Sitio de filtraciones de ransomware (Ransomware leak site)
Un sitio de filtraciones de ransomware es un sitio, normalmente alcanzable por Tor, donde un grupo de extorsión publica los nombres de las víctimas que no han pagado y va soltando los datos que dice haber robado. Es la mitad de publicación de la doble extorsión: el cifrado provoca la parada, el sitio impone el plazo.
La publicación está escalonada a propósito. Primero se lista a la víctima con su nombre y una cuenta atrás, después aparece una muestra pequeña, después el conjunto completo. Cada paso está diseñado para llevar la decisión de un equipo técnico a un consejo de administración, porque la segunda fase ya no es un problema de disponibilidad: es una divulgación que clientes, reguladores y periodistas pueden leer al mismo tiempo que la víctima.
Para una organización con obligaciones de protección de datos, la aparición de una muestra cambia el reloj. Es evidencia de que hubo datos personales que salieron del parque, que es de lo que depende el deber de notificación, y además es pública. Decidir si se notifica con la muestra colgada en internet es una conversación materialmente distinta de decidirlo cuando la exfiltración solo se sospecha.
Hay dos cosas que conviene decir claramente porque se suelen dar por supuestas al revés. Pagar compra una promesa de borrado y nada más, y los mismos datos han vuelto a aparecer listados después por grupos sucesores. Y estos sitios son también inteligencia: son donde la brecha de un proveedor se hace visible antes de que llegue ninguna notificación. Vigilarlos buscando el nombre del propio cliente, y los de sus proveedores, es la parte práctica del trabajo de dark web y la razón de que la exposición a ransomware se vigile desde fuera, que es lo que hace la vigilancia de dark web que rastrea estos sitios buscando el nombre del cliente.