¿Qué es el ransomware?

El ransomware es un tipo de malware que bloquea el acceso a los archivos o sistemas informáticos de una víctima y exige un pago para devolverlo. Es una forma de extorsión digital que puede afectar tanto a particulares como a empresas, hospitales, administraciones públicas e infraestructuras críticas.

El ransomware funciona mediante el cifrado de los datos de la víctima, lo que impide que pueda abrirlos o utilizarlos. Los atacantes suelen pedir un rescate en criptomonedas —principalmente bitcoin o monero— para dificultar el rastreo. A cambio, prometen enviar una clave de descifrado que permita recuperar la información.

Sin embargo, no hay ninguna garantía de que los ciberdelincuentes cumplan su palabra. En muchos casos, tras el pago inicial exigen más dinero, entregan claves defectuosas o simplemente desaparecen. Además, pagar no solo no asegura la recuperación, sino que financia nuevos ataques y puede tener implicaciones legales en determinadas jurisdicciones.

El ransomware es una de las amenazas más costosas y disruptivas del panorama actual. Según el informe IBM Security X-Force Threat Intelligence Index de 2023, los ataques de ransomware representaron alrededor del 17 % de todos los ciberataques registrados en 2022. Aunque su peso relativo varía de un año a otro, sigue siendo una de las amenazas con mayor impacto económico y operativo.

El ransomware forma parte de la familia del malware, junto a virus, gusanos y troyanos; de hecho, muchos ataques llegan precisamente a través de un troyano que abre la puerta al cifrado, o mediante técnicas de ingeniería social que comprometen las credenciales del usuario.

Historia y ejemplos de ataques de ransomware

Los primeros casos se remontan a finales de los años 80, pero el ransomware moderno —el criptográfico— se popularizó en 2013 con CryptoLocker. Desde entonces la evolución ha sido vertiginosa, pasando de ataques masivos y oportunistas a operaciones selectivas contra objetivos de alto valor.

Pioneros del ransomware moderno

CryptoLocker (2013). Considerado el pionero del ransomware criptográfico moderno. Se propagó mediante correos con adjuntos maliciosos, cifraba los archivos y pedía entre 100 y 300 dólares en bitcoin. Afectó a más de 500.000 equipos y demostró la viabilidad económica del modelo de extorsión.

WannaCry (2017). Aprovechó EternalBlue, una vulnerabilidad de Windows, para propagarse automáticamente por redes. Infectó más de 200.000 equipos en unos 150 países en cuestión de horas. Entre sus víctimas estuvieron el Servicio Nacional de Salud británico (NHS), Telefónica y numerosos organismos públicos. La lección: un parche disponible desde marzo de 2017 habría evitado el desastre de mayo.

Petya / NotPetya (2017). Cifraba discos duros completos. Su variante NotPetya, aunque aparentaba ser ransomware, funcionaba en realidad como un wiper diseñado para destruir datos. Se propagó mediante una actualización falsificada de un software contable ucraniano y afectó a empresas globales como Maersk o FedEx, con daños estimados en miles de millones de dólares.

Ejemplos recientes

REvil (Sodinokibi). Operó como RaaS desde 2019 con ataques selectivos a grandes organizaciones. Además de cifrar, robaba datos y amenazaba con publicarlos (doble extorsión). Entre sus objetivos estuvieron Acer, Quanta Computer, JBS o Kaseya. Fue desarticulado en gran medida por operaciones policiales internacionales entre 2021 y 2022.

DarkSide y Colonial Pipeline (2021). En mayo de 2021, el grupo DarkSide atacó a Colonial Pipeline, la mayor red de oleoductos de Estados Unidos, provocando la interrupción del suministro de combustible en la costa este. La empresa pagó 4,4 millones de dólares (75 bitcoins); posteriormente, el FBI recuperó buena parte de esa cantidad, unos 2,3 millones, rastreando la cartera de los atacantes. El incidente llevó al gobierno estadounidense a tratar el ransomware como una amenaza a la seguridad nacional.

LockBit. Durante años, uno de los RaaS más prolíficos, con miles de víctimas documentadas en todo el mundo y un modelo de afiliados muy estructurado. En febrero de 2024, una operación internacional (Operación Cronos) desarticuló buena parte de su infraestructura, aunque el grupo mostró después resurgimientos parciales.

BlackCat / ALPHV. Destacó por estar desarrollado en el lenguaje Rust, lo que le daba portabilidad entre Windows y Linux. A principios de 2024 su operación se disolvió tras un conflicto interno con un afiliado.

Clop y la explotación de MOVEit (2023). El grupo Clop se especializó en robar datos masivos explotando vulnerabilidades en software empresarial, sin necesidad de cifrar. En 2023 explotó un fallo crítico en MOVEit Transfer, comprometiendo a cientos de organizaciones. Un ejemplo de que la extorsión ya no siempre pasa por cifrar archivos.

Akira y el ransomware contra servidores. Una tendencia clara de los últimos años es el desplazamiento de los ataques hacia servidores y entornos virtualizados, donde reside el grueso de la infraestructura empresarial. Familias como Akira, BlackCat o ESXiArgs se han especializado en atacar servidores VMware ESXi y sistemas Linux, conscientes de que un servidor comprometido causa mucho más daño que un puesto de trabajo individual.

Locky, Bad Rabbit y Jigsaw. Otras familias conocidas: Locky se propagaba por phishing y añadía la extensión.locky; Bad Rabbit se camuflaba como una falsa actualización de Adobe Flash Player; y Jigsaw destacaba por su enfoque intimidatorio, amenazando con borrar archivos de forma progresiva y mostrando la cara del muñeco de la película Saw.

Tipos de ransomware

El ransomware ha evolucionado mucho más allá del simple cifrado de archivos. Estas son las categorías principales:

Ransomware de cifrado. El modelo clásico: cifra los archivos y exige rescate por la clave. Ejemplos: CryptoLocker, Locky, LockBit.

Ransomware de bloqueo. No cifra los archivos, pero bloquea el acceso al sistema mediante una pantalla que a veces simula ser de la policía o de una autoridad. Menos frecuente hoy, aunque sigue apareciendo en dispositivos móviles.

Scareware. Manipula al usuario con mensajes alarmistas falsos —virus detectados, supuestas infracciones legales— para que pague por software inútil o facilite datos personales. Comparte terreno con el adware más agresivo.

Doble extorsión. El modelo dominante desde 2020. Además de cifrar, los atacantes roban datos sensibles y amenazan con publicarlos si no se paga. Esto reduce la protección que ofrecían las copias de seguridad: aunque puedas restaurar, sigue existiendo el riesgo de exposición pública de la información.

Triple extorsión. Va un paso más allá de la doble y añade capas adicionales de presión: ataques de denegación de servicio (DDoS) que tumban los servicios de la víctima, contacto directo con sus clientes, socios o incluso con los medios para forzar el pago, o amenazas de denuncias ante los reguladores por la filtración de datos personales. La idea es acorralar a la víctima por varios frentes a la vez para que ceda cuanto antes.

Ransomware como servicio (RaaS). Modelo de negocio en el que los desarrolladores crean el malware y lo alquilan a afiliados que ejecutan los ataques, repartiendo las ganancias. Ha ampliado enormemente la amenaza, al poner estos ataques al alcance de delincuentes sin conocimientos técnicos avanzados.

Ransomware de MBR (Master Boot Record). Afecta al Registro Maestro de Arranque del equipo y corrompe su código para mostrar el mensaje de rescate, dejando el sistema inoperable hasta que se paga.

¿Cómo se puede evitar el ransomware?

La mejor defensa es una estrategia en capas que combine prevención, detección y recuperación:

Mantén todo actualizado. Aplica los parches del sistema operativo, las aplicaciones y el firmware en cuanto estén disponibles. WannaCry explotó una vulnerabilidad que ya tenía parche dos meses antes: la velocidad de actualización es crítica.

Usa autenticación multifactor (MFA). El robo de credenciales es uno de los vectores de acceso más comunes. La MFA bloquea la mayoría de los intentos de acceso no autorizado aunque la contraseña se haya filtrado.

Despliega protección en capas. Un antivirus tradicional ya no basta. En empresas se recomienda una solución EDR, que detecta comportamientos anómalos y no solo firmas conocidas. En casa, mantén activo el análisis en tiempo real y la protección contra aplicaciones potencialmente no deseadas (PUP).

Haz copias de seguridad con la regla 3-2-1. Tres copias de los datos, en dos soportes distintos, con una de ellas fuera del equipo y, a ser posible, desconectada o inmutable. Las copias son la única recuperación garantizada frente al cifrado. Verifica de vez en cuando que funcionan y que no están comprometidas.

Desactiva las macros de Office por defecto. Las macros maliciosas siguen siendo un vector muy efectivo. Configúralas para que solo se ejecuten si tienen firma digital de confianza.

Segmenta la red. En entornos con varios equipos, segmentar limita la propagación del malware: si uno se infecta, no debería alcanzar con facilidad al resto.

Restringe el acceso remoto. El escritorio remoto (RDP) expuesto a internet es una de las puertas de entrada favoritas del ransomware. Si es imprescindible, protégelo con VPN, MFA y restricciones de IP.

Desconfía de lo inesperado y forma a los usuarios. Muchos ataques empiezan con un correo de phishing o una técnica de ingeniería social o spyware que roba credenciales. No abras adjuntos ni enlaces de correos sospechosos, aunque parezcan de contactos conocidos, y verifica siempre el remitente. La concienciación es una de las defensas más eficaces.

Herramientas y recursos contra el ransomware

Conviene tener en cuenta un par de matices sobre herramientas conocidas: HitmanPro.Alert fue adquirido por Sophos e integrado en Sophos Intercept X, y Malwarebytes Anti-Ransomware como producto independiente se ha discontinuado; su funcionalidad vive ahora dentro de Malwarebytes Premium.

Pasos para responder a un ataque de ransomware

Enfrentarse a un ataque resulta estresante, pero actuar de forma ordenada minimiza el daño:

1. Aísla el dispositivo de inmediato. Desconéctalo de la red (cable, wifi, Bluetooth) para frenar la propagación. En una empresa, valora aislar segmentos enteros de red.

2. No pagues el rescate. Las autoridades de ciberseguridad (INCIBE, Europol, FBI) desaconsejan pagar: no garantiza la recuperación, financia el crimen organizado y puede tener implicaciones legales. Muchas víctimas que pagan no llegan a recuperar todos sus datos.

3. Identifica la variante. Usa ID Ransomware o consulta No More Ransom para ver si existe un descifrador gratuito. Documéntalo todo: notas de rescate, extensiones de los archivos cifrados y datos de contacto de los atacantes.

4. Elimina el malware. Escanea con herramientas antivirus actualizadas. En algunos casos habrá que reinstalar el sistema desde cero para garantizar la limpieza completa, sobre todo si hay rootkits o puertas traseras.

5. Restaura desde copias limpias. Una vez eliminado el malware, recupera los datos desde copias previas al ataque, comprobando antes que no estén comprometidas.

6. Cambia todas las contraseñas. Da por hecho que las credenciales han sido robadas y cámbialas, especialmente las de cuentas con privilegios.

7. Notifica a las autoridades. En España puedes reportar el incidente al INCIBE. Si ha habido filtración de datos personales, valora también avisar a la Agencia Española de Protección de Datos (AEPD). Aportar detalles ayuda en la lucha contra el cibercrimen.

8. Evalúa y refuerza. Tras la recuperación, analiza por dónde entró el ataque, refuerza las defensas y actualiza tus medidas de seguridad para dificultar futuros incidentes.

Recuperar los datos después de un ataque

La recuperación depende sobre todo de la preparación previa y de la variante concreta:

Copias de seguridad limpias. La recuperación más rápida y fiable. Por eso la regla 3-2-1 con copias inmutables es tan importante.

Descifradores gratuitos. No More Ransom y algunas empresas de seguridad publican herramientas para variantes cuyas claves se han filtrado o recuperado en operaciones policiales. No funcionan para todas, pero merece la pena comprobarlo antes de nada.

Servicios profesionales de recuperación. En casos complejos, empresas especializadas pueden intentar recuperar datos con técnicas forenses avanzadas, aunque el éxito no está garantizado y el coste puede ser elevado.

Existe también un mercado de intermediarios que negocian el rescate con los atacantes en nombre de la víctima. Conviene saber que existe, pero las autoridades lo desaconsejan por los mismos motivos que desaconsejan pagar: no garantiza recuperar los datos, alimenta el negocio criminal y puede acarrear consecuencias legales. La vía sensata sigue siendo restaurar desde copias limpias y denunciar el incidente, no entrar en la negociación.

El ransomware es una amenaza muy seria que puede tener consecuencias devastadoras. Por eso, estar informado y preparado —con copias de seguridad verificadas y buenas prácticas de seguridad— es la mejor defensa para prevenir y combatir este tipo de ataques.