Las empresas pueden desgravarse el pago de un rescate por ransomware en EE.UU.

Ante el aumento de los ataques de ransomware, el FBI aconseja a las empresas afectadas no pagar a los ciberdelincuentes.

Sin embargo, el gobierno de Estados Unidos ofrece un incentivo para los que pagan: Los rescates por ransomware pueden ser deducibles de impuestos.

Es un «resquicio de esperanza» para las víctimas del ransomware, como dicen algunos abogados y contables especializados en impuestos consultados por Associated Press.

Los que buscan desalentar los pagos temen que la deducción sea un incentivo que podría incitar a las empresas a pagar rescates en contra del consejo de las fuerzas del orden.

La deducibilidad de este gasto es una pieza de un dilema mayor derivado del aumento de los ataques de ransomware, en los que los ciberdelincuentes cifran los datos informáticos y exigen un pago para dar la clave de descifrado los archivos.

El gobierno estadounidense no quiere pagos que financien a las bandas criminales y que puedan fomentar más ataques. Sin embargo, no pagar puede tener consecuencias devastadoras para las empresas y potencialmente para la economía en general.

Un ataque de ransomware a Colonial Pipeline el mes pasado provocó escasez de gas en algunas partes de Estados Unidos. La empresa, que transporta alrededor del 45% del combustible que se consume en la Costa Este, pagó un rescate de 75 bitcoins, valorados entonces en unos 4,4 millones de dólares.

El ransomware se ha convertido en un negocio multimillonario, y el pago medio fue de más de 310.000 dólares el año pasado, un 171% más que en 2019, según Palo Alto Networks.

Las empresas que pagan directamente las demandas de ransomware están más expuestas a sufrir un nuevo ataque, con frecuencia por parte del mismo grupo que les aracó en primer lugar.

Durante años, el ransomware era más una molestia económica que una gran amenaza nacional. Pero los ataques lanzados por cibercriminales extranjeros fuera del alcance de las fuerzas de seguridad han proliferado en el último año y han llevado el problema del ransomware a las primeras páginas.

En respuesta, los altos cargos de las fuerzas de seguridad de Estados Unidos han instado a las empresas a no satisfacer las demandas del ransomware.

«Es nuestra política, es nuestra orientación, desde el FBI, que las empresas no deben pagar el rescate por una serie de razones», declaró este mes ante el Congreso el director del FBI, Christopher Wray.

Los funcionarios advierten que los pagos conducen a más ataques de ransomware. «Estamos en este barco porque en los últimos años la gente ha pagado el rescate», dijo Stephen Nix, asistente del agente especial a cargo del Servicio Secreto de Estados Unidos, en una reciente cumbre sobre ciberseguridad.

No está claro cuántas empresas que pagan el ransomware se acogen a las deducciones fiscales. La deducción tiene límites. Si el siniestro de la empresa está cubierto por un ciberseguro — algo que también es cada vez más habitual –, la empresa no puede deducirse el pago realizado por la aseguradora.