En Black Hat Europe 2025, la reputación emergió como la moneda de cambio más valiosa en el ecosistema del ransomware, un concepto que trastoca la comprensión tradicional de este cibercrimen. La conferencia inaugural, a cargo de Max Smeets de Virtual Rotes, desmenuzó la maquinaria interna de LockBit, el grupo de ransomware como servicio (RaaS) más prolífico de los últimos años, y reveló que tanto las víctimas como los atacantes libran una batalla paralela por la credibilidad. La presentación, titulada Inside the Ransomware Machine, no solo confirmó que la reputación es un activo estratégico, sino que demostró con datos concretos cómo la confianza —o su ausencia— determina el éxito o el fracaso de una extorsión digital.
El modelo LockBit: números que revelan una economía de la confianza
El análisis de Smeets se apoyó en una base de datos extraordinaria: durante su apogeo, entre 2022 y 2024, LockBit operó con 194 afiliados. De ellos, 110 lograron llevar un ciberataque hasta la fase de negociación, y 80 consiguieron que la víctima pagara el rescate. Para entender estas cifras, es necesario recordar la arquitectura del ransomware moderno: el «afiliado» es el equipo que investiga las redes de la víctima, identifica datos sensibles, los exfiltra y, finalmente, entrega el control al grupo criminal, que en este caso era LockBit. La cadena de valor, por tanto, depende de la capacidad del afiliado para ejecutar la intrusión y de la disposición de la víctima a pagar. Pero, ¿qué factores inclinan la balanza hacia el pago? La respuesta, según la investigación, es la reputación.
El dilema de la víctima: pagar para preservar la imagen o resistir para mantener el control
Para la empresa atacada, la reputación es un activo intangible pero vital. Cualquier filtración de datos puede erosionar la confianza de los clientes, socios e inversores. Smeets señaló un hallazgo contraintuitivo: la cobertura mediática es mayor para las compañías que pagan el rescate que para aquellas que se niegan y enfrentan interrupciones prolongadas. La noticia se centra en el pago, lo que puede interpretarse como una señal de pérdida de control y generar desconfianza. Sin embargo, esta visión merece un matiz. Desde una perspectiva puramente financiera, pagar puede ser la opción más rentable en muchos casos. Los costes finales de un incidente cibernético para quienes no pagan pueden ser varias veces superiores a los de quienes sí lo hacen. Basta recordar los ataques a Caesars Palace y MGM, donde las empresas optaron por caminos distintos con resultados financieros muy diferentes. Las empresas tienen una responsabilidad fiduciaria con sus accionistas, y en ocasiones la ruta más rápida para recuperar la operatividad total es pagar la extorsión.
La recuperación de sistemas es compleja: requiere adquirir nuevo hardware, restaurar copias de seguridad y analizarlas minuciosamente para garantizar que estén limpias. Disponer de la clave de descifrado en cuestión de horas, en lugar de días, puede minimizar la interrupción del negocio y la pérdida de ingresos. A esto se suma la influencia de la aseguradora, que buscará minimizar sus costes y optará por la vía que reduzca cualquier reclamación de la empresa víctima. Por supuesto, las desventajas son igualmente evidentes. No hay garantía de que la clave de descifrado funcione. Además, las víctimas que aceptan pagar pueden ser consideradas objetivos rentables para futuros ataques y, en última instancia, validan y refuerzan el ransomware como un modelo de negocio viable.
La reputación del atacante: la confianza como requisito para cobrar
El hallazgo más revelador de la presentación de Smeets es que los operadores de ransomware también se preocupan por su reputación. Necesitan ser percibidos como confiables y cumplir su parte del trato. Cuando se exfiltran enormes cantidades de datos sensibles y los sistemas internos quedan cifrados, cualquier negociación debe basarse en la confianza. Si el negociador de la víctima ha recibido malas críticas sobre un grupo —por no proporcionar descifradores o por retener datos incluso después del pago—, puede aconsejar a la empresa que no pague. Para el grupo criminal, el verdadero desafío no es el acceso a la red ni la exfiltración de datos, sino lograr que la víctima confíe lo suficiente como para transferir el rescate.
Esta dinámica explica la campaña de desconfianza que las fuerzas de seguridad lanzaron contra LockBit tras su desmantelamiento parcial en 2024. Europol y otras agencias difundieron públicamente que LockBit no eliminaba los datos exfiltrados, sino que los retenía, incluso después de recibir el pago. Esta estrategia buscaba destruir la confianza en el grupo, erosionando su capacidad para atraer tanto a afiliados como a víctimas dispuestas a pagar. La operación fue un éxito táctico, pero también ilustra hasta qué punto la reputación es el pilar sobre el que se sostiene todo el ecosistema RaaS.
¿Qué es LockBit y por qué su caída es relevante para el mercado de ransomware?
LockBit fue, durante años, la marca más exitosa del ransomware como servicio. Su modelo permitía a afiliados de todo el mundo alquilar la infraestructura y el software a cambio de un porcentaje del rescate. La marca LockBit ofrecía una plataforma estable, soporte técnico y, lo más importante, una reputación de cumplir lo prometido: proporcionar descifradores funcionales y no filtrar datos si se pagaba. Cuando las autoridades lograron desmantelar parte de su infraestructura y lanzaron la campaña de desconfianza, el efecto fue inmediato: los afiliados comenzaron a migrar a otros grupos, lo que demuestra que la lealtad en el cibercrimen se sostiene sobre la confianza, no sobre la tecnología.
El documento más valioso para un ciberdelincuente: la póliza de seguro cibernético
Uno de los momentos más esclarecedores de la presentación fue cuando Smeets mencionó, casi de pasada, la importancia de la investigación que el afiliado realiza dentro de la red de la víctima. El afiliado no solo busca datos sensibles, sino también información financiera que pueda indicar la disposición a pagar o el monto aceptable. Aquí surge una conclusión de gran valor práctico: el documento más valioso para un ciberdelincuente podría ser el calendario que detalla la cobertura del seguro cibernético de la empresa. Saber si la compañía tiene una póliza que cubre el pago de rescates y cuál es el nivel de cobertura proporciona al atacante la información exacta para fijar el monto de la extorsión, de modo que el riesgo financiero recaiga sobre la aseguradora, no sobre la empresa.
Esta revelación tiene implicaciones directas para la ciberseguridad corporativa. La póliza de seguro cibernético y toda la comunicación relacionada con ella deberían estar segmentadas con medidas de seguridad adicionales, o idealmente, completamente aisladas de la red principal de la empresa (air-gapped). Si un atacante logra acceder a esos documentos, puede adaptar su demanda con precisión quirúrgica, maximizando la probabilidad de cobro y minimizando la resistencia.
¿Cómo pueden las empresas proteger su póliza de seguro cibernético?
La respuesta es clara: la información sobre la cobertura del seguro debe tratarse con el mismo nivel de confidencialidad que los secretos comerciales o los datos de tarjetas de crédito. Esto implica almacenar los documentos en sistemas que no estén conectados a la red corporativa principal, utilizar cifrado fuerte, y restringir el acceso solo a un grupo muy reducido de personas autorizadas. Además, cualquier comunicación con la aseguradora o el bróker debe realizarse a través de canales seguros y fuera de la red que pueda ser comprometida. Esta medida, aunque simple, puede desarmar una de las herramientas de inteligencia más poderosas del atacante.
La geopolítica del ransomware: Europa y América Latina en el punto de mira
Si bien el estudio se centró en LockBit y su ecosistema global, las lecciones trascienden cualquier geografía. En Europa, la regulación como el GDPR impone sanciones severas por la filtración de datos personales, lo que añade una capa adicional de presión sobre las víctimas. Las empresas europeas se enfrentan al dilema de pagar para evitar la exposición de datos, pero al hacerlo pueden incumplir normativas que prohíben financiar el terrorismo o el crimen organizado. En América Latina, donde la madurez en ciberseguridad es heterogénea, el ransomware ha encontrado un caldo de cultivo fértil. La falta de preparación, la escasa inversión en seguridad y la dependencia de sistemas heredados hacen que muchas organizaciones sean vulnerables. La reputación de los grupos ransomware también se construye en foros de la dark web que operan en español, y los afiliados de la región pueden ser tanto víctimas como perpetradores.
La conferencia de Black Hat Europe 2025 no solo puso sobre la mesa la importancia de la reputación, sino que ofreció una hoja de ruta para entender las dinámicas de poder en el cibercrimen. La confianza, en este contexto, es la moneda que permite que el engranaje del ransomware funcione. Sin ella, los afiliados no encuentran grupos a los que unirse, las víctimas no pagan y el modelo de negocio se resquebraja. Por eso, las campañas de desconfianza lanzadas por las fuerzas de seguridad son tan efectivas como las operaciones técnicas de desmantelamiento.
Para las empresas, la lección es doble. Primero, deben entender que su propia reputación puede ser un arma de doble filo: pagar puede salvar el negocio a corto plazo, pero dañar la marca a largo plazo. Segundo, y más importante, deben proteger celosamente la información sobre su seguro cibernético, porque ese documento es el mapa del tesoro para cualquier atacante. La frontera entre la seguridad técnica y la gestión de la confianza se ha desdibujado. En el mundo del ransomware, la reputación ya no es solo un activo intangible: es la moneda con la que se negocia la supervivencia digital.
