¿Qué ha ocurrido?
El consorcio armamentístico suizo RUAG habría pagado un rescate al grupo cibercriminal Akira tras un ciberataque contra su filial estadounidense Mecanex USA. El robo de datos se produjo a principios de noviembre de 2025, y la cadena de radiotelevisión suiza SRF atribuye la intrusión a la filial estadounidense RUAG LLC. Los autores del ataque publicaron la extorsión en su sitio de la dark web y afirmaron haber copiado alrededor de 24 GB de datos.
Jürg Rötheli, presidente del consejo de administración de RUAG, reconoció el pago en el programa Samstagsrundschau de SRF: "Pagamos, una cantidad pequeña, afortunadamente, y recuperamos todos los datos", declaró. Según esto, las demandas de rescate habrían ascendido a cifras de seis dígitos en el rango bajo.
Los detalles
Según los atacantes, los datos sustraídos contenían números de la seguridad social, documentos de identidad, permisos de conducir, números de teléfono, direcciones y otra información personal de empleados. Además, también se habrían visto afectados información militar clasificada, así como contratos e instrucciones sobre el manejo de explosivos.
Rötheli explicó que el pago del rescate había sido acordado internamente, con los órganos internos de la empresa. Además, se llevó a cabo una consulta con expertos legales estadounidenses. El Ministerio de Defensa suizo VBS (Departamento Federal de Defensa, Protección Civil y Deporte) no quiso comentar el pago, pero indicó que no había sido informado previamente.
El grupo cibercriminal Akira utiliza su propio ransomware y sigue cifrando los datos de sus víctimas, en lugar de limitarse únicamente al robo de datos y la extorsión mediante la amenaza de no publicación, como hacen muchos otros grupos. Recientemente, el grupo llamó la atención a finales de 2025 cuando logró introducir su ransomware en firewalls SonicWall a pesar de tener activada la autenticación multifactor. Desde entonces, Akira parece haberse centrado más en empresas pequeñas y actúa de forma menos llamativa.
Contexto
El caso contradice la recomendación habitual de los expertos en seguridad informática, así como de las autoridades suizas de ciberseguridad, de no pagar rescates en este tipo de casos. También en Alemania, las autoridades competentes desaconsejan enérgicamente hacerlo. Ya en 2022, expertos en seguridad informática del ámbito académico y empresarial habían exigido, en una carta abierta, medidas concretas contra los pagos de rescate por parte de las víctimas, un escrito que en su momento recibió mucha atención.
El consejero nacional del SVP y empresario de TI Mauro Tuena señaló a SRF que el grupo Akira ahora sabe que la Confederación suiza está dispuesta a pagar rescates, una señal que, en su opinión, resulta devastadora. RUAG respondió que la decisión había sido correcta, ya que se recuperaron todos los datos y se pudieron minimizar los daños.
Esta contradicción entre la recomendación oficial y el comportamiento real de una empresa vinculada a la Confederación pone de manifiesto el dilema en el que se encuentran las víctimas de este tipo de ataques: por un lado, no se debe reforzar el modelo de negocio de los extorsionadores mediante pagos; por otro, las empresas se encuentran bajo una considerable presión para evitar que se hagan públicos datos sensibles, especialmente aquellos relacionados con información militar.
Consejos prácticos
- Las empresas deberían, independientemente de la presión aguda de una situación concreta, analizar previamente las recomendaciones oficiales de las autoridades de ciberseguridad y establecer procesos internos de decisión para casos de emergencia.
- La participación temprana de órganos de supervisión y, como ocurrió en el caso de RUAG, el asesoramiento jurídico, puede ayudar a documentar de forma comprensible las decisiones tomadas en situaciones de crisis.
- Especialmente las empresas con datos sensibles o relevantes para la seguridad deberían comprobar en qué medida las medidas de seguridad previas, como la autenticación multifactor, están suficientemente reforzadas; el caso de los firewalls SonicWall demuestra que Akira también puede eludir mecanismos de protección establecidos.
- También debe garantizarse una comunicación transparente con instancias superiores, como ministerios u organismos de supervisión, incluso en los procesos de decisión internos, para evitar pérdidas de confianza como la ocurrida en el caso del VBS, que no fue informado.
Perspectivas
El caso RUAG probablemente reavive el debate sobre cómo abordar las demandas de rescate, especialmente al tratarse de una empresa vinculada a la Confederación suiza. La declaración del consejero nacional Tuena, según la cual Akira ahora sabe que la Confederación está dispuesta a pagar, sugiere que ataques similares contra instituciones estatales o relevantes para la seguridad podrían volverse menos improbables en el futuro.
Al mismo tiempo, el comportamiento del grupo Akira, que últimamente ha centrado más su atención en empresas pequeñas, demuestra que la situación de amenaza para organizaciones de diferentes tamaños sigue intensificándose. Por el momento, aún no se conocen detalles sobre posibles consecuencias adicionales para RUAG ni sobre eventuales reacciones de las autoridades.
