El Reino Unido avanza con la prohibición de que su sector público y los operadores de infraestructura crítica nacional paguen rescates de ransomware.
Las propuestas publicadas el martes como resultado de una consulta pública, exigen la prohibición de los pagos de ransomware, cubriendo todos los organismos del sector público y la infraestructura crítica nacional, como los servicios de energía, salud y los ayuntamientos, lo que amplía una prohibición existente para los departamentos gubernamentales.
Otras partes de la propuesta incluyen un régimen de prevención para exigir a las víctimas y a las empresas no cubiertas por la prohibición que informen cuando tengan la intención de pagar un rescate.
También está sobre la mesa un sistema obligatorio de informes basado en umbrales que exige a las víctimas presentar un informe con detalles clave para el gobierno en un plazo de 72 horas desde el ataque, y un análisis más profundo en un plazo de 28 días.
El ministro de seguridad del Reino Unido, Dan Jarvis, afirmó que el Ministerio del Interior está "decidido a desmantelar el modelo de negocio de los ciberdelincuentes y proteger los servicios de los que todos dependemos", y a trabajar "en colaboración con la industria para avanzar en estas medidas".
El ransomware es un software malicioso que encripta un ordenador o una red para bloquear el acceso a ellos hasta que se pague una suma, que suele ser solicitada en criptomoneda.
El ransomware experimentó una caída el año pasado, y Chainalysis informó en febrero de una reducción de los ataques de ransomware del 35% el año pasado en comparación con 2023.
En junio, CertiK afirmó que la mayor parte de las pérdidas de criptomonedas este año provienen de compromisos de billeteras y ataques de phishing.
La mayoría está de acuerdo con la prohibición, divididos en cuanto a las sanciones
El Ministerio del Interior del Reino Unido consultó sobre las propuestas del 14 de enero al 8 de abril y recibió 273 respuestas: un 57% se identificó como organizaciones, un 39% como individuos y un 4% se clasificó como otros.
Casi tres cuartas partes estuvieron de acuerdo en que una prohibición específica de los pagos de ransomware estaba justificada, mientras que un poco más de uno de cada cinco no estuvo de acuerdo. También hubo opiniones divididas sobre el régimen de prevención, y casi la mitad favorecía una prohibición de pagos de ransomware a nivel de toda la economía.
La tercera propuesta, un sistema de informes basado en umbrales, contó con el 63% de los encuestados a favor, y menos de la mitad —un 41%— estuvo de acuerdo con la continuación del actual sistema de informes voluntario.
Un punto de controversia fueron las posibles sanciones para las víctimas que violaron las medidas. Los encuestados estuvieron de acuerdo con la aplicación de sanciones en todas las propuestas; sin embargo, se expresaron preocupaciones sobre la criminalización de las víctimas y si las sanciones penales o civiles serían adecuadas.
El Ministerio del Interior afirmó que, dado que las opiniones sobre las sanciones eran diversas, continuaría “explorando las sanciones más adecuadas y proporcionadas”.
El Reino Unido señala el ransomware como una amenaza inmediata
La Revisión Anual de 2024 del Centro Nacional de Ciberseguridad del Reino Unido, publicada en diciembre, determinó que los ataques de ransomware “siguen representando la amenaza más inmediata y perjudicial” para el país.
Según la revisión, un ataque de ransomware en junio de 2024 contra el laboratorio de patología Synnovis retrasó procedimientos electivos y citas ambulatorias. Otro ataque el 28 de octubre de 2023 comprometió los sistemas en línea de la Biblioteca Británica.
La directora ejecutiva de la Biblioteca Británica, Rebecca Lawrence, declaró el martes en un comunicado que la biblioteca “alberga una de las colecciones de conocimiento humano más importantes del mundo” y que el ataque “destruyó nuestra infraestructura tecnológica y sigue afectando a nuestros usuarios”.
Estados Unidos recortará fondos para las reglas de divulgación de ciberataques, Australia impone la notificación obligatoria
El lunes, los republicanos de la Cámara de Representantes de Estados Unidos buscaron recortar el presupuesto de la Comisión de Bolsa y Valores para 2026 en un 7% e incluyeron una disposición que bloqueaba la financiación para hacer cumplir una norma que exige a las empresas públicas divulgar incidentes cibernéticos en un plazo de cuatro días.
En noviembre, Australia promulgó leyes que entraron en vigor en mayo y que exigen a las empresas con una facturación anual superior a 3 millones de dólares australianos (1,9 millones de dólares) y a las entidades responsables de infraestructuras críticas que informen sobre las demandas de ransomware.
El país había considerado previamente si los pagos de ransomware deberían ser ilegales después de que un ciberataque afectara a la prestamista al consumo Latitude Financial, pero fue rechazado en ese momento.
Aclaración: La información y/u opiniones emitidas en este artículo no representan necesariamente los puntos de vista o la línea editorial de Cointelegraph. La información aquí expuesta no debe ser tomada como consejo financiero o recomendación de inversión. Toda inversión y movimiento comercial implican riesgos y es responsabilidad de cada persona hacer su debida investigación antes de tomar una decisión de inversión.