Ransomware
Malware que cifra los archivos y sistemas de una organización, y a menudo roba sus datos, para exigir un pago a cambio de recuperarlos o de no publicarlos.
Pronunciación
Qué es
El ransomware (de ransom, rescate, y software) es un tipo de malware que cifra los archivos y sistemas de una organización para que no pueda usarlos, y exige un pago, casi siempre en criptomonedas, a cambio de la clave para descifrarlos.
Hoy la mayoría de los ataques usan doble extorsión: antes de cifrar, roban los datos y amenazan con publicarlos si no se paga. Por eso tener copias de seguridad ya no resuelve todo el problema.
Cómo suele ocurrir
- Entrada: un correo de phishing, credenciales sin MFA, o una vulnerabilidad sin parchear en un VPN, firewall o servidor expuesto.
- Movimiento lateral: el atacante escala privilegios y explora la red, a veces durante días.
- Robo de datos y borrado o cifrado de las copias de seguridad que encuentra.
- Cifrado de servidores y equipos, y nota de rescate.
Muchos grupos funcionan como ransomware como servicio (RaaS): unos desarrollan el malware y otros, los “afiliados”, lo usan a cambio de una parte del rescate.
Cómo protegerse
| Medida | Por qué |
|---|---|
| Copias 3-2-1, con una fuera de línea o inmutable | 3 copias, en 2 medios distintos, 1 fuera del sitio. Si el atacante no puede borrarla, puedes recuperar sin pagar |
| Probar la restauración | Una copia que nunca se ha restaurado es una suposición |
| Parches al día en equipos expuestos a internet | Las fallas conocidas y sin parchear son una de las entradas más usadas |
| MFA en correo, accesos remotos y cuentas de administración | Corta la entrada con contraseñas robadas |
| Segmentación y mínimo privilegio (Zero Trust) | Limita cuánto puede alcanzar el ataque |
| Plan de respuesta escrito y ensayado | Quién decide, a quién se llama y cómo se aísla, antes de que pase |
¿Se debe pagar?
Las autoridades, como el FBI y CISA, recomiendan no pagar: no garantiza recuperar los datos ni que no los publiquen, y financia nuevos ataques. Antes de cualquier decisión, conviene revisar el proyecto No More Ransom, que publica herramientas gratuitas para descifrar algunas familias de ransomware, y denunciar ante las autoridades.
Ejemplo Demo: una empresa cifra sus copias diarias en un almacenamiento inmutable por 30 días y ensaya la restauración cada trimestre. Cuando un equipo de la oficina se infecta, aísla la red, restaura el servidor de archivos desde la copia del día anterior y vuelve a operar en horas.
Términos relacionados
- Phishing - Una de las puertas de entrada más comunes
- MFA - Evita que una contraseña robada abra los accesos remotos
- Zero Trust - La segmentación reduce el daño
- Shift Left Security - Menos vulnerabilidades desde el desarrollo
Recursos oficiales: