El ransomware es malware que cifra tus archivos y exige un rescate para restaurarlos. Aquí tienes cómo funciona y cómo evitar pagar (sin pasos de ataque).
Cómo funciona: un negocio criminal con funciones repartidas
El ransomware clásico cifra todos los archivos que alcanza en un dispositivo o servidor y deja una nota: «paga si quieres la clave de descifrado». Pero la naturaleza real de la amenaza de hoy tiene menos que ver con la tecnología y más con cómo gana dinero.
En la doble extorsión, los atacantes extraen los datos antes de cifrar. Así que aunque una víctima restaure desde sus propias copias de seguridad, queda una segunda amenaza: «paga o publicamos lo que robamos». Ese cambio es la razón por la que «tenemos copias, así que estamos bien» ya no se sostiene por sí solo. Encima, el RaaS (ransomware como servicio) divide el trabajo —quienes crean las herramientas y quienes ejecutan los ataques son ahora personas distintas—, lo que ha rebajado drásticamente la barrera de entrada.
Principales vías de entrada
El ransomware no aparece de la nada; entra por un conjunto predecible de vías. Bloquearlas es la primera defensa.
1. Phishing
vía adjuntos / enlaces de correo. La vía más común. defensa = MFA, filtrado de correo, formación
2. VPN/RDP expuesta
acceso remoto débil / sin MFA. defensa = exigir MFA, reducir la exposición
3. Fallos sin parchear
vulnerabilidades conocidas en software expuesto a Internet. defensa = parchear con prontitud
Un caso real que hemos tratado, la brecha masiva de MOVEit Transfer, un grupo de ransomware explotó una vulnerabilidad sin parchear en software expuesto a Internet y robó grandes volúmenes de datos antes de que hubiera una solución disponible: un caso de doble extorsión. Es un buen recordatorio de que «un adjunto de correo» no es la única forma en que entra el ransomware.
Ransomware frente al malware típico
El ransomware es un tipo de malware, pero su objetivo y el momento en que lo notas son muy distintos (→ qué es el malware).
| Malware típico (spyware y similares) | Ransomware | |
|---|---|---|
| Objetivo | Robar información o controlar el dispositivo sin ser detectado | Paralizar el negocio y conseguir que se pague un rescate |
| Cuándo lo notas | A menudo funciona sin ser detectado durante mucho tiempo | Aparece de golpe, con el cifrado y una nota de rescate |
| Daño principal | Filtración de datos, transferencias fraudulentas, uso del equipo para atacar a otros | Interrupción del servicio, más la publicación de los datos robados |
| Qué decide el resultado | La detección (EDR) y la protección de credenciales | Las copias de seguridad sin conexión y mantener fuera a los atacantes |
Ejemplos: incidentes de ransomware en Japón
Son casos japoneses tratados en este sitio. La mayoría de los puntos de entrada fueron dispositivos VPN expuestos a Internet o credenciales robadas.
| Caso | Punto de entrada señalado | Daño y recuperación |
|---|---|---|
| Capcom (2020) | Un dispositivo VPN antiguo que nunca se dio de baja | Datos personales de hasta unas 390 000 personas posiblemente expuestos; se recuperó desde copias de seguridad sin pagar |
| Hospital de Handa (2021) (en inglés) | Una vulnerabilidad sin parchear de un dispositivo VPN | Las copias estaban en la misma red y también se cifraron; unos dos meses para restaurar la historia clínica electrónica |
| Centro Médico General de Osaka (2022) (en inglés) | El dispositivo VPN de un proveedor de restauración | La intrusión llegó a través del proveedor; se restringieron consultas externas, cirugías y urgencias; algo más de dos meses hasta la recuperación completa |
| KADOKAWA (2024) | Credenciales robadas mediante phishing, según la explicación de la empresa | Muchos servicios del grupo caídos durante un largo periodo; se filtraron datos personales de unas 250 000 personas |
| Medica Shuppan (2026) (en inglés) | Intrusión con credenciales de una cuenta legítima, según la empresa | Unas 641 000 personas notificadas como «posiblemente afectadas por la filtración» |
Lo que tienen en común es cómo se gestionaban los puntos de entrada expuestos a Internet y dónde estaban las copias de seguridad. Cómo proteger los dispositivos VPN se explica en los dispositivos VPN son la principal vía de entrada del ransomware (en inglés).
Defensa: haz posible la recuperación sin pagar
Mantén copias de seguridad sin conexión / inmutables (lo más importante)
Las copias de seguridad son lo que decide la recuperación. Pero una copia siempre en línea y modificable puede cifrarse junto con el resto, así que mantén al menos una copia sin conexión o inmutable (a prueba de manipulaciones) y haz pruebas de restauración con regularidad para confirmar que puedes recuperar los datos de verdad. Consulta fundamentos de copias de seguridad y recuperación (3-2-1).
Evita la intrusión: MFA y parches
Exige autenticación multifactor (MFA) en las vías más importantes (inicios de sesión propensos al phishing y acceso remoto expuesto) y parchea las vulnerabilidades conocidas con prontitud en todo lo expuesto a Internet. Esto solo detiene una gran parte de las intrusiones (→ elegir MFA).
Limita el daño: privilegios mínimos y segmentación
Para que un solo compromiso no cifre toda la empresa, mantén los privilegios al mínimo necesario y segmenta la red. Diseñar de modo que una única máquina comprometida no pueda propagarse por todas partes mantiene el daño localizado.
Ten detección y un plan para 'después del impacto'
Aun con estas defensas, la prevención nunca es perfecta. Así que detecta anomalías pronto y decide de antemano —en un plan de respuesta a incidentes— quién hace qué (aislar, notificar, restaurar, en ese orden). Construye la capacidad de contener y restaurar antes de que alguien entre en pánico y pague.
La visión de este sitio: no confíes en pagar; prepárate de antemano
Sobre si pagar, nuestra postura es clara: construye de antemano la capacidad de no pagar. Pagar no garantiza el descifrado; con la doble extorsión tampoco detiene la filtración; y financia el crimen mientras te marca como pagador al que se vuelve a atacar.
Así que lo que importa es la preparación, no la respuesta al incidente: una copia de seguridad sin conexión que puedas restaurar, más MFA y parches que impidan la entrada de los atacantes. Con ambas cosas en su sitio, el daño del ransomware se queda en un incidente molesto pero recuperable.
Primeros pasos cuando detectas una infección
Desconecta de la red
Desenchufa el cable de red y apaga el wifi para que no se propague a otros dispositivos ni a las copias de seguridad. Evita reiniciar o apagar a la ligera, porque puede borrar registros que los investigadores necesitan.
Avisa a tu equipo de respuesta y a las autoridades
En una organización, usa los contactos acordados de antemano. Denuncia ante la policía o el canal nacional de denuncia de ciberdelitos y, si pueden haberse filtrado datos personales, revisa las normas de notificación de tu autoridad de protección de datos.
Busca un descifrador y copias de seguridad limpias
Si la nota de rescate indica la familia, busca en No More Ransom una herramienta de descifrado gratuita. Al mismo tiempo, confirma que tienes copias de seguridad que el ataque no tocó.
Cómo comprobar tu propia configuración
- Haz una lista de los nombres de producto y versiones de tus dispositivos VPN y cortafuegos expuestos a Internet, y revisa los avisos del fabricante y CVE / KEV Lookup por si sigue presente alguna vulnerabilidad explotada
- Asegúrate de que el Escritorio remoto (RDP, normalmente el puerto 3389) no es accesible directamente desde Internet
- Comprueba que las cuentas de VPN y de acceso remoto exigen autenticación multifactor (MFA) y que no quedan cuentas sin usar
- Confirma que al menos una copia de seguridad está en un lugar que las credenciales de producción no pueden borrar (sin conexión o con la inmutabilidad activada), y restaura de verdad un archivo desde ella
«Tenemos copias» ya no significa «estamos a salvo»
Las copias de seguridad solían volver inofensivo al ransomware. Pero ahora que la doble extorsión es la norma, poder restaurar es un problema distinto de evitar el robo de datos. Los atacantes sacan los datos antes de cifrar y luego exigen el pago «o lo publicamos». Así que la defensa necesita ambas cosas: no solo poder restaurar (copias de seguridad) sino también impedir que los atacantes entren o saquen datos (prevención de intrusiones). El punto de partida de la defensa moderna contra el ransomware es negarse a quedarse en «pero tenemos copias».
Fuentes (primarias)
- Agencia Nacional de Policía de Japón, «Medidas para prevenir los daños del ransomware» (en japonés) — npa.go.jp (qué hacer si te afecta y cómo prevenirlo)
- No More Ransom, «About the project» — nomoreransom.org (herramientas de descifrado gratuitas; en inglés)
- CISA, «#StopRansomware Guide» — cisa.gov (copias sin conexión y lista de respuesta; en inglés)
- Comisión de Protección de Información Personal de Japón, «Respuesta ante filtraciones» (en japonés) — ppc.go.jp
Sigue leyendo
- Aprende: fundamentos de copias de seguridad y recuperación (lo básico para recuperarse sin pagar, incluida la regla 3-2-1)
- Aprende: elegir MFA correctamente (bloquea la principal vía de entrada)
- Glosario: qué es el phishing (corta la principal vía de entrada en sí)
- Caso: la brecha masiva de MOVEit Transfer (doble extorsión vía un fallo sin parchear)
- Glosario: qué es el C2 (mando y control) (el canal posterior a la infección a través del cual operan los atacantes)
- Glosario: qué es el malware (el término genérico del que el ransomware es un tipo)
- Caso: el ransomware de Capcom (2020) (un viejo dispositivo VPN fue la vía de entrada · doble extorsión · se recuperó sin pagar)