Negociador de ransomware contratado por víctimas actúa para los atacantes

El caso ha destapado una de las dinámicas más perversas que circulan en el ecosistema de la ciberseguridad: un negociador de rescates, contratado para representar a las víctimas, utilizó el mismo canal de comunicación del grupo extorsor para facilitar el cobro de los rescates y compartir parte de las ganancias con los atacantes. Según los documentos judiciales, el acusado recibió información detallada sobre cada incidente, incluidas las demandas de rescate, los límites de cobertura de los seguros y las estrategias de negociación previstas por los clientes. Con esos datos, el negociador podía “optimizar” el importe que la organización delictiva recibiría, en vez de buscar la mínima pérdida para la empresa afectada.

A partir de abril de 2023, el profesional comenzó a intercambiar mensajes con los operadores de BlackCat a través de la plataforma de mensajería cifrada Tox y de una pestaña de “intermediario” dentro del panel propio del ransomware. Ese espacio, limitado a él y a los negociadores oficiales del grupo, se convirtió en la vía por la que él entregaba información confidencial sobre las víctimas, como los límites de sus pólizas de seguro y la postura interna de negociación. A cambio, se le pagaba una fracción del rescate en criptomoneda. La Fiscalía describe esas conversaciones como “un mecanismo para maximizar los pagos de rescate” y subraya que el aporte de datos se hizo sin el conocimiento ni el consentimiento de los perjudicados.

En mayo de 2023 el acusado amplió su papel al obtener acceso como afiliado al panel de BlackCat y distribuir esa capacidad entre dos cómplices. La colaboración permitió que los tres utilizaran la infraestructura del ransomware para lanzar nuevos ataques, extorsionar a nuevas víctimas y dividir entre ellos los ingresos y una parte para el administrador del grupo. Los documentos hacen referencia a un “acuerdo” entre los tres para operar bajo el mismo esquema, lo que implica que la facción interna del delito se organizó como una pequeña red de socios que se beneficiaban mutuamente de los mismos clientes corporativos.

DigitalMint, la empresa donde el negociador ejercía sus funciones, se calificó a sí misma como “víctima inconsciente”. En un comunicado a los medios, la compañía afirmó que no tenía conocimiento de las actividades ilícitas del empleado, que procedió a despedir a los involucrados una vez que el Departamento de Justicia le notificó de la investigación y que colaboró plenamente con las autoridades federales. La empresa asegura que sus controles internos –incluyendo verificaciones de antecedentes y procedimientos de cumplimiento– cumplían con los estándares de la industria, pero que el individuo logró evadirlos mediante canales de comunicación no autorizados, accesibles únicamente para él y los negociadores de BlackCat. DigitalMint sostuvo que, al desconocer el fraude, su propia infraestructura de seguridad no pudo impedir la filtración de datos críticos.

Por su parte, la firma de consultoría Sygnia también emitió una declaración en la que indicó que había rescindido el contrato con el colaborador implicado tan pronto como se le informó de la situación, y que no formaba parte de la investigación. La compañía dejó claro que siguió trabajando con el FBI para esclarecer los hechos.

El episodio plantea preguntas urgentes sobre la vulnerabilidad de los procesos de negociación de rescates. La práctica de contratar a terceros para mediar en situaciones de ransomware ya es polémica; ahora se ha demostrado que, sin una supervisión rigurosa, esos intermediarios pueden convertirse en una extensión de la propia mafia digital. En el contexto de la industria de la Tecnología, donde la gestión de incidentes y la respuesta a amenazas son pilares estratégicos, el caso subraya la necesidad de reforzar los controles de acceso a información sensible y de auditar de forma continua los canales de comunicación usados en la negociación de rescates. Además, evidencia cómo la falta de transparencia entre víctimas, aseguradoras y negociadores permite la explotación de datos críticos para inflar los pagos.

Expertos señalan que la clave para evitar este tipo de colusión radica en implementar auditorías independientes, limitar el acceso a información de seguros a los mínimos necesarios y establecer protocolos de verificación de la identidad y la legitimidad de cualquier interlocutor externo. En muchos casos, las pólizas de seguro incluyen cláusulas que exigen la notificación de cualquier intento de negociación a la propia aseguradora, lo que podría haber evitado que el negociador actuara como doble agente.

El proceso judicial avanza, y el tribunal está evaluando la culpabilidad del negociador y sus cómplices, así como la posible responsabilidad civil de las empresas que, sin saberlo, facilitaron la operación. Mientras tanto, la comunidad de Tecnología observa el caso como una advertencia clara: la complejidad de los ataques de ransomware no solo reside en el código malicioso, sino también en la infraestructura humana que, si se corrompe, convierte a los defensores en cómplices. La lección más inmediata para los equipos de seguridad es revisar y endurecer los protocolos de gestión de crisis, asegurando que toda la cadena de respuesta esté bajo control y libre de conflictos de interés.