La cadena de valor del cibercrimen

La economía del cibercrimen se parece más a una cadena de suministro que a una banda con jefe: cada eslabón se especializa, vende a los demás y se paga a su manera. Un eslabón puede ser una persona o un equipo, y el mismo alias puede ocupar varios.

Para quien defiende, esto cambia la pregunta. Ya no es «quién nos atacó», sino «qué eslabones tocaron nuestro caso, y cuál de ellos dejó un rastro que nosotros podíamos ver». Cada eslabón deja huellas de naturaleza distinta, y por eso se leen con fuentes distintas.

Abre la consola. eslabones describe los seis eslabones de este modelo: acceso, herramientas, servicios, despliegue, cobro y lavado. caso_olivar ordena los siete pasos del incidente y asigna un alias a cada uno. El eslabón de acceso es un buen ejemplo: quien consigue una entrada no tiene por qué ser quien la usa, y los informes distinguen con cuidado al que la anuncia del que la compra.

Entre que alguien compra una entrada y la usa pasa un tiempo. Ese intervalo es una ventana de oportunidad para la defensa, y los informes lo miden porque no es igual para todos. Con las fechas del caso, mide cuánto duró la ventana desde que el afiliado compró la entrada hasta que se cifraron los archivos.

La columna que_deja_visible_a_quien_defiende de eslabones dice qué rastro deja cada eslabón. Pero no todos los rastros están al alcance de la empresa afectada: una compra de entrada en un foro ocurre fuera de su vista, y el pago entre carteras también. Lo que sí puede estar en sus propios registros de inicio de sesión es lo que deja el uso de una entrada ya comprada.