Qué es el ransomware
El ransomware es un tipo de software malicioso diseñado para cifrar los archivos de un equipo o de una red completa, dejándolos inaccesibles hasta que la víctima paga un rescate a cambio, supuestamente, de la clave de descifrado. Su modelo de negocio es simple y ha demostrado ser muy rentable: convertir la información de una empresa, su activo más valioso, en un rehén digital.
En sus primeras versiones, el ransomware se limitaba a cifrar archivos de forma más o menos indiscriminada tras infectar un equipo por correo electrónico. Las variantes actuales operan de un modo mucho más sofisticado: se introducen en la red, permanecen ocultas durante días o semanas estudiando la infraestructura, identifican los sistemas más críticos y las copias de seguridad disponibles, y solo entonces ejecutan el cifrado de forma coordinada en el mayor número posible de equipos a la vez.
Además del cifrado, la mayoría de los grupos de ransomware actuales practican la doble extorsión: antes de cifrar, extraen una copia de los datos más sensibles y amenazan con publicarlos si no se paga, incluso si la víctima consigue restaurar sus sistemas a partir de copias de seguridad propias. Esto ha convertido al ransomware en un incidente que combina interrupción operativa con una potencial fuga de datos personales o confidenciales.
Cómo se desarrolla un ataque, paso a paso
Comprender la secuencia habitual de un ataque ayuda a identificar en qué fase se puede intervenir. La mayoría de los incidentes reales siguen un patrón parecido, aunque varíen los detalles técnicos.
- Acceso inicial: mediante un correo de phishing, una contraseña filtrada, un servicio remoto expuesto sin doble factor o una vulnerabilidad sin parchear.
- Persistencia: el atacante instala mecanismos para mantener el acceso aunque se reinicie el equipo o se detecte parte de la intrusión.
- Movimiento lateral: desde el primer equipo comprometido, se explora la red interna y se accede a otros sistemas usando credenciales robadas.
- Escalado de privilegios: se buscan cuentas de administrador que permitan actuar sobre toda la infraestructura, incluidos los sistemas de backup.
- Exfiltración de datos: se copian fuera de la red los archivos considerados más sensibles, para usarlos en la extorsión posterior.
- Sabotaje de copias de seguridad: se intenta borrar, cifrar o desactivar los repositorios de backup accesibles antes de lanzar el cifrado final.
- Cifrado masivo: se ejecuta el ransomware de forma simultánea en el mayor número de sistemas posible, normalmente fuera del horario laboral.
Por qué el backup es un objetivo prioritario
Un atacante experimentado sabe que una empresa con copias de seguridad recientes y funcionales tiene muy poco incentivo para pagar un rescate: basta con restaurar los sistemas desde la última copia limpia. Por eso, buena parte del tiempo que un ransomware permanece oculto dentro de una red antes de actuar se dedica precisamente a localizar dónde están las copias de seguridad y cómo desactivarlas o cifrarlas también.
Esto explica por qué medidas que antes se consideraban opcionales, como las copias inmutables o aisladas de la red (air-gapped), se han vuelto centrales en cualquier estrategia de protección seria. Una copia que ni siquiera un administrador con credenciales válidas puede borrar antes de que expire su periodo de retención neutraliza por completo esta fase del ataque, y es a menudo lo único que separa a una empresa de pagar un rescate o simplemente restaurar sus sistemas en horas.
El impacto real más allá del rescate
El coste de un ataque de ransomware rara vez se limita al importe del rescate, que en muchos casos ni siquiera llega a pagarse. El coste principal suele ser la interrupción de la operación: días o semanas sin poder facturar, atender pedidos o prestar el servicio contratado, mientras se reconstruyen los sistemas desde cero o se restauran las copias disponibles.
A esto se suman los costes indirectos: la investigación forense para entender cómo se produjo la entrada y cerrarla antes de reconectar los sistemas, la notificación a clientes y autoridades si hay datos personales afectados, la posible pérdida de confianza comercial, y en algunos sectores, sanciones regulatorias derivadas de no haber contado con medidas de seguridad razonables.
Cómo reducir el riesgo de forma realista
No existe una medida única que elimine el riesgo de ransomware; se reduce combinando prevención, detección y capacidad de recuperación, porque ninguna barrera es infalible al cien por cien y conviene asumir que, tarde o temprano, algún intento de intrusión tendrá cierto éxito parcial.
En el plano preventivo, el doble factor de autenticación en accesos remotos y cuentas administrativas, la actualización regular de sistemas y la formación del personal frente al phishing cierran la mayoría de las vías de entrada habituales. En el plano de detección, contar con vigilancia continua permite identificar el movimiento lateral y la exfiltración de datos antes de que se llegue al cifrado. Y en el plano de recuperación, disponer de copias de seguridad inmutables, verificadas y con un plan de restauración probado es lo que determina si un ataque exitoso se resuelve en horas o se convierte en una crisis de semanas.