Qué es un ransomware y cómo responder ante un ataque

Un ransomware es un tipo de programa malicioso diseñado para secuestrar los datos de la víctima. Cuando infecta un equipo, cifra los archivos usando una clave que solo poseen los atacantes, dejándolos ilegibles e inutilizables, y luego muestra un mensaje exigiendo el pago de un rescate a cambio de la clave para descifrarlos. Ese pago se solicita habitualmente en criptomonedas, porque dificultan el rastreo del dinero. Su nombre proviene precisamente de la palabra inglesa para rescate. El ransomware moderno rara vez se limita a cifrar: muchas variantes practican la llamada doble extorsión, en la que antes de cifrar roban una copia de los datos y amenazan con publicarlos si no se paga, sumando la presión de una filtración a la del secuestro. Suele entrar a través de correos de phishing con adjuntos o enlaces maliciosos, vulnerabilidades sin parchear en sistemas expuestos, o credenciales robadas, y una vez dentro intenta propagarse por la red hacia otros equipos y hacia los backups conectados, buscando eliminar cualquier vía de recuperación para forzar el pago. Es una de las amenazas más costosas y disruptivas de la actualidad.

Porque si se tienen copias de seguridad recientes, verificadas y fuera del alcance del ataque, es posible restaurar los datos por cuenta propia sin necesidad de pagar el rescate, lo que convierte un potencial desastre en un contratiempo manejable. Sin embargo, no cualquier backup sirve para esto: una copia que esté conectada a la misma red que el equipo infectado será cifrada por el ransomware junto con todo lo demás, ya que las variantes modernas buscan activamente los backups accesibles para inutilizarlos. Por eso la defensa efectiva requiere que la copia esté aislada, es decir desconectada, ubicada en otro lugar, o hecha inmutable, lo que significa protegida contra escritura durante un período de modo que ni un atacante con acceso pueda borrarla o cifrarla. Esto corresponde a la parte de la regla tres dos uno que exige mantener al menos una copia fuera del sitio. Además, el backup debe estar probado, porque una copia que nunca se restauró podría estar incompleta o corrupta y fallar justo en el momento crítico. Con una copia reciente, aislada y verificada, un ataque de ransomware deja de ser una catástrofe. Hay que recordar, eso sí, que los backups protegen contra la pérdida de datos pero no contra su publicación en la doble extorsión.

La recomendación general de las autoridades de ciberseguridad es no pagar, por varias razones de peso. En primer lugar, pagar no garantiza en absoluto recuperar los datos: no es raro que, tras el pago, los atacantes no entreguen la clave, entreguen una que funciona mal, o vuelvan a exigir más dinero. En segundo lugar, cada pago financia y alienta directamente la actividad delictiva, haciendo el negocio del ransomware más rentable y sostenible, lo que perjudica a todos. En tercer lugar, pagar marca a la víctima como alguien dispuesto a pagar, lo que la convierte en un blanco atractivo para futuros ataques. A esto se suma que, en la doble extorsión, pagar tampoco garantiza que los datos robados no se publiquen igualmente. Por todo ello, la respuesta correcta pasa por estar preparado de antemano con backups aislados que permitan restaurar sin depender de los atacantes, y por comprobar si existe una herramienta de descifrado gratuita para esa variante en iniciativas dedicadas a ello. Pagar debe verse como el último recurso desaconsejado, y la verdadera solución está en la preparación previa y en una respuesta ordenada al incidente.

Lo más urgente y lo primero es aislar los equipos afectados desconectándolos de la red, tanto del cable como del wifi, para frenar la propagación del ransomware hacia otros equipos y, muy especialmente, hacia los backups que puedan estar conectados. Cada minuto de demora puede significar más máquinas y más copias de seguridad cifradas, así que la velocidad de aislamiento es determinante. Una vez contenida la propagación, no se debe pagar el rescate, y hay que avisar a quien corresponda y activar el plan de respuesta a incidentes, documentando lo ocurrido y notificando según lo exija la normativa, especialmente si hay datos personales involucrados. El siguiente paso, antes de restaurar nada, es identificar y cerrar la vía por la que el ransomware entró, porque restaurar sobre un sistema cuya puerta de entrada sigue abierta llevaría a una reinfección inmediata. Solo después de cerrar esa vía se procede a restaurar los datos desde una copia limpia y anterior al ataque, sobre sistemas ya saneados y nunca sobre el equipo todavía comprometido. Tener un plan de respuesta preparado de antemano es lo que permite ejecutar esta secuencia con orden en lugar de improvisar bajo presión.

Las vías de entrada más comunes son tres: los correos de phishing con adjuntos o enlaces maliciosos, que engañan a la persona para que ejecute el malware; las vulnerabilidades sin parchear en sistemas expuestos a internet, que los atacantes aprovechan de forma automatizada; y las credenciales robadas o débiles que permiten un acceso directo. La prevención, por lo tanto, ataca esas vías con las medidas de higiene de seguridad habituales, que aquí resultan más críticas que nunca. Mantener todos los sistemas actualizados cierra las vulnerabilidades por las que entra el ransomware. La formación de las personas para reconocer el phishing refuerza la primera línea de defensa, ya que es la vía de entrada más frecuente. Aplicar el principio de mínimo privilegio evita que una sola cuenta comprometida dé acceso a todo, y segmentar la red impide que un equipo infectado alcance a todos los demás. Activar el segundo factor de autenticación hace que las credenciales robadas no basten para entrar. A todo esto se suman las soluciones antimalware y el monitoreo para detectar la infección de forma temprana, y por encima de todo, los backups aislados y probados como red de seguridad. Como la doble extorsión hace que restaurar no resuelva la posible publicación de datos, prevenir la infección es tan importante como poder recuperarse.

No, y creer que uno está fuera del blanco por ser pequeño o particular es un error peligroso. Si bien los ataques a grandes organizaciones son los que llegan a las noticias por su impacto y por los montos de rescate, buena parte del ransomware opera de forma masiva y automatizada, rastreando internet en busca de cualquier sistema vulnerable sin distinguir el tamaño ni la importancia de la víctima. Pequeñas empresas, profesionales independientes y usuarios domésticos son alcanzados constantemente, y a menudo son más vulnerables precisamente porque suelen tener menos defensas, menos backups y menos preparación que una gran organización con equipos de seguridad dedicados. Para una pequeña empresa o un particular, perder todos los archivos puede ser incluso más devastador en términos relativos, ya que puede significar la pérdida de años de trabajo, de datos de clientes o de recuerdos irrecuperables. Por eso las medidas de defensa descritas —backups aislados y probados, sistemas actualizados, cuidado con el phishing, contraseñas fuertes con segundo factor— aplican a todos por igual, sin importar la escala. La automatización del ransomware hace que la protección básica sea una necesidad universal y no un lujo reservado a las grandes organizaciones.