Entidad gubernamental de EE. UU. pagó un millón de dólares a extorsionadores que no encriptaron nada: el caso Kairos

Introducción

Un organismo del gobierno estadounidense transfirió aproximadamente un millón de dólares a un grupo que se hace llamar Kairos para evitar la filtración de archivos robados. La sorpresa es que, según el análisis forense disponible, este grupo jamás bloqueó un solo sistema con ransomware.

El problema

De acuerdo con una investigación publicada por The Hacker News, basada en un caso de estudio de Rakesh Krishnan para Ransom-ISAC, una entidad gubernamental de Estados Unidos pagó una suma cercana al millón de dólares para evitar que datos sustraídos fueran publicados. El análisis se apoyó en una transcripción de la negociación filtrada y en el rastro en blockchain que dejó el pago. Lo inusual del caso es que Kairos, el grupo que recibió el dinero, podría no ser una banda de ransomware en el sentido tradicional: Krishnan no encontró evidencia de que hubieran encriptado ningún sistema. La extorsión se basó exclusivamente en la amenaza de exponer la información robada.

Consecuencias

El pago establece un precedente peligroso: valida que la extorsión sin cifrado—el robo puro de datos—es viable y rentable contra organismos públicos. Esto incentiva a más actores a adoptar el modelo de "doble extorsión" omitiendo la fase de bloqueo, lo que reduce el ruido técnico del ataque y dificulta su detección temprana. Para la entidad pagadora, el riesgo reputacional y operativo no desaparece: los datos ya estuvieron en manos del atacante, y nada garantiza que las copias hayan sido destruidas.

Causas