¿Qué es el ransomware? Ejemplos, prevención y detección

Los ataques de ransomware han aumentado: en 2024, las organizaciones de todo el mundo sufrieron más de 5,414 ataques, un 11% más que el año anterior. Este aumento se debe al phishing, los kits de explotación y los servicios en la nube vulnerables que los delincuentes utilizan para cometer fraudes. Tanto las pequeñas como las grandes empresas corren el riesgo de sufrir intrusiones, pérdida de datos e interrupciones prolongadas, con enormes pérdidas económicas. Por ello, es fundamental que las empresas comprendan mejor el ransomware y desarrollen medidas para contrarrestar sus ataques.

En este artículo, definiremos qué es el ransomware y cómo amenaza a las empresas. Después, analizaremos sus consecuencias para las organizaciones, repasaremos su historia y describiremos las distintas formas de infección. En esta sección, conocerá los tipos de ransomware, las técnicas que utilizan los ciberdelincuentes y ejemplos de casos conocidos. Por último, explicaremos qué es un ataque de ransomware, ofreceremos consejos para prevenirlo y mostraremos cómo SentinelOne refuerza cada una de estas medidas.

¿Qué es el ransomware?

El ransomware es un tipo de malware que bloquea o cifra los archivos de una víctima y exige un pago a cambio de la clave de descifrado. El concepto de ransomware abarca desde bloqueadores de pantalla sencillos hasta variantes sofisticadas que roban datos de forma sistemática y amenazan con divulgarlos. Las exigencias de rescate a nivel mundial en 2024 se estimaron en 2,73 millones de USD de media, lo que dejó a las empresas ante una disyuntiva: perder sus datos o pagar una suma considerable.

La infiltración es un acto agresivo en el que el atacante aprovecha una vulnerabilidad del software objetivo o los hábitos de sus usuarios. En términos sencillos, el ransomware es una amenaza que paraliza las operaciones de una organización y erosiona la confianza de los consumidores. Para comprenderlo, hay que conocer su impacto, desde la infiltración inicial hasta los distintos niveles de cifrado. Veamos la siguiente sección.

Impacto del ransomware en las empresas

Un solo ataque de ransomware puede causar daños importantes a una organización: detener la producción, bloquear los datos en las bases de datos o impedir que los empleados accedan a las aplicaciones. El importe promedio del rescate ha aumentado y esto indica que los delincuentes confían cada vez más en obtener pagos elevados. Ya sea por la filtración de información de clientes o por una interrupción que paralice las operaciones empresariales, el impacto va más allá de las pérdidas económicas. Estas son cuatro pérdidas importantes que sufren las empresas cuando son víctimas de ataques de ransomware:

1. Interrupción de las operaciones: Cuando se bloquean archivos o servidores críticos, el personal no puede trabajar con aplicaciones de ventas, registros de empleados o gestión de la cadena de suministro, y las líneas de producción se detienen. Cualquier interrupción, por pequeña que sea, retrasa los pedidos o provoca la cancelación de servicios y reduce la confianza de los clientes. La recuperación tras un ataque de ransomware puede llevar días o semanas si las copias de seguridad están desactualizadas o los datos también están cifrados. Ese tiempo puede causar graves daños a la reputación y pérdidas de ingresos.
2. Pérdida de datos y divulgación de filtraciones: Los ataques recientes de ransomware también suelen incluir el robo de datos. En estos casos, los atacantes exigen dinero a las organizaciones afectadas a cambio de no divulgar información sobre sus clientes o socios. Si se produce una filtración, pueden entrar en juego las obligaciones de notificación, con posibles medidas regulatorias y sanciones. La combinación de la infiltración y la divulgación pública muestra el alcance de las amenazas que plantea el ransomware.
3. Daños económicos y reputacionales: Además de la pérdida económica directa por el pago del rescate, estos ciberataques pueden implicar costosos análisis forenses, la reconstrucción de sistemas y, en algunos casos, demandas colectivas. Los clientes pueden optar por otras empresas que quizá no sufran problemas similares en el futuro, y los inversores pueden dudar de la capacidad de la dirección para gestionar los riesgos. Para evitar estas infiltraciones, las aseguradoras pueden optar por aumentar las primas o incluso cancelar las pólizas. Al final, reconstruir una imagen de marca dañada lleva tiempo, a veces incluso años.
4. Pérdida de confianza de las partes interesadas y los clientes: Una vez detectada una brecha de seguridad, los miembros de la junta directiva, la autoridad reguladora o los clientes clave comenzarán a dudar del nivel de seguridad. La falta de confianza es costosa y puede provocar la rescisión de contratos o exigencias más estrictas por parte del socio. Para disipar sus dudas, es necesario aportar pruebas de mejores controles, análisis continuos y, por último, una capacitación adecuada del personal. Cuando una organización invierte en medidas sólidas de ciberseguridad contra el ransomware, genera aún más confianza a largo plazo.

Historia del ransomware

Los orígenes del ransomware se remontan a sencillos troyanos de extorsión que aparecieron a finales de la década de 1980 y evolucionaron hacia ataques más avanzados basados en el cifrado. Con los años, las técnicas sofisticadas de cifrado y las estrategias de ocultación los convirtieron en una de las principales amenazas de la ciberdelincuencia. En las siguientes secciones, identificamos cuatro etapas que muestran cómo han evolucionado las estrategias de los delincuentes.

1. El troyano PC Cyborg (finales de la década de 1980): Desarrollado en 1989, el “AIDS Trojan” o “PC Cyborg” infectaba la computadora y luego exigía un pago para restablecer su funcionamiento. Fue el primer caso documentado que redefinió el ataque de ransomware: software que cifra datos específicos y exige un pago. Aunque era relativamente rudimentario según las definiciones actuales, sentó las bases conceptuales de la extorsión moderna. El vector de ataque era muy sencillo, el virus se propagaba mediante disquetes infectados que se entregaban a los participantes de una conferencia.
2. Ransomware de cifrado (principios de la década de 2000): A principios de la década de 2000 aparecieron tipos de ransomware más sofisticados, que cifraban datos mediante algoritmos modernos como RSA o AES. Estas variantes de ransomware eran difíciles de evitar porque la detección mediante antivirus era lenta. Los atacantes exigían pagos a través de los primeros medios digitales o mediante transferencias bancarias, lo que dificultaba a las fuerzas del orden rastrear el dinero. Esto dio lugar a otras formas de amenazas de seguridad, y los expertos comenzaron a referirse a ellas con términos como ‘crypto-ransomware,’ asociado a algoritmos complejos.
3. Nuevos métodos de extorsión: En la década de 2010 avanzaron las técnicas empleadas para cometer estos delitos, incluido el ransomware WannaCry de 2017. Este ataque basado en un gusano paralizó hospitales y empresas de todo el mundo en cuestión de horas. Los ciberdelincuentes utilizaron exploits robados a la NSA y demostraron que incluso los recursos de las organizaciones más poderosas pueden desencadenar oleadas implacables de ataques de ransomware. Además, surgió el RaaS (ransomware como servicio), que abrió este negocio a personas sin experiencia.
4. Doble extorsión y uso geopolítico (de 2020 a 2025): Hoy, los actores de amenazas primero roban datos y amenazan con divulgarlos públicamente si no se cumplen sus exigencias—una práctica conocida como doble extorsión. Esto obliga a las organizaciones a considerar los costos de una filtración de datos, incluso si cuentan con copias de seguridad. Sin embargo, las campañas patrocinadas por Estados a veces utilizan ransomware para espiar o causar daños, lo que dificulta distinguir entre objetivos económicos y políticos. Actualmente, las amenazas son aún más sofisticadas que antes debido al uso de técnicas de sigilo, IA y herramientas muy específicas.

¿Cómo se propaga el ransomware?

El ransomware puede infiltrarse en un sistema por diversas vías, desde correos no deseados con archivos adjuntos hasta servicios en la nube comprometidos.

Los ciberdelincuentes adaptan sus estrategias a las vulnerabilidades de cada objetivo, como servidores desprotegidos o empleados que caen en engaños. Estas son cinco formas de introducir código de ransomware en la infraestructura de una organización:

1. Correos de phishing y archivos adjuntos maliciosos: Los correos de Los correos electrónicos engañan a los empleados para que abran documentos maliciosos o accedan a enlaces que conducen a sitios web de atacantes. Cuando se activan macros o se explotan vulnerabilidades en scripts, comienza el cifrado o se activan shells de puerta trasera. Aunque se ha capacitado a los empleados para que no hagan clic en enlaces ni proporcionen información personal por correo electrónico, el phishing sigue siendo un método fiable para que los delincuentes accedan a la red de una empresa. Las empresas que utilizan filtros de contenido y pasarelas de correo electrónico sofisticadas reducen considerablemente estas tasas de penetración. engañan a los empleados para que abran documentos maliciosos o accedan a enlaces que llevan a sitios web de los atacantes. Cuando se inician macros o vulnerabilidades de scripts, comienza el cifrado o se activan shells de puerta trasera. A pesar de que los empleados reciben capacitación para no hacer clic en enlaces o proporcionar información personal en correos electrónicos, el phishing sigue siendo un método confiable para que los delincuentes accedan a la red de una empresa. Las empresas que utilizan filtros de contenido y gateways de correo sofisticados reducen considerablemente estas tasas de penetración.
2. Explotación de vulnerabilidades de software: El ransomware busca frameworks, sistemas operativos o interfaces de desarrollo y pruebas vulnerables que siguen activos. Mediante paquetes o comandos cuidadosamente elaborados, los delincuentes toman el control y ejecutan el código para instalar el ransomware sin que el usuario lo sepa. La aplicación oportuna de parches, el análisis de vulnerabilidades y la segmentación limitan estas vías de infiltración. Un solo parche pendiente puede paralizar infraestructuras enteras, como han demostrado los ataques a gran escala.
3. Ataques al protocolo de escritorio remoto (RDP): Las credenciales débiles o reutilizadas para las sesiones de RDP facilitan que los atacantes accedan a ellas mediante conjeturas o ataques de fuerza bruta. Una vez dentro de la red, se mueven con rapidez y propagan el ransomware por recursos compartidos o controladores de dominio. La autenticación multifactor, la restricción del acceso RDP a una VPN o la desactivación del RDP externo reducen considerablemente el riesgo. Estas medidas impiden que baste una contraseña robada o adivinada para acceder.
4. Descargas involuntarias y anuncios maliciosos: Los sitios web de phishing o los servidores de anuncios infectados envían cargas maliciosas a navegadores sin actualizar. Al visitar una página infectada o ver un anuncio por accidente, se activan scripts ocultos que descargan el ransomware. Los antivirus en los endpoints o los navegadores actualizados pueden detectar estos scripts maliciosos, pero los empleados y los sistemas sin actualizar siguen siendo vulnerables. Combinado con un filtrado avanzado de contenidos, este enfoque reduce considerablemente las posibilidades de infiltración mediante descargas involuntarias.
5. Compromiso de la cadena de suministro: Los delincuentes también manipulan las actualizaciones de software de los proveedores y distribuyen parches o dependencias de bibliotecas infectados. Cuando la organización instala la actualización «oficial», se ejecuta el malware oculto. Esta vía de infiltración ha aumentado considerablemente, sobre todo en incidentes de alto impacto que afectan a la cadena de suministro. Para prevenirla, las organizaciones deben verificar cada paquete de software, comprobar las firmas del código y analizar las bibliotecas recién incorporadas.

Tipos de ransomware

Los tipos de ransomware han evolucionado, y cada uno emplea distintos métodos de cifrado, infiltración o extorsión. Algunos bloquean la pantalla; otros filtran información. Conocer estas diferencias es fundamental para crear defensas adecuadas. En la siguiente sección, describimos siete categorías que reflejan la evolución y diversificación del ransomware.

1. Ransomware de cifrado: Estas variantes cifran los datos del usuario con algoritmos sólidos y obligan a las víctimas a comprar la clave de descifrado. Por lo general, los delincuentes intentan infectar directorios completos o recursos compartidos esenciales para la empresa y causar la mayor interrupción posible. Si las copias de seguridad también se ven afectadas o no existen, las posibilidades de recuperación son escasas. Numerosas oleadas de ataques de gran repercusión se centran en la extorsión mediante cifrado.
2. Ransomware de bloqueo: A diferencia del ransomware de cifrado, que bloquea el acceso de los usuarios a sus sistemas, el ransomware de bloqueo paraliza el sistema operativo. Para recuperar el acceso normal, se exige el pago de un rescate, aunque los archivos no estén cifrados. Sin embargo, la pérdida de funcionalidad del sistema puede ser devastadora tanto para los lugares de trabajo como para las personas y las empresas. Por ello, es posible recuperar parte de los datos si las técnicas forenses avanzadas logran desbloquear estas variantes, ya que no cifran los archivos.
3. Ransomware de doble extorsión: Los ciberdelincuentes roban datos antes de cifrarlos y amenazan con divulgarlos o venderlos si no se cumplen sus exigencias. Esto aumenta la presión, ya que las copias de seguridad no impiden la filtración de los datos. Suelen publicar muestras en sitios web de filtraciones, lo que expone a las organizaciones a daños reputacionales o consecuencias legales. En la doble extorsión, aunque las víctimas paguen el rescate, no tienen garantías de que sus datos sigan siendo privados: los delincuentes pueden incumplir su palabra.
4. Ransomware como servicio (RaaS): En los modelos RaaS, los actores de amenazas experimentados ofrecen sus herramientas, que son kits de ransomware, a afiliados con escasos conocimientos técnicos. Los afiliados atacan objetivos, entregan parte del dinero obtenido mediante extorsión al grupo y amplían el número de objetivos que infectan. Esta colaboración fomenta una economía próspera de funciones especializadas en infiltración, desde intermediarios de acceso inicial hasta negociadores. RaaS aumenta el número de ataques de ransomware en todo el mundo porque reduce los conocimientos necesarios para ejecutarlos.
5. Ransomware sin archivos: Estas variantes operan principalmente en la memoria y consumen pocos recursos, por lo que apenas escriben datos en el disco. Algunos de estos procesos pueden pasar inadvertidos para los antivirus o programas de análisis convencionales. Los creadores de malware usan utilidades del sistema, como PowerShell, para ejecutar comandos de cifrado de forma encubierta. Para contrarrestar estas vías de infiltración, las organizaciones necesitan detección avanzada basada en el comportamiento y restricciones al acceso a los scripts.
6. Ransomware para dispositivos móviles: Diseñadas específicamente para smartphones o tabletas, estas variantes bloquean el acceso de los usuarios a sus dispositivos o cifran los archivos almacenados localmente. Los ciberdelincuentes pueden distribuir aplicaciones peligrosas a través de tiendas de terceros o incorporarlas en actualizaciones. Aprovechan los datos personales o las credenciales empresariales del dispositivo para exigir un pago a cambio de restablecer el acceso. Restringir estrictamente las descargas de aplicaciones y realizar copias de seguridad periódicas del dispositivo dificultan considerablemente las infiltraciones en dispositivos móviles.
7. Ransomware de borrado: Esta variante destructiva elimina o daña los datos en lugar de proporcionar una herramienta de descifrado tras recibir el pago. Aunque sus mensajes pueden parecer los del ransomware tradicional, su verdadero objetivo puede ser destruir datos o causar confusión. Los ciberdelincuentes pueden usar estas variantes para interrumpir las operaciones empresariales o incluso sabotear infraestructuras esenciales. Como no existe una clave de recuperación, la única esperanza de restaurar los datos son las copias de seguridad y un plan sólido de respuesta a incidentes.

Más información: Tipos de ataques de ransomware

Vectores habituales de ataques de ransomware

Además de vías de infiltración como el phishing o las aplicaciones sin parches, el ransomware utiliza diversos vectores para penetrar en los sistemas y ampliar su alcance. Los atacantes buscan continuamente vulnerabilidades en las empresas, desde credenciales robadas hasta conexiones comprometidas con partners. A continuación, describimos cinco de las vías más habituales y explicamos cómo pasan de la intrusión inicial al cifrado de datos.

1. Phishing e ingeniería social: Esta técnica se dirige al personal mediante correos con enlaces a sitios web falsos, otros correos o archivos adjuntos con macros maliciosas que ejecutan el ransomware. Los mensajes se adaptan para parecer enviados por recursos humanos, finanzas o un proveedor conocido. Una vez ejecutado, el malware se propaga rápidamente hacia los directorios locales o los recursos compartidos asignados. Los filtros antispam, la formación de los usuarios y la autenticación de dos factores reducen las posibilidades de infiltración.
2. Relleno de credenciales y difusión de contraseñas: Con numerosas cuentas filtradas en Internet, los ciberdelincuentes intentan acceder a las VPN corporativas o a los sistemas de acceso remoto con las mismas credenciales. Una vez identificado el objetivo, introducen el malware en la red y, en la mayoría de los casos, lo camuflan como un usuario legítimo. Las políticas de frases de contraseña seguras y los cambios obligatorios de contraseña a intervalos breves también reducen las oportunidades de infiltración. Además, la MFA y las restricciones basadas en el contexto del dispositivo reducen la tasa de éxito de los ataques basados en contraseñas.
3. Kits de exploits y publicidad maliciosa: Los atacantes insertan primero código de explotación en anuncios o sitios web que controlan y luego redirigen a los usuarios hacia ellos. A continuación, los navegadores o complementos vulnerables ejecutan el ransomware. Incluso los sitios de noticias o comercio electrónico de confianza pueden mostrar anuncios maliciosos si las redes publicitarias están comprometidas. Los filtros de contenido, la aplicación de parches a los navegadores y la limitación de complementos frenan estos intentos de infiltración.
4. Servicios de escritorio remoto y vulnerabilidades de VPN: Los servicios RDP o las VPN antiguas con CVEs conocidas siguen presentando configuraciones incorrectas y son vías principales de ataque. Los atacantes recurren a la fuerza bruta o explotan las vulnerabilidades de estos endpoints para descargar y ejecutar ransomware directamente en los servidores objetivo. Sin medidas como el bloqueo de cuentas o las actualizaciones de firmware, esta infiltración sigue siendo sencilla. Ubicar RDP detrás de una VPN corporativa con MFA y segmentar el acceso añade otra capa de protección.
5. Compromiso de la cadena de suministro: Los delincuentes modifican actualizaciones de software de proveedores o bibliotecas de confianza para introducir módulos maliciosos en su entorno. El código se ejecuta cuando las actualizaciones se integran en los sistemas de aplicación de parches o en los procesos de compilación. Los grupos de RaaS también compran accesos obtenidos mediante proveedores comprometidos y llegan así a empresas aún más grandes. Las evaluaciones de riesgos de proveedores, la verificación de firmas de código y el análisis detectan estas vías de infiltración ocultas.

¿Cómo funciona el ransomware?

Comprender en detalle cómo funciona el ransomware explica cómo se oculta, con qué rapidez evoluciona y por qué es peligroso. Los atacantes combinan técnicas de infiltración y procesos de cifrado con exigencias de rescate que pueden ser difíciles de precisar, pero eficaces. A continuación, identificamos cinco procesos clave que explican este ciclo:

1. Acceso inicial y distribución de la carga maliciosa: Los delincuentes identifican una vía de entrada, como el phishing, los kits de exploits o las credenciales robadas, e introducen el malware. Esta carga suele comprobar la arquitectura del sistema, la presencia de antivirus y los privilegios del usuario. Si encuentra un entorno favorable, despliega o crea módulos adicionales. En esta fase, la detección temprana puede interrumpir toda la cadena de infiltración.
2. Escalada de privilegios y movimiento lateral: Una vez dentro del sistema objetivo, los delincuentes aprovechan fallos o contraseñas predeterminadas para pasar de los privilegios de usuario a los de administrador. Después recorren la red en busca de recursos compartidos, servidores de copias de seguridad o controladores de dominio. Al desactivar los registros de seguridad o los agentes de EDR, ocultan el avance de la infiltración. Así extienden el ataque antes de iniciar el cifrado y maximizan las interrupciones.
3. Exfiltración de datos y doble extorsión: En los ataques modernos, los datos confidenciales se exfiltran a otros servidores antes del cifrado. Los ciberdelincuentes exigen un rescate a cambio de no divulgar la información robada. Esto agrava la extorsión – las copias de seguridad no bastan si existe riesgo de filtración. Al combinar infiltración y extorsión, obligan a las organizaciones afectadas a considerar tanto los costos operativos como los daños a su reputación.
4. Cifrado y bloqueo: Una vez instalado, el malware cifra los archivos objetivo con algoritmos potentes como AES o RSA y los vuelve inaccesibles. Los atacantes dejan una nota de rescate que exige un pago en criptomonedas, a menudo con un plazo límite. El cifrado también puede alcanzar las copias de seguridad si están conectadas. Con el tiempo, el ataque se vuelve más agresivo e interfiere con los intentos del sistema de restaurarse.
5. Negociación del rescate y posible descifrado: En esta situación, a las víctimas solo les queda pagar el rescate o restaurar los datos desde copias de seguridad. Los delincuentes suelen entregar una herramienta de descifrado tras recibir el pago, pero su calidad puede ser deficiente. Algunos filtran los datos de todos modos o proporcionan claves que no funcionan, lo que agrava la situación. Las copias de seguridad sin conexión o aisladas de la red y los planes de restauración probados pueden evitar la necesidad de pagar.

Etapas de un ataque de ransomware

Aunque las formas de infiltración varían según la variante de ransomware y el entorno, la mayoría de los ataques siguen etapas comunes. Detenerlos al principio – por ejemplo, bloqueando el primer intento de explotación – puede evitar que la situación empeore. A continuación, describimos las fases habituales, desde el reconocimiento hasta la extorsión, y cómo los delincuentes avanzan sistemáticamente hasta cifrar los datos.

1. Reconocimiento: Los atacantes examinan las redes, obtienen contraseñas de filtraciones de datos o investigan perfiles de empleados en LinkedIn. Buscan objetivos vulnerables, como servidores sin parches, puertos abiertos o personas con acceso a datos. Así identifican activos valiosos, como bases de datos financieras o controladores de dominio. Un análisis minucioso del entorno les permite planificar cómo penetrar en una organización.
2. Compromiso inicial: A partir del reconocimiento, los delincuentes despliegan malware o buscan credenciales de acceso. Pueden hacerse pasar por empleados o aprovechar vulnerabilidades conocidas del software. Tras comprometer un primer punto de entrada, como un equipo de escritorio, recopilan más información sobre el entorno. Esto les facilita ampliar la infiltración o desplazarse lateralmente.
3. Escalada de privilegios y movimiento lateral: Los atacantes aprovechan vulnerabilidades locales o ataques sencillos de fuerza bruta para obtener permisos de dominio o de root. También examinan unidades asignadas, recursos compartidos de red y API de la nube en busca de información valiosa. Al controlar o eludir los registros de seguridad, evitan que las herramientas de detección descubran la infiltración. Sin microsegmentación, el compromiso de un solo usuario puede afectar a segmentos enteros.
4. Exfiltración de datos: Con privilegios administrativos, los delincuentes transfieren datos sin llamar la atención a servidores externos a la red corporativa. Así preparan una doble extorsión: amenazan con filtrar los datos si no se paga el rescate. La información robada también les sirve para calcular cuánto exigir y evaluar la sensibilidad de los datos. Las víctimas a menudo no detectan la pérdida hasta que reciben la nota de rescate o identifican tráfico inusual.
5. Cifrado y exigencia de rescate: Por último, el código cifra archivos importantes con una clave segura y deja un mensaje que explica cómo descifrarlos y cuánto dinero se exige para hacerlo. Los atacantes suelen exigir el pago en criptomonedas, fijar un plazo breve o amenazar con divulgar los datos robados. Si también se pierden las copias de seguridad o el personal no está preparado, las operaciones quedan paralizadas durante todo el día. Esta etapa final consolida la infiltración, a menos que se detecte y detenga el ataque o se realice rápidamente una copia de seguridad sin conexión de los sistemas infectados.

Métodos de ataque con ransomware

Los delincuentes emplean diversas tácticas de infiltración y extorsión dirigidas a distintos aspectos del entorno o comportamientos del personal. Analizar estos métodos de ransomware permite a las organizaciones reforzar sus defensas en cada punto de entrada. Estos cinco ejemplos muestran la versatilidad de los atacantes actuales:

1. Correo malicioso y phishing dirigido: El correo electrónico es, hasta la fecha, el método de infiltración más común, especialmente mediante campañas masivas o dirigidas que se aprovechan de empleados poco preparados que descargan archivos adjuntos maliciosos o hacen clic en enlaces. El spear phishing consiste en enviar mensajes con información obtenida de redes sociales o ataques anteriores. Cuando se ejecutan macros o kits de exploits, comienza la rutina de cifrado o exfiltración. Los filtros avanzados de correo electrónico, la concienciación del personal y el análisis de enlaces frenan estas infiltraciones.
2. Kits de exploits y ataques al visitar sitios web: El malware se introduce en sitios web comprometidos o preparados como señuelo, o mediante publicidad maliciosa. Cualquier navegador o complemento sin los últimos parches queda expuesto en cuanto un empleado accede al sitio. Incluso las grandes redes publicitarias pueden mostrar ocasionalmente anuncios maliciosos en sitios legítimos. Una gestión estricta de parches y el uso limitado de complementos reducen considerablemente estas vías de infiltración.
3. Servicios remotos y ataques a RDP: Los hackers sondean de forma proactiva los endpoints RDP o las conexiones SSH para aprovechar credenciales predeterminadas o una CVE descubierta. Si obtienen privilegios de administrador de dominio o acceso root al sistema operativo, pueden instalar rutinas de cifrado a nivel del sistema. La autenticación multifactor y la restricción del acceso remoto a recursos protegidos por una VPN o un modelo de confianza cero reducen significativamente la probabilidad de que un ciberataque tenga éxito. Revisar periódicamente los registros en busca de entradas similares también permite detectar ataques de fuerza bruta en una etapa temprana.
4. Software troyanizado y compromiso de terceros: Los atacantes comprometen actualizaciones legítimas de software, como controladores, complementos o bibliotecas, e incorporan código de ransomware. Las víctimas ejecutan las actualizaciones creyendo que proceden del proveedor o de un sitio espejo, y activan así la infiltración. Esto demuestra el alcance de un compromiso de la cadena de suministro. Verificar las firmas de código, gestionar rigurosamente el riesgo de los proveedores y analizar los procesos de desarrollo frena estas vías de infiltración encubiertas.
5. Movimiento lateral desde otro malware: A veces, la infiltración comienza con un troyano o un keylogger menos visible que recopila nombres de usuario o contraseñas sin ser detectado. Una vez identificados los datos valiosos, los atacantes proceden al cifrado. El proceso de cifrado del ransomware comienza antes de que el personal advierta que algo va mal. Las plataformas EDR basadas en el comportamiento detectan movimientos anómalos y detienen la infiltración antes del ataque final.

Ejemplos de ataques de ransomware

Los delincuentes pueden paralizar las operaciones con ransomware o exigir millones de dólares para restablecerlas. Incluso las organizaciones con más recursos pueden verse sorprendidas si dejan una vía de infiltración sin proteger. Los siguientes cuatro casos muestran la gravedad de la infiltración, la respuesta de las empresas y los resultados.

1. LoanDepot (2024): En enero, LoanDepot, uno de los mayores prestamistas hipotecarios, informó de un ataque de ransomware ocurrido del 3 al 5 de enero. El ataque incluyó el cifrado de datos y el robo de información confidencial de clientes, e interrumpió los servicios para 16,6 millones de consumidores. Alphv/BlackCat reivindicó el ataque, que se suma al historial de brechas importantes del grupo. El reciente ataque a LoanDepot demuestra que las empresas financieras con grandes volúmenes de datos de usuarios son especialmente atractivas para los extorsionadores.
2. Veolia (2024): Veolia North America, una empresa de reciclaje de agua y energía, declaró que había sufrido un ataque de ransomware que dejó indisponibles algunos de sus sistemas de back-end. Aunque las operaciones de tratamiento de agua no se interrumpieron, los servicios de facturación se vieron afectados, lo que causó inconvenientes a los clientes. Tras una brecha parcial de datos, la empresa notificó a los usuarios. Esto demuestra que los ataques contra proveedores de infraestructura crítica van en aumento para forzar el pago rápido del rescate exigido.
3. Ascension (2024): Ascension, un sistema de salud con sede en St. Louis, reveló en mayo que el ransomware afectó las historias clínicas electrónicas (EHR) y algunas líneas telefónicas. Durante más de un mes, los pacientes sufrieron interrupciones en la programación de citas y confusión en los pedidos de medicamentos. Algunos centros incluso desviaron ambulancias mientras el personal afrontaba la semana de mayor actividad registrada. Esta combinación demuestra cómo los peligrosos incidentes de ransomware interrumpen servicios sanitarios esenciales y amenazan no solo la estabilidad de los hospitales, sino también la vida de los pacientes.
4. Gobierno de la ciudad de Cleveland (2024): En junio, unos hackers paralizaron la ciudad de Cleveland y cerraron el ayuntamiento durante 11 días tras un ataque que afectó los sistemas de facturación y los procedimientos administrativos oficiales. Los empleados se apresuraron a poner en cuarentena los equipos afectados e intentar recuperar los datos a partir de copias. La ciudad afirmó que no pagaría el rescate, aunque no podía confirmar si se habían robado los datos. Esta sinergia demuestra cómo incluso los ataques dañinos de ransomware pueden paralizar todos los servicios municipales y afectar la vida cotidiana de los residentes.

¿Cómo prevenir los ataques de ransomware?

Prevenir la infiltración exige mejores herramientas, personal capacitado, configuraciones seguras y copias de seguridad probadas. Ninguna medida basta por sí sola: los delincuentes cambian constantemente de estrategia. Estas cinco medidas fundamentales reducen considerablemente el riesgo de infiltración y aceleran la remediación tras un incidente:

1. Capacitación integral del personal: El phishing y la ingeniería social siguen siendo los métodos más habituales para infiltrarse en las organizaciones. Las sesiones periódicas de capacitación y las simulaciones de phishing mantienen al personal alerta ante posibles amenazas. Aplique otras medidas de seguridad para exigir frases de contraseña complejas en lugar de contraseñas sencillas y fáciles de adivinar. En conjunto, estas medidas reducen el riesgo de que un clic accidental o una contraseña reutilizada pongan en peligro toda la red.
2. Exigir la autenticación multifactor: Aunque los delincuentes adivinen u obtengan contraseñas, un segundo factor de autenticación, como un código enviado al teléfono o una llave de seguridad física, dificulta su avance. MFA es especialmente recomendable para acceder a cuentas de administrador o de dominio mediante conexiones remotas VPN o RDP. Esta medida reduce considerablemente la probabilidad de éxito de los ataques de relleno de credenciales. Con el tiempo, otras medidas avanzadas, como el inicio de sesión único combinado con políticas basadas en el contexto, refuerzan la verificación de identidad.
3. Aplicar parches y analizar vulnerabilidades periódicamente: Aplicar sin demora las actualizaciones del sistema operativo, las aplicaciones y el firmware reduce las vías de infiltración identificadas. Los análisis periódicos detectan CVE recién divulgadas o vulnerabilidades de día cero. Estos análisis también deben abarcar recursos efímeros, como contenedores o servidores de desarrollo y pruebas. Al integrar los análisis en las fusiones del pipeline, los equipos de desarrollo y operaciones pueden corregir vulnerabilidades antes de pasar a producción.
4. Microsegmentación y arquitectura de confianza cero: Dividir las redes en segmentos impide el movimiento lateral si los atacantes penetran en un servidor, endpoint o recurso en la nube. La confianza cero verifica la identidad y los permisos de cada solicitud, lo que impide el acceso no autorizado con credenciales robadas o adivinadas. Los perímetros definidos por software o las reglas VLAN muy restrictivas reducen las oportunidades de infiltración. Juntas, la segmentación y la confianza cero impiden que la infiltración se extienda a todo el entorno.
5. Copias de seguridad aisladas y simulacros de recuperación ante desastres: Es imposible prevenir todas las intrusiones, incluso con las medidas de seguridad más sólidas, por lo que es esencial contar con una copia de seguridad sin conexión. Compruebe periódicamente los puntos de restauración para asegurarse de que los datos estén actualizados y no se hayan dañado. Si los delincuentes cifran el entorno de producción, las copias de seguridad sin conexión permiten restaurarlo rápidamente sin pagar un rescate. Los procedimientos de respuesta a incidentes facilitan al personal la gestión de intrusiones reales y reducen el desorden.

Detección y eliminación del ransomware

La prevención del ransomware no es infalible: una vulnerabilidad de día cero o un ataque de ingeniería social pueden abrir una vía de infiltración. Detectar el código malicioso a tiempo puede detener el cifrado en curso y proteger todo el entorno. Estos cinco pasos permiten reconocer rápidamente conductas peligrosas y coordinar la eliminación del ransomware tras una infección:

1. Protección de endpoints basada en el comportamiento: Un antivirus basado únicamente en firmas suele tardar en adaptarse a los cambios rápidos y frecuentes del código. En cambio, las plataformas EDR avanzadas observan comportamientos durante la ejecución, como un proceso nuevo que cifra muchos archivos a la vez. Si una anomalía coincide con un patrón de infiltración conocido, la plataforma aísla o pone en cuarentena el proceso. Así detecta en tiempo real incluso amenazas sin archivos y programas maliciosos completamente nuevos.
2. Supervisión de anomalías de red: Las transferencias de datos fuera del horario habitual o los aumentos repentinos del uso del ancho de banda pueden indicar exfiltración o cifrado masivo. Las herramientas SIEM o NDR detectan estos patrones y alertan al personal para que investigue. El análisis de la distribución del tráfico y las conexiones entre sistemas puede revelar las primeras fases del movimiento lateral. Así se impide que el atacante consolide su acceso, cifre todos los archivos o transmita todos los datos robados.
3. Herramientas de análisis de ransomware: Algunos programas antirransomware buscan activamente algoritmos de cifrado específicos, operaciones de cambio de nombre o extensiones de archivos que suelen quedar bloqueados. También pueden detectar escrituras parciales del ransomware o cambios en las copias de sombra de volumen. Si se activan, detienen el proceso causante o restauran los archivos alterados mediante registros de cambios. Junto con los antivirus convencionales, estas herramientas especializadas reducen considerablemente el tiempo de infiltración.
4. Contención y restauración automatizadas: Una vez activado, un sistema de automatización puede aislar los equipos infectados y bloquear su acceso a la red para detener el movimiento lateral. Algunas plataformas avanzadas ofrecen funciones de reversión que capturan el estado del sistema y permiten restaurarlo a un punto anterior a la infección. Al vincular la contención con la detección, usted impide que los delincuentes se desplacen lateralmente o exfiltren datos. Así gana tiempo durante el incidente y reduce su impacto general.
5. Eliminación del ransomware y limpieza forense: Tras la contención, es necesario neutralizar el código residual, comprobar los archivos del sistema y eliminar todos los posibles mecanismos de activación. Esto puede incluir el análisis de programas de inicio, tareas programadas o registros en busca de vínculos maliciosos. Si el cifrado es parcial, los archivos pueden recuperarse de copias de seguridad o descifrarse con herramientas especializadas. Un análisis exhaustivo del ransomware tras el incidente permite perfeccionar las futuras reglas de detección y cerrar las vías de infiltración.

Prevenga los ataques de ransomware con SentinelOne

La detección autónoma de amenazas con IA de SentinelOne protege a las organizaciones frente al malware, el ransomware, el phishing y otras ciberamenazas. Su Offensive Security Engine con Verified Exploit Paths detecta anomalías, descubre nuevas vías de ataque y las mitiga antes de que puedan explotarse.

La avanzada protección de endpoints de SentinelOne protege VM, cargas de trabajo, entornos en la nube, contenedores, usuarios e identidades. Purple AI, un analista de ciberseguridad con GenAI, obtiene información procesable sobre los atacantes y los pipelines de seguridad. Usted obtiene seguridad para sus pipelines CI/CD y una cobertura de seguridad adecuada. SentinelOne detecta más de 750 tipos de secretos y evita las filtraciones de credenciales de la nube.

Identifique cuentas inactivas y analice procesos maliciosos antes de que los atacantes tomen el control, secuestren cuentas o eleven privilegios. SentinelOne ejecuta análisis activos y pasivos en segundo plano y opera 24/7. Envía alertas automáticamente cuando surgen problemas y elimina los falsos positivos.

También incluye integración con Snyk y un CNAPP integral sin agentes que ofrece protección completa. Con los productos de SentinelOne, usted mantiene el cumplimiento continuo de marcos normativos como SOC 2, NIST, HIPAA y CIS Benchmark, entre otros. La plataforma también protege a las organizaciones frente a ataques dirigidos a Active Directory y Entra ID.

Realizar el recorrido

Detección y respuesta en endpoints impulsadas por IA.

Conclusión

El ransomware sigue siendo una de las amenazas más peligrosas para las empresas modernas, ya que pone en riesgo los datos, los procesos empresariales y la confianza de los clientes. Frente a métodos de infiltración como el phishing, los kits de explotación o el movimiento lateral, resulta mucho más eficaz analizar cada método por separado y desarrollar varias capas de protección. Sin embargo, impedir la infiltración es solo una parte de la respuesta; detectar actividades maliciosas durante un ataque y contar con sistemas de respaldo sólidos constituyen los otros dos pilares. Tanto en un entorno en la nube de corta duración como en un servidor local que lleva años en uso, los análisis de seguridad, la capacitación del personal y la microsegmentación reducen significativamente el número de vectores de entrada.

Ninguna medida basta por sí sola cuando los delincuentes adoptan nuevas estrategias de infiltración, como la doble extorsión o la incorporación de funciones avanzadas de gusano. Sin embargo, las mejoras continuas basadas en políticas claras, copias de seguridad probadas y plataformas EDR adaptables mantienen bajo control las amenazas de infiltración. Al combinarlas con un analizador de ransomware específico o una plataforma de protección de endpoints basada en IA como SentinelOne, su entorno obtiene detección en tiempo real y remediación automática.

Ciberseguridad basada en IA

Mejore su postura de seguridad con detección en tiempo real, respuesta a velocidad de máquina y visibilidad total de todo su entorno digital.

Demostración