Ransomware: qué es, cómo funciona y cómo proteger una empresa
El ransomware es un tipo de malware utilizado para bloquear sistemas o impedir el acceso a la información de una empresa y exigir posteriormente un rescate.
Tradicionalmente, estos ataques se basaban principalmente en cifrar archivos. Actualmente también es frecuente que los atacantes roben información antes de cifrarla y amenacen con publicarla si la víctima no paga, una práctica conocida como doble extorsión.
Las consecuencias pueden ir mucho más allá de perder temporalmente unos archivos: interrupción de la actividad, pérdida de información, costes de recuperación, filtraciones de datos y daños reputacionales.
¿Qué es un ataque ransomware?
Un ataque ransomware se produce cuando un ciberdelincuente consigue introducir software malicioso en uno o varios sistemas y utiliza ese acceso para bloquear información o servicios.
Una vez ejecutado, el ransomware puede cifrar:
- documentos;
- bases de datos;
- servidores;
- carpetas compartidas;
- unidades de red;
- máquinas virtuales;
- o copias de seguridad accesibles desde los sistemas comprometidos.
Después suele aparecer una nota de rescate indicando que es necesario realizar un pago para recuperar los datos o evitar su publicación.
En ataques actuales, el cifrado no siempre es el único objetivo. Los atacantes pueden extraer información previamente y utilizarla como una segunda forma de presión.
¿Cómo entra el ransomware en una empresa?
No existe una única vía de entrada.
Algunas de las más habituales son:
Phishing y archivos maliciosos
Un usuario recibe un correo que aparenta proceder de una empresa, proveedor o persona conocida y abre un archivo o enlace malicioso.
El objetivo puede ser instalar malware directamente o robar credenciales que posteriormente permitan acceder a los sistemas.
Credenciales comprometidas
Una contraseña filtrada o reutilizada puede permitir acceder a correo electrónico, VPN, servicios cloud o aplicaciones corporativas.
Una vez dentro, el atacante intenta ampliar privilegios y acceder a otros sistemas.
Servicios expuestos a Internet
Servicios como RDP, VPN, SSH u otras interfaces administrativas pueden convertirse en puntos de entrada si están mal configurados, no están actualizados o utilizan credenciales débiles.
Vulnerabilidades sin corregir
Un sistema operativo, aplicación, firewall o dispositivo sin actualizar puede contener vulnerabilidades conocidas que permitan obtener acceso.
Por eso el parcheado y la eliminación de sistemas sin soporte son medidas importantes de prevención.
Cómo proteger una empresa frente al ransomware
No existe una medida capaz de impedir todos los ataques. La estrategia debe combinar varias capas.
1. Mantener sistemas actualizados
Sistemas operativos, aplicaciones, dispositivos de red y servicios expuestos deben mantenerse actualizados.
También es importante identificar productos que ya no reciben soporte del fabricante.
Una vulnerabilidad conocida y sin corregir puede convertirse en una puerta de entrada incluso aunque los usuarios no cometan ningún error.
2. Proteger cuentas y accesos
Las cuentas con privilegios elevados requieren especial protección.
Conviene utilizar:
- contraseñas únicas;
- autenticación multifactor;
- mínimo privilegio;
- cuentas administrativas separadas;
- y revisión periódica de usuarios y permisos.
También deberían eliminarse rápidamente las cuentas de personas que ya no necesitan acceso.
3. Proteger los accesos remotos
Los servicios administrativos no deberían quedar expuestos a Internet sin necesidad.
Cuando exista acceso remoto conviene utilizar mecanismos como VPN, MFA, restricciones de acceso y monitorización.
También es importante revisar los intentos fallidos y detectar comportamientos anómalos.
4. Formar a los usuarios
El phishing continúa siendo una vía relevante de ataque.
Los empleados deberían saber identificar mensajes sospechosos y disponer de un procedimiento sencillo para reportarlos.
Especialmente importantes son los mensajes que solicitan:
- introducir credenciales;
- abrir documentos;
- activar contenido;
- descargar programas;
- o realizar operaciones urgentes.
La formación debe centrarse en situaciones reales y repetirse periódicamente.
5. Segmentar la red
Una red plana, donde todos los equipos pueden comunicarse libremente con todos los sistemas, puede facilitar la propagación de un ataque.
La segmentación permite separar usuarios, servidores, dispositivos y servicios críticos.
Los firewalls pueden controlar qué comunicaciones están permitidas entre esas zonas.
El objetivo es dificultar que el compromiso de un único equipo proporcione acceso inmediato al resto de la infraestructura.
6. Monitorizar sistemas y actividad
La monitorización puede ayudar a detectar señales antes de que el ataque alcance su fase final.
Conviene supervisar:
- accesos administrativos;
- cambios de permisos;
- actividad inesperada;
- servicios críticos;
- logs;
- alertas de seguridad;
- y comportamiento de servidores.
Esto resulta especialmente relevante porque algunos ataques pueden permanecer durante un tiempo en la infraestructura antes de iniciar el cifrado.
7. Mantener copias de seguridad separadas
Los backups son fundamentales para poder recuperar la actividad, pero deben estar diseñados para sobrevivir al propio ataque.
Los atacantes pueden intentar localizar y eliminar o cifrar también las copias disponibles.
Por eso es recomendable mantener copias:
- separadas del entorno principal;
- protegidas frente a modificaciones;
- con una política de retención;
- y accesibles mediante credenciales diferentes cuando corresponda.
Además, deben realizarse pruebas periódicas de restauración.
Una tarea marcada como “backup correcto” no garantiza que podamos recuperar los sistemas.
Puedes ampliar este punto en nuestra guía de copias de seguridad en la nube.
¿Qué hacer si una empresa sufre un ransomware?
Si detectamos un ataque, la prioridad es evitar que continúe propagándose y preservar la información necesaria para analizar lo ocurrido.
Entre las primeras actuaciones pueden encontrarse:
- Aislar los equipos afectados de la red.
- Evitar conectar nuevos dispositivos o copias que puedan verse comprometidos.
- Avisar al responsable técnico o equipo de respuesta.
- Preservar logs, notas de rescate y otras evidencias.
- Determinar qué sistemas y datos están afectados.
- Comprobar el estado de las copias de seguridad.
- Recuperar los sistemas desde entornos limpios cuando sea posible.
- Cambiar credenciales potencialmente comprometidas siguiendo un plan coordinado.
- Reportar el incidente a los organismos correspondientes cuando proceda.
INCIBE recomienda aislar inmediatamente los equipos afectados y dispone de un servicio específico de ayuda y reporte para empresas afectadas por ransomware.
¿Hay que pagar el rescate?
La recomendación es no pagar.
Pagar no garantiza que los atacantes proporcionen una clave válida, que los datos puedan recuperarse completamente o que la información robada no termine siendo publicada.
Además, una organización que paga puede volver a convertirse en objetivo y el pago contribuye a mantener el modelo económico de este tipo de delincuencia.
INCIBE recomienda expresamente no pagar nunca el rescate.
CryptoLocker y WannaCry: ejemplos históricos
CryptoLocker y WannaCry fueron dos familias de ransomware especialmente conocidas y ayudaron a dar visibilidad al impacto que este tipo de malware podía tener.
Pero la amenaza ha evolucionado.
Los ataques actuales pueden combinar cifrado, robo de información, extorsión y acceso prolongado a la infraestructura. CISA describe precisamente la doble extorsión como la combinación de cifrado y exfiltración de datos para aumentar la presión sobre la víctima.
Por eso no conviene preparar la seguridad únicamente frente a una variante concreta, sino reducir las vías de entrada y mejorar la capacidad de detección y recuperación.
Prepararse antes de sufrir el ataque
La mejor respuesta frente al ransomware se prepara antes de que ocurra.
Actualizaciones, MFA, mínimo privilegio, segmentación, monitorización y backups aislados reducen tanto la probabilidad de sufrir un ataque como su impacto.
CISA continúa recomendando entre las medidas básicas MFA, backups offline, planes de recuperación y mantener sistemas y firmware actualizados.
En ENDEOS integramos estas medidas dentro de la administración de sistemas, la seguridad de servidores, redes, cloud y continuidad de negocio.
Habla con ENDEOS sobre la protección de tu infraestructura
Artículos relacionados:
- classic-editor-remember:
- block-editor