El precio de un ataque de ransomware para Travelex

Hasta ahora, los números más destacables para Travelex, una agencia británica de cambio de divisas, eran los relativos a su volumen de negocios: clientes, oficinas, operaciones, etcétera. Desgraciadamente, y según informa The Wall Street Journal, a partir de ahora hay un número más que tendrán muy presente. 2,3 millones de dólares, pues esa es la cantidad que finalmente se ha visto forzados a abonar a los ciberdelincuentes que han puesto en jaque todas las actividades de la compañía.

Esta historia ve la luz la pasada Navidad, aunque empieza a escribirse unos meses antes. En ese momento ya es sabido que Pulse Secure VPN sufre una vulnerabilidad crítica. Sin embargo, Travelex sigue trabajando con una versión sin parchear. En estas circunstancias, un grupo de ciberdelincuentes decide emplear la popular y temible herramienta de ransomware Sodinokibi.

Según afirman los delincuentes, durante seis meses (desde mitades de 2019) se dedican a acceder a toda la información almacenada en los servidores de la agencia de cambio, acciones durante las que llegan a descargar hasta 5 gigabytes de información sensible, entre la que se incluyen números completos de tarjetas de crédito de los clientes de la compañía.

Una vez realizada la extracción de datos, y como macabro regalo navideño, los ciberdelincuentes se pusieron en contacto con Travelex, informando de sus acciones y exigiendo un pago de seis millones de dólares a cambio de desbloquear toda la información que había sido cifrada con Sodinokibi, así como de no adoptar otro tipo de medidas, como vender la información robada en la deep web o contactar con los clientes de la empresa e informarles de lo que había ocurrido.

La historia se volvió todavía más oscura para Travelex cuando se supo que la compañía de ciberseguridad Bad Packets ya había informado a Travelex sobre siete servidores Pulse Secure VPN no parcheados y vulnerables el 13 de septiembre de 2019. Un problema sobre el que la propia Pulse Secure ya había informado, ademá de haber publicado las herramientas necesarias para acabar con esa vulnerabilidad.

Volviendo al presente, y como contábamos al principio, una fuente anónima que forma parte de la compañía ha revelado que se ha efectuado un pago de 2,3 millones de dólares en bitcoins, pretendiendo así cerrar este oscuro episodio y recuperar la normalidad en sus operaciones, algo que hasta el momento todavía no ha sido posible. Una normalidad, eso sí, entre comillas, porque su situación financiera es actualmente bastante complicada, lo que sumado a una importante crisis reputacional puede arrojar un resultado nefasto.

Seguramente a lo largo de las próximas semanas sepamos cuál será el futuro de Travelex. Distinto es eso sí, pensar qué habría pasado si hubieran instalado las actualizaciones y parches de seguridad. Cuesta intentar entender por qué no se hizo en su momento. Y, por otra parte, ¿quedará cerrada la crisis con este pago? Nada, más allá de su palabra, garantiza que pese al pago esos datos no vayan a aparecer mañana en cualquier parte.

Imagen: Tracy O.