¿Qué es el ransomware?
El ransomware es un tipo de software malicioso que cifra los archivos de una computadora, un servidor o toda una red, y exige el pago de un rescate a cambio de la llave para recuperarlos. Mientras no se cumple la exigencia del atacante, los archivos quedan inutilizables: no se pueden abrir, editar ni copiar, y en muchos casos tampoco los sistemas que dependen de ellos, como el punto de venta, el correo o el sistema de facturación.
Para una empresa, un ataque de ransomware no es solo un problema técnico. Es una interrupción total de la operación: no puedes facturar, no puedes consultar tus inventarios, no puedes atender clientes desde tus sistemas habituales, y si no tienes un respaldo confiable, la única alternativa que queda sobre la mesa es negociar con criminales sin ninguna garantía de recuperar la información.
Cómo se propaga el ransomware
El ransomware casi nunca "entra solo": necesita que alguien, dentro de la organización, abra una puerta sin darse cuenta. Los vectores de entrada más comunes son:
- Correos de phishing con archivos adjuntos infectados o enlaces a sitios que descargan el malware al hacer clic, disfrazados de facturas, notificaciones de paquetería o mensajes de un proveedor conocido.
- Accesos remotos mal protegidos, como un escritorio remoto (RDP) expuesto a internet con contraseñas débiles o sin doble factor de autenticación.
- Software sin actualizar, donde el atacante aprovecha una vulnerabilidad conocida que ya tenía parche disponible, pero nadie lo instaló.
- Descargas de software pirata o de fuentes no confiables, donde el ransomware viaja escondido dentro de un instalador aparentemente legítimo.
- Memorias USB o dispositivos infectados que se conectan a la red sin pasar por un antivirus.
- Movimiento lateral, una vez que el atacante ya tiene un punto de entrada, usa esa primera computadora infectada para saltar a servidores y otros equipos de la misma red.
En la mayoría de los casos documentados por firmas de ciberseguridad, el punto de entrada inicial es el correo electrónico: basta con que una sola persona del equipo abra el archivo equivocado para que el cifrado empiece a extenderse por toda la red en minutos.
Ejemplos de ransomware que debes conocer
Existen distintas familias y variantes de ransomware, con características distintas:
- Ransomware de cifrado clásico: bloquea el acceso a los archivos cifrándolos y exige pago por la llave de descifrado. Es el modelo más común.
- Ransomware de doble extorsión: además de cifrar los archivos, el atacante los copia antes y amenaza con publicarlos si no se paga, incluso si la víctima tiene backups y puede recuperar la información por su cuenta.
- Ransomware como servicio (RaaS): grupos criminales que desarrollan el malware y lo "rentan" a otros atacantes a cambio de un porcentaje del rescate, lo que ha multiplicado el número de grupos activos en los últimos años.
- Scareware o falsos antivirus: hacen creer a la víctima que su equipo está infectado y la presionan a pagar por un software "de limpieza" que en realidad no hace nada, o que instala malware adicional.
Conocer estos ejemplos ayuda a entender que el ransomware no es un solo programa, sino un modelo de negocio criminal completo, con distintos actores y distintas formas de presionar a la víctima para que pague.
Ransomware en México: qué tan real es la amenaza
México aparece de forma recurrente entre los países más atacados por ransomware en América Latina, según reportes de firmas de ciberseguridad como Kaspersky y Fortinet, que ubican al país entre los principales objetivos de la región junto con Brasil y Colombia. Sectores como manufactura, gobierno, retail y servicios financieros suelen concentrar buena parte de los incidentes reportados, en parte porque manejan grandes volúmenes de datos operativos y no siempre cuentan con equipos dedicados a ciberseguridad.
Esto no significa que solo las empresas grandes estén en riesgo. Los grupos de ransomware, especialmente los que operan bajo el modelo de ransomware como servicio, atacan de forma automatizada y masiva: buscan cualquier red vulnerable, sin importar el tamaño del negocio. Una pyme con un servidor mal protegido puede ser un blanco tan atractivo como una empresa grande, porque el costo del ataque para el criminal es bajo y el impacto en la operación de la víctima puede ser igual de severo.
Cómo protegerte del ransomware con la regla de backups 3-2-1
La defensa más efectiva contra el ransomware no es solo evitar la infección, sino garantizar que, si ocurre, tu empresa pueda recuperarse sin pagar el rescate. Para eso existe la regla de respaldos 3-2-1, un estándar ampliamente recomendado en la industria de ciberseguridad:
- 3 copias de tus datos: la copia original más al menos dos respaldos adicionales.
- 2 medios distintos: por ejemplo, un disco local y un servicio de almacenamiento en la nube, para no depender de un solo tipo de tecnología que pueda fallar o infectarse igual que el original.
- 1 copia fuera de sitio: al menos un respaldo que no esté conectado permanentemente a tu red principal, para que un ransomware que cifra todo lo que encuentra conectado no pueda alcanzarlo también.
Un backup conectado todo el tiempo a la misma red que protege es, en la práctica, otro archivo más que el ransomware puede cifrar. Por eso la parte del "1 copia fuera de sitio" —o al menos desconectada— es la que realmente marca la diferencia entre recuperar tu operación en horas o perder la información por completo.
Además de los backups, protegerte del ransomware pasa por capacitar a tu equipo para identificar correos de phishing, mantener los sistemas actualizados, limitar quién tiene acceso remoto a tus servidores y activar doble factor de autenticación en los accesos críticos. Ninguna de estas medidas es infalible por sí sola; funcionan como capas que, juntas, reducen mucho la probabilidad de que un ataque tenga éxito.
Plan de respuesta ante un ataque de ransomware
Tener un plan de respuesta escrito, conocido por el equipo antes de que ocurra un incidente, es lo que separa una interrupción de unas horas de una crisis de semanas. Un plan básico incluye:
- Aislar los equipos infectados de la red de inmediato, desconectándolos físicamente o deshabilitando su acceso, para frenar el cifrado antes de que llegue a más servidores.
- Identificar el alcance del ataque: qué equipos, carpetas y sistemas fueron afectados, y si el atacante también extrajo información antes de cifrarla.
- No pagar el rescate como primera opción: pagar no garantiza recibir la llave de descifrado, y financia directamente a los grupos criminales para que sigan atacando a otras empresas.
- Restaurar desde el respaldo fuera de sitio, verificando primero que ese backup no esté también comprometido antes de reconectarlo a la red.
- Notificar a las partes afectadas, incluyendo clientes o proveedores cuyos datos pudieran haberse visto comprometidos, y evaluar si el incidente debe reportarse a las autoridades correspondientes.
- Hacer un análisis posterior al incidente, para identificar cómo entró el atacante y cerrar esa puerta antes de que se repita.
Practicar este plan, aunque sea con un simulacro sencillo una vez al año, evita que el equipo improvise decisiones críticas en medio del estrés de un ataque real.
Errores comunes que abren la puerta al ransomware
Algunos de los errores que más se repiten en empresas afectadas por ransomware son evitables:
- Confiar en backups que nunca se han probado, y descubrir hasta el momento del ataque que la última copia funcional tiene meses de atraso.
- Dejar el acceso remoto a servidores abierto a internet sin doble factor de autenticación.
- Postergar actualizaciones de seguridad porque "interrumpen la operación", cuando en realidad cierran vulnerabilidades ya conocidas por los atacantes.
- No segmentar la red, de forma que una sola computadora infectada tiene camino libre hacia todos los servidores de la empresa.
- No tener un plan de respuesta por escrito, lo que retrasa decisiones críticas en las primeras horas, que son las que más importan.
Detectar estos patrones a tiempo y corregirlos es parte de una estrategia más amplia de seguridad empresarial, que combina monitoreo continuo con controles de acceso y respaldo bien diseñados desde el inicio.
Preguntas frecuentes
¿Qué es el ransomware exactamente?
Es un software malicioso que cifra los archivos de un equipo o una red y exige el pago de un rescate, normalmente en criptomonedas, a cambio de la llave para recuperarlos. Sin esa llave, o sin un backup independiente, los archivos afectados quedan inaccesibles.
¿Debo pagar el rescate si mi empresa es atacada?
No se recomienda como primera opción. Pagar no garantiza recibir una llave de descifrado funcional, alarga el tiempo de recuperación y financia a los grupos criminales para que sigan atacando a otras empresas. La mejor defensa es poder restaurar desde un backup limpio.
¿Cómo sé si mi empresa está en riesgo de ransomware?
Cualquier negocio conectado a internet está en riesgo, sin importar su tamaño. El riesgo aumenta si no hay backups probados, si el acceso remoto no tiene doble factor de autenticación, o si los sistemas llevan tiempo sin actualizarse.
¿Un antivirus es suficiente para protegerme del ransomware?
Un antivirus ayuda, pero no es suficiente por sí solo. La protección real combina backups 3-2-1, actualizaciones al día, control de accesos, capacitación del equipo contra phishing y un plan de respuesta ante incidentes.
¿Cómo se relaciona el ransomware con el phishing?
El phishing es una de las formas más comunes de entregar ransomware: un correo que parece legítimo lleva a la víctima a abrir un archivo o enlace infectado, y a partir de ahí el malware empieza a cifrar la red.
Si tu empresa maneja información crítica y quieres reducir el riesgo de un ataque de ransomware antes de que ocurra, en AISDC diseñamos estrategias de seguridad empresarial que combinan detección de amenazas, control de accesos y respaldos bien estructurados. Este tema se conecta con lo que explicamos en nuestra guía sobre qué es la ciberseguridad y con los riesgos de fraude que cubrimos al hablar de cómo validar una transferencia SPEI.