¿Qué es ransomware?
El ransomware es un tipo de malware que busca impedir el acceso a archivos o sistemas mediante cifrado u otros mecanismos de bloqueo. Puede afectar computadores, servidores y organizaciones completas, provocando pérdida temporal de acceso a información y problemas operativos.
¿Qué es ransomware?
El ransomware es un tipo de malware que puede bloquear el acceso a archivos o sistemas, habitualmente mediante el cifrado de información. El objetivo puede ser impedir el funcionamiento normal de un dispositivo u organización.
Muchos ataques de ransomware buscan además obtener un beneficio económico mediante extorsión. Por eso la prevención y las copias de seguridad son elementos fundamentales para reducir su impacto.
¿Cómo funciona el ransomware?
El ransomware puede utilizar diferentes técnicas para conseguir acceso, afectar información y dificultar la recuperación de los sistemas.
Puede cifrar archivos
Una de las características más conocidas del ransomware es el cifrado de archivos para impedir que puedan abrirse o utilizarse normalmente.
Puede afectar sistemas completos
Algunos incidentes afectan estaciones de trabajo, servidores, bases de datos, aplicaciones y otros recursos conectados, aumentando el impacto operativo.
Puede utilizarse para extorsionar
Después de bloquear o cifrar información, los atacantes pueden exigir un pago a cambio de una supuesta herramienta o clave de recuperación. En algunos casos también pueden amenazar con divulgar información robada.
El ransomware puede afectar mucho más que un computador
Cuando el ataque alcanza una organización, el problema puede extenderse desde un archivo individual hasta servidores, aplicaciones, respaldos y procesos completos.
Pérdida de acceso
El cifrado puede impedir temporalmente el acceso a documentos, fotografías, bases de datos y otros archivos importantes.
Interrupción operativa
Un incidente puede afectar computadores, servidores, aplicaciones y servicios necesarios para continuar con las operaciones.
Posible extorsión adicional
Algunos grupos también utilizan información robada como mecanismo adicional de presión, aumentando las consecuencias potenciales del incidente.
Principales formas de ransomware
| Tipo o modalidad | Característica | Qué puede afectar | Posible consecuencia |
|---|---|---|---|
| Ransomware de cifrado | Cifra archivos o datos. | Documentos, bases de datos y otros archivos. | Pérdida de acceso a información. |
| Ransomware sobre sistemas | Puede bloquear o afectar recursos del sistema. | Computadores, servidores o aplicaciones. | Interrupción de operaciones. |
| Doble extorsión | Combina cifrado con amenaza de divulgar datos robados. | Archivos y datos sensibles. | Interrupción y presión adicional sobre la víctima. |
| Ataques dirigidos | Buscan comprometer entornos concretos. | Redes, servidores y sistemas empresariales. | Impacto operativo amplio. |
| Ransomware como servicio | Infraestructura o herramientas ofrecidas a terceros. | Organizaciones y usuarios afectados por campañas. | Facilitar la realización de ataques por distintos operadores. |
¿Por qué el ransomware cifra los archivos?
El cifrado permite transformar la información de manera que no pueda utilizarse normalmente sin disponer del mecanismo adecuado para descifrarla.
Bloquear el acceso
Cuando el ransomware cifra documentos y otros archivos, el usuario puede seguir viendo que los archivos existen, pero no necesariamente puede abrirlos o utilizarlos.
Afectar información importante
El impacto puede ser especialmente alto cuando se cifran documentos empresariales, bases de datos, proyectos, respaldos accesibles o información necesaria para operar.
El cifrado no es necesariamente el problema en sí mismo
La criptografía también se utiliza legítimamente para proteger información. En ransomware, el problema es el uso malicioso del mecanismo para impedir el acceso no autorizado al propietario de los datos.
¿Cómo entra el ransomware a un computador?
El ransomware puede utilizar distintos mecanismos para obtener acceso inicial a un dispositivo o infraestructura.
Phishing
Un correo o mensaje engañoso puede intentar que la víctima abra un archivo, visite un sitio fraudulento o realice una acción que facilite la infección.
Vulnerabilidades
Las vulnerabilidades presentes en sistemas, aplicaciones y servicios expuestos pueden convertirse en una vía de acceso para determinados ataques.
Credenciales comprometidas
El uso indebido de cuentas con contraseñas robadas puede permitir a un atacante acceder a determinados recursos y comenzar una intrusión.
Acceso remoto expuesto
Servicios de administración remota configurados de forma insegura pueden aumentar la superficie de ataque y convertirse en objetivos.
¿Puede el ransomware afectar a una empresa?
Sí. En una organización, un ataque de ransomware puede afectar estaciones de trabajo, servidores, bases de datos, aplicaciones, servicios internos y procesos esenciales para el funcionamiento del negocio.
Interrupción de operaciones
Si los sistemas necesarios para facturar, producir, atender clientes o gestionar información quedan inaccesibles, la organización puede experimentar una interrupción significativa.
Propagación interna
Dependiendo de cómo se produzca el acceso y de la arquitectura de la red, una intrusión puede extenderse desde un equipo hacia otros sistemas accesibles.
Información sensible
Además del cifrado, algunos ataques pueden involucrar el acceso y extracción de información antes de bloquear los sistemas.
Continuidad operacional
La capacidad de una empresa para recuperarse depende en gran medida de sus respaldos, redundancia, procedimientos de respuesta y conocimiento de la infraestructura afectada.
¿Qué es la doble extorsión en ransomware?
La doble extorsión es una modalidad en la que los atacantes, además de cifrar información, afirman haber robado datos y amenazan con divulgarlos.
Primera presión
El cifrado impide o dificulta el acceso normal a los archivos y puede detener determinadas operaciones.
Segunda presión
La amenaza de publicar información robada introduce una consecuencia adicional relacionada con la confidencialidad de los datos.
Respaldo y recuperación siguen siendo importantes
Disponer de copias de seguridad puede ayudar a recuperar sistemas afectados por el cifrado, aunque no elimina necesariamente otros problemas derivados de una posible exposición de información.
¿Por qué las copias de seguridad son importantes frente al ransomware?
Una copia de seguridad permite recuperar una versión de la información cuando los archivos originales han sido eliminados, dañados, cifrados o quedaron inaccesibles.
No basta con tener una copia
El respaldo debe mantenerse de forma que un incidente en el sistema principal no destruya también la copia. Por eso es importante considerar su ubicación, acceso y separación del entorno productivo.
Deben probarse
Una copia que nunca ha sido restaurada no garantiza por sí sola una recuperación exitosa. Las pruebas periódicas permiten comprobar que los datos pueden recuperarse correctamente.
Respaldos y continuidad
Una estrategia de respaldo adecuada forma parte de una estrategia más amplia de continuidad y recuperación ante incidentes.
¿Cómo prevenir el ransomware?
La prevención combina actualización de sistemas, protección de cuentas, reducción de la superficie de ataque, capacitación de usuarios y una estrategia sólida de copias de seguridad.
Mantener sistemas actualizados
Instalar actualizaciones de seguridad ayuda a corregir vulnerabilidades que podrían ser utilizadas como vía de acceso.
Proteger cuentas administrativas
Las cuentas con privilegios elevados deben contar con controles adicionales y utilizar solamente los permisos necesarios para cada tarea.
Utilizar autenticación multifactor
La autenticación multifactor añade una capa de protección cuando una contraseña ha sido robada o expuesta.
Segmentar la red
Separar sistemas y servicios puede ayudar a limitar el alcance de determinados incidentes y dificultar la propagación entre diferentes segmentos.
Capacitar a los usuarios
Reconocer mensajes fraudulentos, archivos sospechosos y otras técnicas de ingeniería social puede reducir determinadas vías de infección.
¿Cómo detectar un posible ataque de ransomware?
La detección depende del tipo de ataque y de las herramientas disponibles, pero determinados cambios pueden justificar una investigación inmediata.
Archivos inaccesibles
Una gran cantidad de archivos que dejan de abrirse de forma repentina puede ser una señal de que el sistema ha sido afectado.
Extensiones o nombres modificados
Algunos ataques modifican los nombres o extensiones de los archivos durante el proceso de cifrado.
Mensajes de extorsión
La aparición de notas o mensajes que informan de un supuesto cifrado y exigen un pago puede constituir una señal clara de un incidente.
Actividad anómala
Comportamientos inusuales en cuentas, procesos, almacenamiento o tráfico de red también pueden ayudar a detectar una intrusión antes de que alcance todo su impacto.
¿Qué hacer ante un ataque de ransomware?
Ante una sospecha de ransomware, la prioridad debe ser contener el incidente y evitar que continúe afectando otros sistemas o información.
Aislar los dispositivos afectados
Cuando corresponda, desconectar equipos afectados de la red puede ayudar a reducir la posibilidad de propagación hacia otros recursos.
Evitar destruir evidencias
Registros, archivos y otra información técnica pueden resultar útiles para investigar cómo ocurrió el incidente y determinar su alcance.
Revisar respaldos
Las copias de seguridad disponibles deben evaluarse para determinar si existe una vía confiable de recuperación.
Investigar la causa
Recuperar los archivos no debería ser el único objetivo. También es necesario identificar cómo se produjo el acceso para reducir la posibilidad de una nueva intrusión.
Buscar asistencia especializada
En organizaciones, servidores o incidentes de gran alcance puede ser necesario contar con profesionales especializados en respuesta y recuperación de incidentes.
¿Se deben pagar las exigencias de un ataque de ransomware?
La decisión de cómo responder a una extorsión depende del contexto legal, operativo y de seguridad de cada organización. Pagar tampoco garantiza necesariamente que los sistemas se recuperen correctamente o que la información no haya sido copiada.
Recuperación independiente
Cuando existen respaldos confiables y una infraestructura preparada para recuperarse, una organización puede disponer de alternativas frente al bloqueo de los archivos.
Riesgo adicional
En un incidente de ransomware pueden existir problemas que continúen incluso después de recuperar los archivos, como credenciales comprometidas, accesos persistentes o información posiblemente expuesta.
La recuperación debe considerar la causa
Restaurar un sistema sin corregir la vía utilizada para acceder a él puede dejar abierta la posibilidad de una nueva intrusión.
Ransomware: conceptos principales
| Concepto | Significado | Ejemplo | Posible impacto |
|---|---|---|---|
| Ransomware | Tipo de malware que puede bloquear o cifrar información. | Cifrado de archivos. | Pérdida de acceso e interrupción. |
| Cifrado | Transformación criptográfica de información. | Archivos que dejan de abrirse normalmente. | Pérdida temporal de acceso. |
| Doble extorsión | Cifrado acompañado de amenaza de divulgar información. | Datos robados antes del bloqueo. | Impacto sobre disponibilidad y confidencialidad. |
| Copia de seguridad | Copia recuperable de la información. | Respaldo separado del sistema principal. | Facilitar la recuperación. |
| Mitigación | Medidas destinadas a reducir exposición o impacto. | Actualizaciones, MFA y segmentación. | Reducir posibilidades de compromiso. |
Guías relacionadas sobre ciberseguridad y malware
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre ransomware
El ransomware es un tipo de malware que puede bloquear o cifrar archivos y sistemas para impedir su uso normal y, en muchos casos, ejercer presión mediante extorsión.
Puede obtener acceso a un dispositivo o red y posteriormente cifrar información, bloquear recursos o realizar otras acciones destinadas a impedir el funcionamiento normal de los sistemas.
Puede entrar mediante phishing, archivos maliciosos, vulnerabilidades, credenciales comprometidas, servicios expuestos y otras vías de acceso utilizadas por los atacantes.
Existen diferentes modalidades, incluyendo ransomware centrado en el cifrado de archivos, ataques dirigidos contra sistemas empresariales y esquemas de doble extorsión que combinan cifrado con amenazas de divulgar información.
Ransomware es una categoría de malware caracterizada por bloquear o cifrar información para impedir su acceso, mientras que un virus es un tipo de malware asociado con mecanismos específicos de propagación.
Sí. Puede afectar computadores, servidores, aplicaciones, bases de datos y otros recursos, provocando interrupciones de operaciones y posibles problemas relacionados con la información.
Mantén actualizados los sistemas, protege las cuentas, utiliza autenticación multifactor, reduce servicios expuestos, segmenta las redes cuando corresponda, capacita a los usuarios y realiza copias de seguridad confiables.
Conviene contener el incidente, aislar los dispositivos afectados cuando corresponda, preservar información útil para investigar, revisar los respaldos disponibles y analizar la causa antes de recuperar completamente los sistemas.
¿Qué es spyware?
Continúa con otro tipo de malware y aprende cómo funciona el spyware, qué información puede intentar recopilar y cómo proteger tus dispositivos.
Ver guía →