En 2021, un ataque de ransomware cerró el oleoducto más grande de EE. UU. durante seis días. Colonial Pipeline pagó 4,4 millones de dólares en bitcoin para recuperar el acceso a sus sistemas. En 2023, el Hospital Clínic de Barcelona sufrió un ataque que obligó a cancelar miles de consultas y operaciones. En 2024, un hospital universitario alemán tuvo que desviar ambulancias a otros centros durante días.
El ransomware no es un problema de grandes tecnológicas. Es el arma de extorsión más efectiva que existe hoy y afecta a hospitales, ayuntamientos, pymes, despachos de abogados y cualquier organización que dependa de sus datos para funcionar.
Este artículo explica qué es, cómo funciona desde dentro y qué puedes hacer.
Qué es el ransomware
Ransomware es un tipo de malware que cifra los archivos de la víctima y exige un pago — normalmente en criptomonedas — a cambio de la clave de descifrado.
La palabra viene del inglés ransom (rescate) y software. El concepto es simple: el atacante toma tus datos como rehenes. Tú no puedes acceder a ellos hasta que pagues o recuperes de otra forma.
Lo que no es simple es la industria que hay detrás.
Una historia rápida: de disquete a industria multimillonaria
El primer ransomware documentado se distribuyó en 1989 en disquetes. Lo creó el biólogo Joseph Popp y lo llamó «AIDS Trojan» (Troyano del SIDA). Lo envió por correo postal a 20.000 investigadores de una conferencia de la OMS. El disquete cifraba los nombres de los archivos y pedía 189 dólares. Popp fue arrestado. El cifrado era tan débil que herramientas gratuitas lo revertían.
Pasaron casi dos décadas hasta que el ransomware volvió a ser relevante. La diferencia fue Bitcoin, que apareció en 2009 y resolvió el problema de cobrar el rescate de forma anónima.
En 2013 apareció CryptoLocker, el primero en usar cifrado real (RSA-2048) y Bitcoin. Infectó más de 250.000 sistemas y recaudó más de 3 millones de dólares en cuatro meses.
En 2017 llegó el momento que cambió todo: WannaCry. En un solo día infectó más de 200.000 sistemas en 150 países, incluido el Servicio Nacional de Salud del Reino Unido. Explotaba una vulnerabilidad de Windows llamada EternalBlue, desarrollada por la NSA y filtrada por un grupo hacker. El coste global estimado superó los 4.000 millones de dólares.
Ese mismo año llegó NotPetya, atribuido al servicio de inteligencia militar ruso GRU. Técnicamente era ransomware, pero no tenía mecanismo real de descifrado — era un wiper disfrazado, diseñado para destruir, no para extorsionar. Causó más de 10.000 millones de dólares en daños globales.
A partir de 2019 el modelo evolucionó al que domina hoy: el Ransomware-as-a-Service (RaaS).
Cómo funciona el ransomware moderno: paso a paso
Un ataque de ransomware moderno no es un archivo adjunto que llegas a abrir y en un segundo todo desaparece. Es un proceso que a veces dura semanas antes de que veas el primer síntoma.
Fase 1: Acceso inicial
El atacante necesita entrar. Los vectores más comunes son:
- Phishing: un email con un adjunto malicioso o un enlace a una página falsa que instala un loader o roba credenciales.
- Credenciales robadas: compradas a brokers de acceso inicial que venden accesos a redes ya comprometidas. Muchas vienen de infostealers — malware que roba contraseñas guardadas en el navegador.
- RDP expuesto: escritorio remoto de Windows accesible desde internet con contraseña débil o credenciales filtradas. Uno de los vectores más frecuentes en pymes.
- Vulnerabilidades sin parchear: fallos conocidos en VPNs, firewalls, software de administración remota. Si la empresa no actualiza, el atacante entra por la puerta que dejó abierta.
Fase 2: Reconocimiento y movimiento lateral
Una vez dentro, el atacante no actúa de inmediato. Primero explora: qué sistemas hay, qué datos existen, dónde están los backups, quién tiene privilegios de administrador.
Se mueve lateralmente por la red, escalando privilegios hasta llegar a los sistemas críticos. Usa herramientas legítimas del propio sistema operativo para no ser detectado — técnica conocida como Living-off-the-Land (LotL). También abusa de software de administración remota ya instalado: AnyDesk, TeamViewer, ScreenConnect.
Esta fase puede durar días o semanas. Durante ese tiempo, el atacante tiene acceso total a la red y el equipo de seguridad no lo sabe.
Fase 3: Exfiltración de datos
Antes de cifrar, los grupos modernos copian los datos hacia servidores que controlan. Esto es lo que hace posible la doble extorsión: si la víctima tiene backups y no necesita pagar el rescate para recuperar sus archivos, el atacante todavía puede amenazar con publicar la información.
Herramientas usadas: RClone (para sincronizar grandes volúmenes a almacenamiento en la nube), Mega, servidores FTP propios.
Fase 4: Desactivación de defensas
Antes de ejecutar el cifrado, el atacante desactiva o elimina las herramientas de seguridad: antivirus, EDR, agentes de backup. Herramientas específicas como EDRSandBlast o KillAV están diseñadas para esto. También intenta eliminar las instantáneas de volumen (Volume Shadow Copies) de Windows, que son copias de seguridad locales que permiten restaurar archivos.
Fase 5: Cifrado
El ransomware cifra los archivos usando algoritmos robustos — AES-256 para el cifrado masivo de archivos, RSA-2048 o más para cifrar la clave AES. Sin la clave privada del atacante, el descifrado es computacionalmente imposible.
El proceso puede ser rápido (minutos para una red pequeña) o gradual (horas para grandes volúmenes). Algunos grupos priorizan los archivos más importantes primero para garantizar el impacto antes de que el sistema sea detectado.
Fase 6: Nota de rescate
Cuando termina, aparece la nota de rescate en el escritorio, como fondo de pantalla, en cada directorio cifrado. Incluye instrucciones para contactar con los atacantes, normalmente a través de un portal .onion en la dark web o por email en servicios anónimos.
El rescate tiene una cuenta atrás. Si no pagas en X días, el precio sube. Si tampoco pagas entonces, publican los datos.
Los tipos de ransomware
Crypto ransomware: cifra archivos. El más común. Sin la clave, los archivos son ilegibles.
Locker ransomware: bloquea el acceso al sistema operativo completo. No cifra archivos, pero el usuario no puede usar el equipo. Más fácil de combatir — a veces basta con arrancar desde un medio externo.
Ransomware-as-a-Service (RaaS): modelo de negocio en que los desarrolladores del ransomware alquilan su infraestructura a afiliados. Los afiliados ejecutan el ataque y se llevan entre el 70% y el 80% del rescate. El grupo de desarrollo se queda el resto sin asumir el riesgo directo.
Wiper disfrazado: técnicamente parece ransomware pero no hay mecanismo real de recuperación. El objetivo es destruir, no extorsionar. NotPetya y WhisperGate son ejemplos. Normalmente de origen estatal.
Doble extorsión: cifrado + amenaza de publicar los datos robados. Modelo dominante desde 2019.
Triple extorsión: añade presión sobre terceros — clientes, socios, reguladores — para multiplicar el impacto y acelerar el pago.
El modelo RaaS: por qué el ransomware no para de crecer
El Ransomware-as-a-Service es la razón por la que el problema escala sin freno. Ha industrializado el cibercrimen.
Antes, para hacer ransomware necesitabas saber programar, saber cifrar, saber manejar infraestructura, saber cobrar de forma anónima. Ahora puedes ser un afiliado de un grupo como LockBit, ALPHV/BlackCat o MEDUSA con conocimientos técnicos modestos. El grupo te da el malware, el panel de administración, el sitio de filtraciones, el soporte técnico y el sistema de cobro. Tú pones el acceso a la red de la víctima.
Tiene panel de administración, soporte 24/7, acuerdos de nivel de servicio, programa de afiliados con comisiones. Es una empresa, con la diferencia de que el producto es la extorsión.
Los grupos más activos en 2024-2025: LockBit (desmantelado parcialmente por Europol en febrero de 2024, pero resurgió), ALPHV/BlackCat (desapareció tras robar el pago del rescate a sus propios afiliados en el ataque a Change Healthcare), RansomHub, MEDUSA, Play, Akira.
Los números que explican por qué no para
- 2023: más de 1.000 millones de dólares en rescates pagados (Chainalysis). Primer año que supera esa cifra.
- Q1 2025: 2.289 incidentes de ransomware documentados, un 126% más que Q1 2024.
- Rescate medio en ataques a empresas: entre 500.000 y 2 millones de dólares en los grupos grandes.
- Tiempo medio de detección: en muchos casos, el atacante lleva semanas en la red antes de ejecutar el ransomware.
- 31% de las víctimas de los grupos RaaS más activos tenían credenciales previas robadas por infostealers antes del ataque.
El crecimiento se explica por tres factores: el modelo RaaS que reduce la barrera de entrada, las criptomonedas que facilitan el cobro anónimo y la persistente falta de higiene básica de seguridad en muchas organizaciones.
Por qué las empresas pagan
La pregunta que todo el mundo se hace: ¿por qué se paga si dicen que no hay que pagar?
Porque a veces no hay alternativa real. Si los backups también fueron cifrados, si no existe copia offline, si la operación depende de esos datos para funcionar hoy — pagar puede ser la única forma de recuperar la actividad en un plazo razonable. Un hospital que no puede acceder a los historiales clínicos no puede esperar semanas.
Pagar no garantiza la recuperación. Los grupos serios suelen entregar la clave — depende de su reputación para seguir cobrando. Pero hay casos en que la clave no funciona, o los datos ya han sido publicados igualmente, o el atacante vuelve meses después sabiendo que ya pagaste una vez.
El FBI y la CISA recomiendan no pagar. La realidad es que muchas organizaciones, cuando están en la situación, no tienen otra opción. La solución no es en el momento del ataque — es antes.
Cómo protegerse: lo que funciona de verdad
Backups offline verificados. El backup que salva la situación es el que está desconectado de la red y ha sido restaurado al menos una vez para comprobar que funciona. Si el backup está conectado, el ransomware lo cifra también.
Parcheo sistemático. La mayoría de accesos iniciales explotan vulnerabilidades conocidas. El CVE existe, el parche existe, la organización no lo ha aplicado. El tiempo entre la publicación de un parche y su explotación masiva se mide en días.
Control de RDP y acceso remoto. Si tienes escritorio remoto expuesto a internet, estás a un ataque de fuerza bruta de distancia de un ransomware. RDP detrás de VPN, con autenticación multifactor, o desactivado si no es necesario.
Autenticación multifactor. En correo, en acceso remoto, en sistemas críticos. Las credenciales robadas son el vector de entrada más frecuente. Con MFA, una contraseña comprometida no es suficiente para entrar.
Segmentación de red. Si un equipo se infecta, que no pueda llegar al servidor de backups, al controlador de dominio y a todos los sistemas de archivos en la misma sesión. La segmentación limita el movimiento lateral.
Monitorización de herramientas legítimas. RClone ejecutándose en un servidor de archivos a las 3 de la mañana es una señal de alerta. Mimikatz ejecutándose en cualquier equipo es una señal de alerta. Un buen sistema de detección y respuesta (EDR/SIEM) con reglas actualizadas debería alertar de estos comportamientos antes de que llegue el cifrado.
Formación. El phishing sigue siendo uno de los vectores de entrada más frecuentes. Un usuario que sabe reconocer un email sospechoso es una capa de defensa real.
Qué hacer si te atacan
No apagues los sistemas inmediatamente. Contraintuitivo, pero apagar puede destruir evidencias en memoria que permitirían entender el ataque. Desconecta de la red, pero no apagues.
Aísla los sistemas afectados. Desconecta los equipos infectados de la red para evitar que el cifrado se propague a otros sistemas.
Llama a un equipo de respuesta a incidentes. No intentes gestionar un ransomware activo sin experiencia. El INCIBE-CERT (017) tiene un servicio de respuesta a incidentes para empresas españolas.
No pagues de inmediato. Tómate tiempo para evaluar. ¿Tienes backups limpios? ¿Cuánto tiempo llevan los atacantes en la red? ¿Qué datos han exfiltrado? La decisión de pagar o no es compleja y merece análisis, no pánico.
Denuncia. A la Guardia Civil (Grupo de Delitos Telemáticos) o a la Policía Nacional (UDEF). Más allá de la investigación, los IOCs que aportes pueden ayudar a proteger a otras organizaciones.
Comunica con transparencia. Si hay datos de clientes o empleados afectados, puede haber obligación legal de notificar a la AEPD en un plazo de 72 horas (RGPD). Ignorarlo añade un problema legal al problema técnico.
El ransomware no va a desaparecer. El modelo de negocio es demasiado rentable y la infraestructura que lo soporta es demasiado resiliente. Lo que cambia es la capacidad de cada organización de resistir el impacto.
La diferencia entre la empresa que paga millones y la que recupera sus sistemas en horas no suele ser la sofisticación del ataque. Suele ser si tenía backups offline que funcionaban.
Te dejo un enlace a mi newsletter, El Hurón del Hack, que hablo sobre ransomware.
https://huronhack.substack.com/p/21-ransomware-el-negocio-de-cifrar
