Ransomware en NASCAR: así secuestraron los datos de una empresa multimillonaria
La National Association for Stock Car Auto Racing (NASCAR) acaba de confirmar lo que muchos ya sospechábamos: sufrió un ataque de ransomware en abril de 2025 que comprometió información personal sensible. Y no, no es una simple filtración de correos electrónicos. Los ciberdelincuentes se llevaron nombres y números de la Seguridad Social de un número no especificado de personas.
Cronología de un secuestro digital
El ataque comenzó el 31 de marzo y duró hasta el 3 de abril, cuatro días en los que los atacantes tuvieron acceso completo a los sistemas de NASCAR. Cuatro días pueden parecer poco, pero en términos de ciberseguridad, es una eternidad. En mi experiencia, un atacante competente puede exfiltrar terabytes de información en cuestión de horas si no encuentra resistencia.
NASCAR activó su plan de respuesta a incidentes de manera inmediata (algo que, por cierto, toda empresa debería tener preparado), contrató a especialistas en ciberseguridad y notificó a las autoridades. Los pasos correctos, sin duda, pero como ya comentamos en otras ocasiones: una vez que tus datos están fuera, recuperar el control es casi imposible.
El grupo Medusa y su peculiar modus operandi
Aunque la empresa no ha confirmado oficialmente quién estuvo detrás del ataque, el grupo de ransomware Medusa se atribuyó la responsabilidad en su sitio de filtraciones en la red Tor. Y no fueron discretos precisamente: afirmaron haber robado aproximadamente 1 terabyte de datos (imagina unos 200 DVD llenos de información) y exigieron un rescate de 4 millones de dólares.
Este grupo, relativamente reciente en el panorama del ransomware, ha estado muy activo durante 2024 y 2025, atacando principalmente a grandes corporaciones y entidades gubernamentales. Su estrategia suele ser de doble extorsión: cifran los datos y amenazan con publicarlos si no reciben el pago.
¿Qué información se llevaron exactamente?
Según la notificación oficial, los atacantes obtuvieron nombres y números de la Seguridad Social. Pero seamos realistas: cuando un grupo de ransomware accede a un sistema durante varios días, raramente se limitan a unos pocos archivos.
Mi experiencia me dice que probablemente también se llevaron:
- Información financiera de la empresa
- Datos de empleados, incluyendo posiblemente nóminas
- Contratos con patrocinadores y pilotos
- Propiedad intelectual y planes estratégicos
- Comunicaciones internas
NASCAR está ofreciendo a los afectados entre uno y dos años de servicios gratuitos de monitoreo de crédito e identidad. Es lo mínimo que pueden hacer, pero sinceramente, es como poner una tirita en una fractura abierta.
Las consecuencias del cifrado malicioso
El ransomware no es solo un problema técnico; sus efectos se extienden mucho más allá. NASCAR, una empresa privada fundada en 1948 que posee 14 circuitos importantes y gestiona tres series de carreras en EE.UU., podría enfrentar consecuencias significativas.
Impacto financiero más allá del rescate
Independientemente de si NASCAR pagó o no el rescate (y las empresas raramente confirman esta información), el costo real de un ataque de ransomware supera con creces la cantidad exigida:
- Investigación forense y recuperación: puede costar millones
- Notificaciones a los afectados y servicios de monitoreo: cientos de miles
- Pérdida de productividad: difícil de cuantificar pero significativa
- Daños reputacionales: potencialmente devastadores
- Posibles demandas colectivas: un riesgo muy real en EE.UU.
¿Por qué las empresas deportivas son objetivo?
Las organizaciones deportivas como NASCAR tienen características que las convierten en objetivos atractivos para los ciberdelincuentes:
- Manejan grandes cantidades de dinero
- Poseen datos personales de miles (o millones) de aficionados
- No pueden permitirse interrupciones en sus calendarios
- Suelen tener presencia internacional
- La presión mediática les hace más vulnerables a pagar rescates
Lecciones para todos
El caso de NASCAR no es único. Solo en la primera mitad de 2025, hemos visto ataques similares a Allianz Life (afectando a 1,4 millones de clientes), Qantas (5,7 millones de afectados) y varios bufetes de abogados y empresas de marketing.
Cómo protegerte del ransomware
Si diriges una empresa, grande o pequeña, deberías implementar estas medidas básicas:
- Copias de seguridad regulares, verificadas y desconectadas (offline)
- Autenticación multifactor en todos los sistemas
- Formación continua a empleados (el factor humano sigue siendo el eslabón más débil)
- Segmentación de redes para limitar la propagación
- Plan de respuesta a incidentes actualizado y ensayado
- Cifrado de datos sensibles (sí, usa el cifrado para protegerte del cifrado malicioso)
El dilema del pago
Siempre surge la misma pregunta: ¿pagar o no pagar? Las agencias gubernamentales recomiendan no hacerlo porque alimenta la industria criminal y no garantiza la recuperación de los datos. Pero cuando tu negocio está paralizado y la presión aumenta, las decisiones racionales se vuelven más difíciles.
Lo cierto es que el ransomware es un negocio altamente rentable que seguirá creciendo mientras siga funcionando. Y funciona porque mucha gente paga. Es un círculo vicioso del que parece imposible salir a nivel colectivo.
El ataque a NASCAR nos recuerda, una vez más, que ninguna organización está completamente a salvo. El ransomware no es solo cosa de empresas tecnológicas o bancos; cualquiera que tenga datos valiosos o sistemas críticos es un objetivo potencial. Incluso el rugido de los motores de NASCAR no pudo ahogar el silencioso pero devastador ataque de unos delincuentes que, probablemente, nunca hayan visto una carrera en su vida.
