¿Qué es el ransomware?

Ransomware: definición y desarrollo

El término combina «ransom» (rescate) y «software». El software malicioso cifra archivos, servidores y, a menudo, también las copias de seguridad, y muestra una exigencia de rescate, normalmente con pago en criptomonedas. Sin la clave, los datos son inservibles y la actividad se paraliza: sin pedidos, sin facturas, sin acceso a los datos de clientes.

Los ataques modernos rara vez son golpes de azar. Los delincuentes entran, obtienen derechos de administrador, exploran la red, copian datos y solo cifran al cabo de días o semanas. En esta doble extorsión («double extortion») amenazan además con publicar los datos. Muchos grupos ofrecen sus herramientas como «ransomware como servicio» (ransomware-as-a-service).

Vías de entrada habituales

Los ataques no suelen recurrir a trucos de alta tecnología, sino a debilidades conocidas del día a día: una decisión descuidada de un empleado, un acceso olvidado, una actualización sin instalar. Cuantas más de estas brechas cierra una empresa, más costoso y arriesgado resulta el ataque para los delincuentes y antes buscarán una víctima más fácil.

• Correos de phishing con adjuntos o enlaces
• Accesos remotos como RDP, alcanzables desde internet, sin segundo factor
• Actualizaciones de seguridad sin instalar en la pasarela VPN, el firewall y los servidores
• Contraseñas robadas o reutilizadas
• Accesos de proveedores o socios que nunca se revisan

Ejemplo práctico: el servidor de archivos cifrado

En un proveedor con 80 empleados, el lunes por la mañana no puede abrirse ningún plano de diseño; todos los archivos llevan una extensión nueva y en el escritorio hay una exigencia de rescate. La copia de seguridad estaba conectada a la misma red como unidad y se cifró también. La actividad se detiene, los plazos de entrega peligran y los clientes preguntan cuándo se reanudará. Además, no está claro si también se han filtrado datos.

Con prevención, el desarrollo sería distinto: se desconectan de la red los equipos afectados, se informa a la dirección y a un proveedor especializado, la policía recibe la denuncia y los sistemas se reconstruyen a partir de una copia guardada por separado. Lleva tiempo, pero la actividad se reanuda sin pagar rescate alguno.

Prevención y cómo actuar en una emergencia

La prevención más importante son las copias de seguridad según la regla 3-2-1, con al menos una copia guardada sin conexión o inmutable, además de pruebas periódicas de restauración. A ello se suman actualizaciones oportunas, inicio de sesión multifactor, redes separadas, protección de endpoints con EDR y un plan de emergencia que fije quién hace qué y cuándo. Autoridades como la BSI desaconsejan pagar el rescate: el descifrado no está garantizado y cada pago financia nuevos ataques.

Nano Concepts revisa su concepto de copias de seguridad y su superficie de ataque, implanta medidas de protección como segmentación, actualizaciones y protección de endpoints, y apoya una reanudación ordenada tras un incidente. Un plan de emergencia documentado, con contactos y orden de reinicio, ahorra horas valiosas en una emergencia y evita decisiones precipitadas y erróneas.