DarkSide operaba el ransomware como una franquicia: comisiones escalonadas, afiliados y un servicio de asistencia (entrevista)

En el programa Fresh Air de NPR, en junio de 2021, el reportero de investigación del New York Times Michael Schwirtz describió lo que encontró en las comunicaciones internas de DarkSide, la operación de ransomware de habla rusa que atacó a Colonial Pipeline y que recaudó más de 90 millones de dólares en aproximadamente su primer año desde su lanzamiento en agosto de 2020. La nota de rescate que veían las víctimas comenzaba con «Welcome to DarkSide»: formal, profesional, con amenazas sutiles de no manipular sus propios sistemas. Además de cifrar archivos, la banda robaba datos propietarios y amenazaba con publicarlos o venderlos a rivales y a otros hackers.

DarkSide estaba estructurada como una franquicia. Escribía el ransomware, pero subcontrataba las intrusiones reales a afiliados: otros hackers que se inscribían para usar el malware por una tarifa en una escala móvil vinculada al monto del rescate. Un rescate inferior a 500.000 dólares dejaba a DarkSide alrededor del 25 %; en rescates superiores a 5 millones de dólares su parte bajaba a alrededor del 10 %, un reparto descrito como bastante generoso. Del pago de 4,5 millones de dólares de Colonial Pipeline, aproximadamente el 10 % fue para DarkSide y el resto para el afiliado que penetró los sistemas. La banda reclutaba en foros de la dark web, uno de las decenas de grupos que competían por afiliados capacitados.

Incluso la experiencia de la víctima estaba productizada. La mayoría de las víctimas no sabía usar Bitcoin, así que DarkSide operaba un servicio de asistencia —con chat, como la línea de soporte de un proveedor de internet— para guiarlas en el pago. El objetivo, dijo Schwirtz, era hacer que pagar fuera lo más sencillo posible para que las víctimas resolvieran el problema y siguieran adelante en lugar de luchar por recuperar sus datos. Cuando se identificó a DarkSide como el atacante de Colonial Pipeline, se apagó.

Industrializar la extorsión: licenciar el ransomware a afiliados con una comisión variable y dar a las víctimas un servicio de asistencia para que pagar se sienta como un soporte ordinario.

Dividir los roles permitió que los especialistas se especializaran: los autores del malware escalaron un solo producto a través de decenas de afiliados que trabajaban sin descanso para encontrar víctimas.

La comisión regresiva —una parte menor en rescates mayores— estaba diseñada para atraer y retener a los hackers más capaces.

Un servicio de asistencia que facilita el pago elimina la fricción; una víctima confundida es un rescate sin pagar.

Robar datos además de cifrarlos añadió un segundo canal de presión pública más allá de la pérdida de acceso.

Los mercados criminales se industrializan igual que el software legal —franquicias, precios escalonados de SaaS, mesas de soporte— y mapear esa estructura es como los investigadores entienden la amenaza.

Tras ser señalada como el atacante de Colonial Pipeline —un ataque que interrumpió el flujo de gasolina en Estados Unidos—, DarkSide se apagó. Schwirtz también informó sobre REvil, el grupo detrás del ataque contra el procesador de carne JBS, parte de la misma ola de ransomware que golpeaba a empresas, hospitales, policías y ciudades.