ciberseguridad, en particular el Centro Nacional de Seguridad Cibernética (NCSC) y la Agencia Nacional contra el Crimen (NCA). Esto incluye que la NCA enfrenta importantes dificultades para contratar especialistas cibernéticos, debido a su incapacidad para competir con el sector privado en materia de salarios y progresión profesional.
El informe también dice que existe el riesgo de que el ransomware sea «despriorizado implacablemente» a nivel gubernamental, dando una clara prioridad política a otras cuestiones.
El Comité Conjunto sobre la Estrategia de Seguridad Nacional estableció una serie de recomendaciones para que el gobierno del Reino Unido mejore su respuesta a la amenaza de ransomware, que incluyen:
-Trabajar con el sector de seguros para establecer un plan de reaseguro para grandes ciberataques a fin de superar una «lamentable» falta de cobertura.
-Establecer un subcomité de Estrategia Cibernética Nacional, que debería considerar el progreso en cada uno de los cinco pilares al menos dos veces al año.
-La responsabilidad de combatir el ransomware debe transferirse del Ministerio del Interior a la Oficina del Gabinete, en asociación con el NCSC y la NSA.
-Presentar legislación para actualizar urgentemente la Ley de Uso Indebido de Computadoras, que ya cumple 30 años
-Revisar la financiación disponible para el pago y la progresión de la NCA, permitiéndole ofrecer salarios que puedan atraer expertos con habilidades cibernéticas especializadas.
-Realizar ejercicios nacionales periódicos para prepararse para un importante ataque nacional de ransomware que afecte a múltiples sectores de la CNI.
-Proporcionar financiación al NCSC para establecer un programa de resiliencia cibernética de las autoridades locales mejorado y dedicado.
-Financiar el NCSC y la NCA para permitirles brindar capacidades de negociación, recuperación y remediación a todas las víctimas de ransomware del sector público.
-Establecer un mecanismo central de notificación de ataques de ransomware y considerar si se debe exigir a todas las organizaciones del Reino Unido que informen de un ataque en un plazo de tres meses.
El NCSC producirá una guía más detallada, accesible a un público no técnico, sobre cómo evitar mejor el pago de rescates después de un ataque.