La segunda extorsión

Diez días después de restablecer completamente su operación tras un ataque de ransomware, una empresa recibió un segundo correo. Ya no se trataba de recuperar archivos cifrados. Los atacantes afirmaban haber exfiltrado la base de clientes, información contable y documentación sensible. Adjuntaban una muestra para acreditar la autenticidad de los datos y otorgaban noventa y seis horas para reanudar la negociación antes de publicar la información.

Juan Pablo López

En ese momento, el ransomware dejó de ser un problema informático. La discusión pasó a ser jurídica, reputacional y de gobierno corporativo.

La primera decisión (recuperar la continuidad operacional) suele estar respaldada por procedimientos, protocolos y copias de seguridad. La segunda, decidir si una organización debe pagar para evitar la divulgación de información robada, rara vez ha sido discutida con el mismo nivel de profundidad. Sin embargo, es precisamente ahí donde hoy comienza a medirse el estándar de diligencia del directorio.

El artículo 41 de la Ley N° 18.046 exige a los directores actuar con el cuidado y la diligencia que una persona prudente emplea ordinariamente en sus propios negocios. Esa norma no responde si corresponde pagar o no un rescate. Lo que exige es algo distinto: que la decisión sea informada, razonada, documentada y sustentada en una evaluación seria de los riesgos que enfrenta la organización.

La pregunta, por tanto, ya no consiste únicamente en determinar si existen respaldos suficientes para recuperar la operación. Lo relevante es evaluar las consecuencias jurídicas, económicas y reputacionales de financiar a quien ha cometido un delito o rechazar la exigencia y asumir una eventual divulgación de la información.

La experiencia internacional demuestra que ninguna de las alternativas ofrece certezas absolutas. El Centro Nacional de Ciberseguridad del Reino Unido ha advertido que el pago de un rescate no garantiza la eliminación de los datos sustraídos. Del mismo modo, distintos casos han demostrado que organizaciones que pagaron volvieron a ser objeto de nuevas extorsiones o vieron igualmente expuesta su información.

Desde la perspectiva del gobierno corporativo, la discusión adquiere una dimensión distinta. La decisión no compromete únicamente la continuidad operacional. También puede afectar la confianza de clientes, inversionistas, reguladores, proveedores y trabajadores. La reputación deja de ser una consecuencia del incidente para convertirse en el principal activo cuya protección debe evaluar el directorio.

En ese escenario, lo exigible no es una respuesta predeterminada, sino un proceso deliberativo serio. La calidad de la decisión dependerá de que el directorio cuente con antecedentes técnicos y jurídicos suficientes, evalúe las alternativas disponibles, deje constancia de los fundamentos que la sustentan y adopte, cuando corresponda, medidas paralelas para gestionar la crisis frente a autoridades, clientes y demás grupos de interés.

Esta discusión también dialoga con el marco regulatorio reciente. La Ley N° 21.663 sobre ciberseguridad, la Ley N° 21.719 sobre protección de datos personales y la Ley N° 21.595 sobre delitos económicos han elevado las expectativas respecto de la forma en que las organizaciones gobiernan sus riesgos tecnológicos. Ninguna de estas normas obliga a pagar o a no pagar un rescate. Lo que sí exigen es que los riesgos digitales dejen de entenderse como un asunto exclusivamente operativo y pasen a formar parte de las decisiones permanentes del gobierno corporativo.

La verdadera pregunta ya no es si una empresa fue víctima de un ransomware. La pregunta es si, cuando enfrentó la segunda extorsión, su directorio estaba en condiciones de demostrar que actuó con el estándar de diligencia que hoy exige el gobierno corporativo.

 
Juan Pablo López es director de Ciberlegal.
 
También te puede interesar:
— Mythos: el monstruo que Anthropic aún no suelta