Cómo reclutan las bandas de ransomware y las señales de alerta internas

El ransomware es un negocio y, como cualquier negocio, tiene un problema de contratación. Las bandas que están detrás de las mayores operaciones de extorsión no pueden funcionar a escala con un puñado de fundadores, así que reclutan: en silencio, con paciencia y con un manual psicológico que le resultaría familiar a cualquiera que haya estudiado sectas, pandillas o servicios de inteligencia estatales. Esto no es una guía para entrar. Es lo contrario: una sesión de concienciación para defensores, responsables de equipo y cualquiera que pueda recibir algún día un acercamiento, para que reconozcas una propuesta de reclutamiento por lo que es y te alejes antes de que te cueste tu carrera, tu libertad o tus ahorros.

Para las empresas, el acceso que quiere un reclutador suele ser un acceso que ya debería haberse retirado: practica la higiene de altas, cambios y bajas en el laboratorio del ciclo de vida SCIM de PlayCISO.

Por qué reclutan las bandas y dónde buscan

El ransomware moderno funciona con una división del trabajo. Un grupo central crea y mantiene el malware, gestiona el sitio de filtraciones y se encarga de las negociaciones. A su alrededor hay un elenco rotatorio de afiliados que hacen las intrusiones propiamente dichas, además de especialistas en acceso inicial, en blanqueo de dinero e incluso en «atención al cliente» para las víctimas. Esa estructura solo funciona si nunca se agota la cantera de gente nueva, así que los reclutadores lanzan una red amplia por foros clandestinos, servidores de chat de videojuegos y de hacking, portales de trabajo freelance y, cada vez más, las redes sociales corrientes.

Las personas a las que se dirigen rara vez son delincuentes curtidos. Mucho más a menudo son personas corrientes y capaces pilladas en un momento vulnerable: el empleado con problemas económicos ahogado en deudas, la persona de dentro desencantada a la que han pasado por alto en un ascenso, el adolescente con talento que quiere demostrar algo, el contratista de TI pluriempleado que cree que un trabajito extra nunca se notará. Los reclutadores buscan capacidad más un punto de presión en el que apoyarse.

Los rasgos que buscan los reclutadores: léelos como señales de alerta, no como un currículum

Los equipos de inteligencia de amenazas y los registros de chats filtrados (las filtraciones de Conti de 2022 fueron una lección magistral) revelan las cualidades que los reclutadores anuncian y sondean. El objetivo de enumerarlas es defensivo: si un desconocido en internet empieza a llevar la conversación hacia estos temas, te están evaluando. Trata cada punto de la lista como una señal de alerta de un acercamiento de reclutamiento dirigido a ti o a alguien de tu equipo, no como una lista con la que medirte.

• Acceso antes que habilidad. El rasgo más valioso es el acceso legítimo: credenciales de VPN, derechos de administrador, una tarjeta para entrar en un centro de datos. Si un nuevo conocido en internet muestra un interés inusual por los sistemas a los que llegas en el trabajo, esa es la propuesta.
• Desesperación económica. Los reclutadores buscan explícitamente a personas con problemas de dinero visibles y les ponen delante pagos «que te cambian la vida». Un acercamiento que empieza por tus deudas, tu alquiler o lo mal pagado que estás es captación, no amistad.
• Agravio y resentimiento. El rencor hacia una empresa es materia prima. Las propuestas que validan tu enfado («no te respetan, haz que lo paguen») están fabricando el consentimiento para la traición.
• Talento técnico con algo que demostrar. Joven, con habilidades y con ganas de reconocimiento es un perfil que las bandas cortejan activamente, ofreciendo un estatus y una pertenencia que un trabajo normal no da.
• Discreción y gusto por saltarse las normas. Sondean si guardarás secretos y tomarás atajos, a menudo empezando por un pequeño favor «inofensivo» para comprobar si estás dispuesto a cruzar una línea.
• Aislamiento. Alguien con pocos lazos que perder y nadie ante quien responder es más fácil de mover. El bombardeo de afecto y la camaradería instantánea son herramientas, no una conexión genuina.
• Mentalidad de negación plausible. Los reclutadores tranquilizan a sus objetivos diciéndoles que su parte es «solo» dar acceso, «solo» escribir un script, «solo» pulsar un botón, reformulando un delito grave como una tarea menor. Esa reformulación es en sí misma la señal de alerta.

Cómo funciona realmente la manipulación

El reclutamiento es una pendiente, no un precipicio. Suele empezar con una oferta de aspecto legítimo: un «encargo de pentesting», una colaboración de «investigación de seguridad», un trabajo remoto bien pagado con funciones poco claras. Las primeras tareas son pequeñas y moralmente difusas, elegidas para que puedas decirte que en realidad no has hecho nada malo. Cada tarea completada aumenta el compromiso y estrecha la salida, hasta que la banda puede insinuar que ahora tiene algo con lo que presionarte.

El lenguaje está suavizado de principio a fin. Nadie dice «cometer una intrusión informática constitutiva de delito grave»; dicen «ejecuta esto», «coge las credenciales», «ayúdanos con un proyecto». El pago en criptomonedas y la comunicación por aplicaciones cifradas se presentan como higiene de privacidad normal, y no como lo que son: un rastro de pruebas que controla la banda y no tú. Cuando la realidad ya es innegable, la persona captada suele sentir que es demasiado tarde para echarse atrás. No lo es. Alejarse y denunciar el acercamiento siempre es posible, y siempre es lo correcto.

Las consecuencias que nunca mencionan

La propuesta vende riqueza y pertenencia. La realidad es una baraja trucada en contra del reclutado. Las fuerzas del orden llevan a cabo desmantelamientos sostenidos y con muchos recursos contra exactamente estas operaciones. La Operación Cronos desmanteló en 2024 buena parte de la infraestructura de LockBit, incautó sus servidores y dio lugar a detenciones y acusaciones en varios países. Las filtraciones de Conti expusieron al mundo entero los chats, los alias y las disputas reales de sus miembros. Afiliados de REvil, NetWalker y otros han sido detenidos, extraditados y condenados a años de prisión. Estar fuera de Estados Unidos o de Europa no es el escudo que dan a entender los reclutadores; las extradiciones y las operaciones internacionales ocurren.

Y luego está la traición incorporada al modelo. Las bandas estafan a sus propios afiliados de forma habitual: retienen las partes prometidas, hacen estafas de salida en las que los líderes desaparecen con los fondos, y abandonan o exponen públicamente a cualquiera que se convierta en un riesgo. Tú eres la persona más prescindible y más expuesta del acuerdo: tú hiciste la intrusión, se usó tu acceso, y las personas anónimas que te reclutaron pueden desaparecer mientras tu nombre está en las pruebas. Los desenlaces más probables son que la banda te explote, que te detengan o ambas cosas, y unos antecedentes penales que acaban con la misma carrera tecnológica que te ofrecía el reclutador.

Cómo reconocerlo y mantenerte al margen

Hazle caso a la incomodidad. Un trabajo o una colaboración que paga muy por encima del mercado por un trabajo poco definido, que exige criptomonedas y contacto solo cifrado desde el primer mensaje y que necesita que uses tu acceso del trabajo «con discreción» es un embudo de reclutamiento. No sigas la conversación «para ver adónde va», no completes una «tarea de prueba» y no lo mantengas en secreto. Conserva los mensajes, deja de responder y denuncia el acercamiento: al equipo de seguridad de tu empresa y a las fuerzas del orden o a un canal nacional de denuncia de ciberdelitos. Denunciar pronto te protege; participar, aunque sea poco, no.

Para los responsables de seguridad: reducir el riesgo de captación de personas de dentro

El riesgo humano se gestiona, no se elimina. La defensa más sólida es una plantilla que no tenga ningún punto de presión desatendido que un reclutador pueda explotar y que disponga de una vía clara y sin culpas para plantear una preocupación.

• Atiende los puntos de presión. Un sueldo justo, cargas de trabajo asumibles y una mitigación real del agotamiento eliminan la desesperación y el resentimiento de los que se alimentan los reclutadores. La cultura es un control de seguridad.
• Haz que denunciar sea seguro y fácil. Da a la plantilla un canal evidente y no punitivo para decir «alguien se me ha acercado». Quien teme que le culpen calla; quien confía en el proceso te da un aviso temprano.
• Mínimo privilegio y monitoreo, dentro de la ley. Limita el acceso permanente, registra y genera alertas ante accesos inusuales a sistemas sensibles, y sé transparente con la plantilla sobre que existe ese monitoreo y por qué. Un monitoreo legal, proporcionado y comunicado disuade del mal uso sin convertir el lugar de trabajo en un estado de vigilancia.
• Refuerza las altas, los cambios y las bajas. Una baja disciplinada (revocar las credenciales el mismo día en que alguien se va) cierra el acceso que más probablemente vendería un empleado descontento que se marcha.
• Forma sobre la propuesta, no solo sobre el correo de phishing. Enseña a la plantilla cómo es un reclutamiento y que denunciar un acercamiento se premia, nunca se castiga.