Ataque de ransomware contra el gobierno de Atlanta

La ciudad de Atlanta , Georgia, fue objeto de un ataque de ransomware que comenzó en marzo de 2018. ^[2] La ciudad reconoció el ataque el jueves 22 de marzo de 2018, ^{[1] [3]} y reconoció públicamente que fue un ataque de ransomware .

Debido a la importancia nacional de Atlanta como centro económico y de transporte, el ataque recibió una amplia atención ^[4] y fue notable tanto por la extensión como por la duración de las interrupciones del servicio que causó. Muchos servicios y programas de la ciudad se vieron afectados por el ataque, incluidos los servicios públicos, de estacionamiento y judiciales. ^[5] Los funcionarios de la ciudad se vieron obligados a completar formularios en papel a mano. ^[6]

El 26 de noviembre, un gran jurado acusó a dos piratas informáticos iraníes , Faramarz Shahi Savandi y Mohammad Mehdi Shah Mansouri, por el ataque. El Departamento de Justicia alegó que Savandi y Mansouri son parte del grupo SamSam ; que el grupo SamSam tiene su base en Irán; y que ambos crearon SamSam Ransomware, el malware utilizado en el ataque. No hay afiliaciones con el gobierno de Irán. ^[7]

Antes del ataque, el gobierno de Atlanta fue criticado por la falta de gasto en la actualización de su infraestructura de TI, lo que dejó múltiples vulnerabilidades abiertas a los ataques. De hecho, una auditoría de enero de 2018 encontró entre 1.500 y 2.000 vulnerabilidades en los sistemas de la ciudad y sugirió que la cantidad de vulnerabilidades había crecido tanto que los trabajadores se volvieron complacientes. ^[8] El virus utilizado para atacar la ciudad fue SamSam Ransomware, que se diferencia de otros ransomware en que no se basa en el phishing , sino que utiliza un ataque de fuerza bruta para adivinar contraseñas débiles hasta que se encuentra una coincidencia. Se sabe que apunta a infraestructuras y servidores de TI más débiles. ^[9] El ransomware ha estado de manera destacada detrás de los ataques a organizaciones médicas y gubernamentales desde su descubrimiento en 2016, con ataques anteriores a objetivos que van desde pequeñas ciudades como Farmington, Nuevo México, hasta el Departamento de Transporte de Colorado y el Centro Médico del Condado de Erie . También puede eludir el software antivirus . ^[10] A pesar de que hasta noviembre de 2018 no se identificaron ni acusaron a ningún sospechoso, los piratas informáticos de SamSam fueron descritos como "oportunistas". ^[11]

El 22 de marzo, a las 5:40 a. m., el Departamento de Gestión de Información de Atlanta se enteró por primera vez de interrupciones en varias aplicaciones internas y de clientes, "incluidas algunas aplicaciones que los clientes usan para pagar facturas o acceder a información relacionada con los tribunales", según Richard Cox, el jefe de operaciones interino de la ciudad. Poco después, la ciudad cerró muchos de sus servicios digitales en un intento de controlar la situación, incluida la base de datos de su sistema judicial y el wifi del Aeropuerto Internacional Hartsfield-Jackson de Atlanta . La ciudad finalmente lo identificó como un ataque de ransomware. ^{[3] [1]}

Este ataque fue notable porque fue la mayor violación de seguridad exitosa para una gran ciudad estadounidense por ransomware, afectando potencialmente a hasta 6 millones de personas. ^{[9] [12]} Después del ataque, la ciudad de Atlanta cooperó con el FBI , el Departamento de Seguridad Nacional y el Servicio Secreto y contrató empresas de seguridad como SecureWorks para investigar, y se recomendó a muchas computadoras del gobierno que permanecieran apagadas hasta 5 días después. ^[6]

Aunque la ciudad declaró que había poca o ninguna evidencia de que se hubieran comprometido datos personales, estudios posteriores muestran que la vulneración fue peor de lo que se estimó originalmente. En junio de 2018, se estimó que un tercio de los programas de software utilizados por la ciudad permanecieron fuera de línea o parcialmente deshabilitados. ^[13] Además, muchos documentos legales y archivos de video de las cámaras de los vehículos de la policía fueron eliminados de forma permanente, aunque el departamento de policía pudo restablecer el acceso a todos sus archivos de investigación. ^[14] Durante un tiempo, los residentes se vieron obligados a pagar sus facturas y formularios en papel. ^[6]

En respuesta a este ataque, Atlanta destinó 2,7 millones de dólares a contratistas para recuperarse, pero más tarde estimó que necesitaría 9,5 millones de dólares. ^[13]

El 26 de noviembre de 2018, el Departamento de Justicia acusó a dos piratas informáticos iraníes por el ataque, alegando que Faramarz Shahi Savandi y Mohammad Mehdi Shah Mansouri eran parte del grupo SamSam y crearon SamSam Ransomware. ^[7]