RansomHouse és una organització de cibercriminals especialitzats en la realització d'atacs informàtics amb ransomware, un tipus de software maliciós que encripta les dades d'una xarxa o sistema informàtic que restringeix l'accés total o parcial a arxius específics del sistema infectat deixant-los inutilitzats o “segrestats”. La finalitat d'aquest atac respon a l'amenaça de la publicació de la informació robada a la pàgina web dels atacants si no se'ls efectua el pagament del rescat demanat.
S'ha identificat a aquest grup criminal com el responsable de diversos ciberatacs, entre ells el sofert per l'Hospital Clínic de Barcelona el març de 2023. Per altra banda, es coneix que han estat atacants d'altres empreses a escala mundial a partir d'una llista publicada per ells mateixos on assumeixen l'extracció de les seves dades, entre les quals es troben des de multinacionals farmacèutiques, hospitals, fins a empreses d'aerolínies.
Modus operandi
Aquest grup criminal utilitza un tipus de malware conegut com a ransomware que té la capacitat de bloquejar l'accés als equips informàtics infectats i xifrar la seva informació. Un cop infiltrat a la xarxa de l'objectiu es mostra un missatge al dispositiu afectant advertint sobre la seva exposició i la possible filtració de dades confidencials, exigint un rescat econòmic per desbloquejar els sistemes i garantir que no es difon la informació. El pagament del rescat s'ha de realitzar a través de criptomonèdes.
En la seva pròpia pàgina web, localitzada a la dark web, es proporcionen les condicions d'ús en les quals, a més d'especificar que el pagament es farà en Bitcoins, alerten que en el cas que s'involucri a terceres parts com departaments de policia o altres agències especials suposarà una violació de les clàusules que suposarà la finalització de les negociacions i l'imminent penjament de les dades robades tant en la seva pàgina web, el seu canal de Telegram, com enviat a les persones o empreses involucrades en la filtració de dades.
En cas contrari, si es duen a terme de manera correcta les condicions pactades, l'organització es compromet a la supressió de la informació robada dels seus servidors, l'eliminació de totes les publicacions associades amb la filtració així com de les backdoors fetes servir per introduir-se en els seus equips. A més, es proporcionarà a les companyies perjudicades una llista de recomanacions de seguretat així com el software per desencriptar la informació. Els cibercriminals afegeixen que no es tornaran a utilitzar les vulnerabilitats actuals per realitzar més atacs, i en cas de descobrir-ne de noves es notificarà a l'empresa.
Motivacions
Segons el que exposen a la seva web, el seu objectiu és conscienciar sobre els problemes de seguretat i privacitat de les dades, destacar la importància de la ciberseguretat i deixar constància de la negligència per part d'empreses multimilionàries les quals deixen de banda la seguretat per tal d'estalviar pressupostos; fet que els fa tornar vulnerables.
Així doncs, opinen que els culpables de les vulnerabilitats no són aquells que les troben o duen a terme la intromissió, sinó els que no cuiden bé la seguretat de la seva empresa.
Tot i ser conscients que la seva manera de guanyar diners assenyalant els errors de les empreses pot resultar controvertida, adverteixen que faran tot el possible per deixar constància de quines són les empreses que no es preocupen per aquests problemes i es neguen a negociar i a pagar per la feina realitzada per RansomHouse en destapar les seves bretxes de seguretat. Esperen cobrar els diners pel servei veient-lo, no com un rescat, sinó com una remuneració per la feina feta.
Atacs realitzats
Des del primer atac del qual es té constància, el 25 de desembre de 2021 a la Saskatchenwan Liquor and Gaming Authority, l'autoritat d'una província del Canadà encarregada de la distribució de begudes alcohòliques, cànnabis i jocs d'atzar, l'organització criminal RansomHouse ha perpetrat multitud d'atacs arreu del món incloent-hi els Estats Units, Suècia, Alemanya, Colòmbia, i fins i tot Catalunya.
Ciberatac a l'Hospital Clínic de Barcelona
El diumenge 5 de març de 2023 l'Hospital Clínic va patir el ciberatac per part d'aquest grup de cibercriminals el qual va obligar a reprogramar 150 cirurgies, fins a 3.000 consultes externes i ajornar sessions de radioteràpia oncològica. Els serveis d'urgències, farmàcia i laboratori van haver de coordinar-se amb altres hospitals de Barcelona per tal de poder atendre codis urgents i transports sanitaris.
El grup atacant va tardar quasi una setmana a donar senyals i no va ser fins al divendres següent que van comunicar que tenien 4 terabytes de dades extretes per les quals demanaven un rescat de 4,25 milions d'euros.
Després de decidir-se des del Govern de la Generalitat de Catalunya la no negociació ni realització de cap pagament al grup criminal, el dia 16 d'abril es va detectar a la dark web la publicació de dades personals tant de pacients com de professionals, entre les quals constaven resultats d'anàlisis, historials clínics, sous, correus electrònics, adreces, telèfons, entre d'altres.
