El ransomware es un software malicioso que cifra los archivos y sistemas de una empresa y exige un pago para devolver el acceso. Se previene con varias capas de seguridad que dificultan la entrada y el avance del atacante, y se supera con copias de seguridad aisladas o inmutables y un plan de recuperación probado. Ninguna medida aislada basta.
Esta guía explica cómo entra el ransomware a una empresa, qué controles lo frenan y cómo prepararte para recuperarte si ocurre.
Qué es el ransomware y cómo opera
El ransomware bloquea el acceso a la información cifrándola con una clave que solo tiene el atacante. Después aparece una nota de rescate con instrucciones de pago, normalmente en criptomonedas. Los ataques dirigidos a empresas suelen seguir una secuencia:
- Acceso inicial: el atacante entra por un correo, una contraseña robada o un servicio expuesto.
- Reconocimiento y movimiento lateral: explora la red, busca cuentas con privilegios y ubica servidores, bases de datos y respaldos.
- Robo de información: en muchos casos copia datos antes de cifrarlos, para presionar con su publicación. A esto se le llama doble extorsión.
- Borrado de respaldos: intenta eliminar o cifrar las copias de seguridad para que no haya alternativa.
- Cifrado: ejecuta el cifrado en la mayor cantidad de equipos posible, a menudo en horarios de poca actividad.
Entre el acceso inicial y el cifrado puede pasar tiempo. Esa ventana es la oportunidad para detectar al atacante antes del daño mayor.
Cómo entra el ransomware a una empresa
Las vías de entrada más frecuentes son conocidas:
- Phishing: un correo con un adjunto o enlace malicioso, o una página falsa que roba credenciales.
- Credenciales robadas o débiles: contraseñas reutilizadas o sin autenticación multifactor en el correo, la VPN o el escritorio remoto.
- Servicios expuestos a internet: escritorio remoto (RDP) abierto, paneles de administración accesibles o aplicaciones web sin protección.
- Vulnerabilidades sin parchar: fallas conocidas en firewalls, VPN, servidores o aplicaciones que no se actualizaron a tiempo.
- Terceros: accesos remotos de proveedores con más permisos de los necesarios.
Cómo prevenir el ransomware por capas
La prevención del ransomware funciona como una serie de filtros. Si una capa falla, la siguiente debe detener o al menos detectar al atacante.
Perímetro y red
Un firewall de nueva generación controla qué entra y sale de la red, bloquea destinos maliciosos y, con IPS, detecta intentos de explotar vulnerabilidades. La segmentación de la red separa áreas (usuarios, servidores, respaldos, invitados) para que un equipo comprometido no tenga camino libre hacia todo lo demás. Cerrar servicios expuestos innecesarios, como el escritorio remoto directo a internet, elimina una de las entradas más usadas.
Correo
Un filtro antispam reduce los correos maliciosos que llegan a los usuarios. Se complementa con SPF, DKIM y DMARC y con capacitación para reconocer mensajes sospechosos.
Endpoints y servidores
La protección de endpoints con EDR o XDR vigila el comportamiento de equipos y servidores. Puede detectar acciones típicas del ransomware, como el cifrado masivo de archivos o el borrado de instantáneas del sistema, y aislar el equipo afectado.
Identidades y accesos
La autenticación multifactor en correo, VPN y consolas de administración dificulta el uso de contraseñas robadas. El principio de mínimo privilegio limita el alcance de cada cuenta: los usuarios no deberían ser administradores de sus equipos y las cuentas de administración deberían usarse solo para eso.
Actualizaciones
Mantener parchados sistemas operativos, aplicaciones y equipos de red cierra vulnerabilidades conocidas. Conviene priorizar lo que está expuesto a internet.
Monitoreo
Muchas señales previas al cifrado quedan registradas: inicios de sesión inusuales, herramientas de administración usadas de forma extraña, accesos a los servidores de respaldo. Un servicio de SOC revisa esas señales y ayuda a actuar antes de que el atacante llegue a la fase final.
Cómo recuperarte de un ataque de ransomware
La recuperación depende de lo que hayas preparado antes. En el momento del ataque ya no hay tiempo para diseñar respaldos.
Copias de seguridad aisladas o inmutables
Los atacantes buscan los respaldos porque saben que son la alternativa al pago. Por eso no basta con tener copias; tienen que resistir un ataque. Las prácticas más aceptadas son:
- Regla 3-2-1: tres copias de los datos, en dos tipos de medios distintos, con una fuera del sitio.
- Copias inmutables: no se pueden modificar ni borrar durante su periodo de retención, aunque se usen credenciales de administrador.
- Copias aisladas: separadas de la red de producción, lógica o físicamente, como una cinta fuera de línea o un repositorio con acceso restringido.
- Credenciales separadas: la plataforma de backup no debería usar las mismas cuentas del dominio principal.
- Pruebas de restauración: un respaldo que nunca se restauró es una suposición.
Plan de recuperación
Un plan de recuperación ante desastres define qué sistemas se recuperan primero, quién toma las decisiones, cómo se comunica el incidente y cuánto tiempo puede estar detenida cada operación. También contempla restaurar en un entorno limpio, porque volver a encender sistemas sin revisar puede reactivar al atacante. Para los sistemas más críticos, la replicación a un sitio alterno reduce el tiempo sin servicio.
Sobre el pago del rescate
La decisión de pagar o no corresponde a cada organización con su asesoría legal. Lo que sí conviene saber es que pagar no garantiza recuperar los datos: la clave puede no funcionar, puede recuperar solo una parte o los atacantes pueden volver a extorsionar con la información robada. Tener respaldos confiables es lo que da margen para decidir.
Primeros pasos ante un incidente
- Aislar de la red los equipos afectados, sin apagarlos si se necesita investigar.
- Avisar al equipo de TI, al proveedor de seguridad y a la dirección.
- Proteger los respaldos y verificar que no fueron alcanzados.
- Identificar el punto de entrada antes de restaurar.
- Restaurar según las prioridades del plan y cambiar credenciales.
Cómo te ayuda SyncTech frente al ransomware
En SyncTech trabajamos las dos partes del problema. En prevención, implementamos firewall, protección de endpoints con EDR y XDR y filtros antispam, y coordinamos el monitoreo de seguridad junto a partners especializados. En recuperación, diseñamos respaldos para servidores físicos, virtuales y correo con Veeam, replicación a sitio alterno y planes de continuidad. Si quieres saber cómo están hoy tus defensas, podemos empezar con una auditoría.
Si quieres revisar si tus respaldos resistirían un ataque de ransomware, hablemos.
Preguntas frecuentes
¿Qué es el ransomware?
El ransomware es un tipo de software malicioso que cifra los archivos y sistemas de una organización y exige un pago para devolver el acceso. En muchos casos los atacantes también copian información antes de cifrarla y amenazan con publicarla.
¿Pagar el rescate garantiza recuperar los datos?
No. Pagar no garantiza que los atacantes entreguen una clave que funcione ni que borren la información robada. La forma más confiable de recuperarse es contar con copias de seguridad aisladas o inmutables y un plan de recuperación probado.
¿El antivirus es suficiente contra el ransomware?
No por sí solo. El antivirus es una capa importante, pero el ransomware suele entrar por credenciales robadas, correos de phishing o servicios expuestos. Se necesitan varias capas: firewall, protección de endpoints con EDR, filtro de correo, autenticación multifactor, actualizaciones y respaldos.
¿Por qué las copias de seguridad deben estar aisladas?
Porque los atacantes buscan y borran los respaldos antes de cifrar los sistemas. Una copia aislada de la red o inmutable, que no se puede modificar ni borrar durante su periodo de retención, sigue disponible aunque el atacante tenga credenciales de administrador.