Colonial Pipeline ransomware attack

On May 7, 2021, Colonial Pipeline, an American oil pipeline system that originates in Houston, Texas, and carries gasoline and jet fuel mainly to the Southeastern United States, suffered a ransomwarecyberattack that afflicted computerized equipment managing the pipeline.^[4][5][6] The Colonial Pipeline Company halted all pipeline operations to contain the attack.^{[7][8][9][10]} Overseen by the FBI, the company paid the amount that was asked by the hacker group (75 bitcoin or $4.4 million USD) within several hours;^[11][12] upon receipt of the ransom, an IT tool was provided to the Colonial Pipeline Company by DarkSide to restore the system. However, the tool required a very long processing time to restore the system to a working state.^[12]

The Federal Motor Carrier Safety Administration issued a regional emergency declaration for 17 states and Washington, D.C., to keep fuel supply lines open on May 9.^[13] It was the largest cyberattack on an oil infrastructure target in the history of the United States.^[2] The FBI and various media sources identified the criminal hacking group DarkSide as the responsible party.^[14] The same group is believed to have stolen 100 gigabytes of data from the company servers the day before the malware attack.^[1]

On June 7, the Department of Justice announced that it had recovered 63.7 of the bitcoins (about 84% of the original payment) from the ransom payment,^[15] but due to a crash in the value of Bitcoin in late May,^[16] the recovered bitcoins were worth only around $2.3 million USD,^[15] roughly half of their original value.

This was one of the first high profile corporate cyber attacks which started from a breached employee personal password likely found on the dark web rather than a direct attack on the company's systems.^[17]

La red de oleoductos operada por Colonial Pipeline transporta gasolina, diésel y combustible para aviones desde Texas hasta Nueva York . Aproximadamente el 45 % de todo el combustible consumido en la Costa Este llega a través del sistema de oleoductos. ^{[ 18 ]} El ataque se produjo en medio de la creciente preocupación por la vulnerabilidad de la infraestructura crítica a los ciberataques, tras varios incidentes de alto perfil, como el hackeo de SolarWinds en 2020 , que afectó a múltiples agencias del gobierno federal de EE. UU., incluidos los Departamentos de Defensa, Tesoro, Estado y Seguridad Nacional . ^{[ 6 ] [ 19 ]}

Los atacantes obtuvieron acceso al sistema utilizando una contraseña comprometida de una cuenta de red privada virtual (VPN) inactiva, que no tenía habilitada la autenticación multifactor . ^{[ 20 ] [ 21 ]}

El ataque se dirigió principalmente a la infraestructura de facturación de la empresa. Sin embargo, los sistemas de bombeo de petróleo permanecieron operativos. Según fuentes de CNN dentro de la empresa, la imposibilidad de facturar a los clientes fue citada como la razón para detener las operaciones del oleoducto. ^{[ 22 ]} Colonial Pipeline informó del cierre del oleoducto como medida de precaución, citando la preocupación de que los piratas informáticos pudieran haber accedido a información que permitiera nuevos ataques a la infraestructura vulnerable. Al día siguiente del ataque, Colonial Pipeline declaró que no podía confirmar cuándo se reanudarían las operaciones normales del oleoducto. ^{[ 7 ]} Los atacantes robaron casi 100 gigabytes de datos y amenazaron con publicarlos en línea si no se pagaba el rescate. ^{[ 1 ]} Los informes indicaron que, a las pocas horas del ataque, la empresa pagó un rescate de casi 75 Bitcoins (4,4 millones de dólares estadounidenses) a cambio de una herramienta de descifrado. Sin embargo, según se informó, la herramienta era lenta y las medidas de continuidad del negocio de la empresa resultaron más efectivas para restaurar las operaciones. ^{[ 23 ] [ 24 ]}

El 9 de mayo, Colonial declaró que planeaba reparar y restablecer sustancialmente las operaciones del oleoducto para finales de semana. ^{[ 25 ]}

En respuesta a la escasez de combustible en el Aeropuerto Internacional Charlotte Douglas tras el cierre del oleoducto, American Airlines ajustó temporalmente sus horarios de vuelo. ^{[ 26 ]} Al menos dos vuelos, a Honolulu y Londres , requirieron escalas adicionales para repostar o cambios de avión durante un período de cuatro días. La escasez también obligó al Aeropuerto Internacional Hartsfield-Jackson de Atlanta a recurrir a proveedores de combustible alternativos. Al menos otros cinco aeropuertos también se vieron directamente afectados por el cierre del oleoducto. ^{[ 27 ]}

La escasez de combustible surgió en las estaciones de servicio , exacerbada por las compras de pánico , cuando el cierre del oleoducto entró en su cuarto día. ^{[ 28 ] [ 29 ]} Se reportaron escaseces de combustible en Alabama , Florida , Georgia , Carolina del Norte y Carolina del Sur . ^{[ 28 ]} Las áreas más afectadas abarcaron desde el norte de Carolina del Sur hasta el sur de Virginia. En Charlotte, el 71% de las estaciones de servicio se quedaron sin combustible para el 11 de mayo, ^{[ 30 ]} mientras que en Washington D.C. , el 87% de las estaciones se habían quedado sin combustible para el 14 de mayo. ^{[ 31 ]} Los precios promedio del combustible aumentaron a su nivel más alto desde 2014, superando los $3 por galón. ^{[ 32 ]}

Los expertos han afirmado que los ataques eran prevenibles, pero que no se habían implementado las medidas de protección esenciales. Si bien la escasez de gasolina en la costa este y la recepción del rescate por parte de DarkSide tuvieron consecuencias significativas, no fueron las implicaciones más críticas del incidente. La principal preocupación radicaba en las vulnerabilidades de ciberseguridad y su impacto potencial en la infraestructura crítica de Estados Unidos. ^{[ 33 ]}

El presidente de Estados Unidos, Joe Biden, declaró el estado de emergencia el 9 de mayo de 2021. En circunstancias normales, existían límites a la cantidad de productos derivados del petróleo que podían transportarse por carretera, ferrocarril, etc., dentro del territorio continental estadounidense. Sin embargo, con la declaración en vigor, estos límites quedaron suspendidos temporalmente. ^{[ 34 ]}

El 10 de mayo, el gobernador de Georgia, Brian Kemp, declaró el estado de emergencia ^{[ 35 ]} y suspendió temporalmente el cobro de los impuestos estatales sobre los combustibles para motores (diésel y gasolina). ^{[ 36 ]} En respuesta a las compras de pánico en el sureste, el secretario de Transporte de EE. UU., Pete Buttigieg, y la secretaria de Energía de EE. UU. , Jennifer Granholm, advirtieron el 12 de mayo contra el acaparamiento de gasolina, reiterando que Estados Unidos estaba experimentando una "crisis de suministro" en lugar de una escasez de gasolina. ^{[ 37 ] [ 38 ]}

El 12 de mayo, la Comisión de Seguridad de Productos de Consumo de EE. UU. aconsejó a la gente que "no llenara bolsas de plástico con gasolina" ni utilizara ningún recipiente que no estuviera destinado a combustible . ^{[ 38 ]}

Biden firmó la Orden Ejecutiva 14028 ^{[ 39 ]} el 12 de mayo, aumentando los estándares de seguridad del software para las ventas al gobierno, reforzando la detección y la seguridad en los sistemas existentes, mejorando el intercambio de información y la capacitación, estableciendo una Junta de Revisión de Seguridad Cibernética y mejorando la respuesta a incidentes. El Departamento de Justicia de los Estados Unidos también convocó a un grupo de trabajo sobre ciberseguridad para aumentar los enjuiciamientos. ^{[ 40 ]}

El Departamento de Estado emitió un comunicado en el que anunciaba una recompensa de 10.000.000 de dólares por información que condujera al arresto de miembros de DarkSide. ^{[ 41 ]}

El reinicio de las operaciones del oleoducto comenzó a las 5 p. m. del 12 de mayo, ^{[ 43 ] [ 44 ]} poniendo fin a un cierre de seis días, aunque Colonial Pipeline Company advirtió que podría tomar varios días más para que el servicio volviera a la normalidad. La compañía del oleoducto declaró que varios mercados abastecidos por el oleoducto podrían experimentar, o continuar experimentando, interrupciones intermitentes del servicio durante el reinicio. La compañía también declaró que transportarían tanta gasolina, diésel y combustible para aviones como fuera posible de forma segura hasta que los mercados volvieran a la normalidad. ^{[ 45 ] [ 46 ]} Todos los sistemas y operaciones de Colonial Pipeline habían vuelto a la normalidad para el 15 de mayo. ^{[ 43 ]} Después del cierre, el precio promedio nacional de la gasolina subió al más alto que había sido en más de seis años, a un promedio de aproximadamente US$ 3.04 por galón el 18 de mayo. El aumento de precio fue más pronunciado en los estados del sur, con precios que subieron entre 9 y 16 centavos en las Carolinas, Tennessee, Virginia y Georgia. Alrededor de 10.600 gasolineras seguían sin combustible al 18 de mayo. ^{[ 47 ] [ 48 ] [ 49 ]}

En una entrevista concedida a The Wall Street Journal el 19 de mayo de 2021 , Joseph Blount explicó por qué decidió pagar un rescate de 4,4 millones de dólares a los hackers que habían vulnerado los sistemas de la empresa: «Era lo correcto para el país». También afirmó: «Sé que es una decisión muy controvertida». ^{[ 50 ]}

Biden dijo el 10 de mayo que, si bien no había evidencia de que el gobierno ruso fuera responsable del ataque, sí había evidencia de que el grupo DarkSide está en Rusia y que, por lo tanto, las autoridades rusas "tienen cierta responsabilidad en abordar esto". ^{[ 51 ] [ 34 ]} Investigadores independientes de ciberseguridad también han afirmado que el grupo de hackers es ruso, ya que su malware evita cifrar archivos en un sistema donde el idioma está configurado en ruso. ^{[ 34 ] [ 52 ]}

Tras el ataque, se reveló en una audiencia del subcomité cibernético del Comité de Servicios Armados del Senado que el Departamento de Seguridad Nacional no fue alertado del ataque de ransomware y que el Departamento de Justicia no fue alertado del tipo ni del monto del rescate, lo que provocó un debate sobre los numerosos silos de información en el gobierno y las dificultades para compartirla. ^{[ 53 ]}

La firma de análisis de blockchain Elliptic publicó un informe sobre billeteras de bitcoin que muestra que se realizaron pagos de rescate por valor de 90 millones de dólares a DarkSide o sus afiliados durante el último año, provenientes de 47 billeteras distintas. Según una publicación de DarkTracer sobre 2226 organizaciones víctimas desde mayo de 2019, 99 organizaciones se infectaron con el malware DarkSide, lo que sugiere que aproximadamente el 47% de las víctimas pagaron un rescate y que el pago promedio fue de 1,9 millones de dólares. El desarrollador de DarkSide recibió bitcoins por valor de 15,5 millones de dólares (17%), mientras que los 74,7 millones de dólares restantes (83%) fueron a parar a los diversos afiliados. ^{[ 54 ] [ 55 ]}

Recuperación parcial del rescate

El Departamento de Justicia de los Estados Unidos emitió un comunicado de prensa el 7 de junio de 2021, en el que afirmaba haber incautado 63,7 Bitcoins del pago del rescate original. ^{[ 15 ]} El valor de los Bitcoins recuperados era de tan solo 2,3 millones de dólares, debido a la caída del precio de Bitcoin desde la fecha del pago del rescate. ^{[ 56 ]} Gracias a la posesión de la clave privada de la cuenta del rescate, el FBI pudo recuperar los Bitcoins, aunque no reveló cómo obtuvo dicha clave. ^{[ 57 ] [ 58 ]}

• Derrame de petróleo del oleoducto Colonial Pipeline en 2020
• Ciberataque de la Autoridad de Transporte Marítimo
• Ciberataque del Servicio Ejecutivo de Salud

• Contenido multimedia relacionado con el ciberataque a Colonial Pipeline en Wikimedia Commons.