¿Qué Es el Ransomware? Guía para Principiantes para Entender y Prevenir Ataques

Imagina que enciendes tu computadora y encuentras un mensaje en rojo en la pantalla: “Tus archivos han sido cifrados. Para recuperar el acceso, debes pagar el rescate.” Tus documentos, fotos y registros del negocio siguen ahí, pero no puedes abrir ninguno. Un contador regresivo dice que el precio subirá si esperas.

Eso es el ransomware, y es una de las amenazas cibernéticas más dañinas de hoy. Afecta a personas, pequeños negocios, hospitales, escuelas y gobiernos locales, y un solo ataque puede paralizar a una organización durante días o semanas.

La buena noticia es que la mayoría de los ataques de ransomware aprovechan las mismas pocas debilidades, y puedes cerrar casi todas con hábitos sencillos. En esta guía vas a aprender qué es el ransomware, cómo ocurren los ataques, cómo han sido algunos ataques reales, cómo protegerte y qué hacer si algún día te pasa.

¿Qué Es el Ransomware?

El ransomware (o “secuestro de datos”) es un tipo de software malicioso (malware) que te impide acceder a tus archivos o sistemas y exige un pago, el “rescate”, para devolverte el acceso. (Para conocer la familia más amplia de amenazas a la que pertenece, consulta ¿Qué Es el Malware?.)

La mayoría del ransomware funciona cifrando tus archivos: los revuelve con una clave secreta para que no se puedan abrir. Solo los atacantes tienen la clave para descifrarlos, y prometen entregarla cuando pagues, normalmente con una criptomoneda como Bitcoin, que es más difícil de rastrear.

Hay algunos tipos principales:

Ransomware como Servicio

El ransomware se ha convertido en un negocio. En el Ransomware como Servicio (RaaS), un grupo criminal desarrolla el ransomware y lo “renta” a otros, llamados afiliados, que llevan a cabo los ataques y reparten los pagos con los desarrolladores. Esto significa que los atacantes ya no necesitan muchos conocimientos técnicos, y es una de las razones por las que los ataques son tan comunes.

Cómo Funciona un Ataque de Ransomware

La mayoría de los ataques siguen los mismos pasos básicos:

1. Entrar. Los atacantes encuentran una forma de entrar a una computadora o a una red (más detalles abajo).
2. Propagarse. Una vez dentro, muchas veces esperan en silencio, a veces durante días o semanas, mientras exploran la red, roban contraseñas y llegan a la mayor cantidad posible de computadoras y servidores.
3. Robar datos. En los ataques de doble extorsión, copian archivos sensibles a sus propios servidores.
4. Destruir los respaldos. Buscan los respaldos conectados a la red y los borran o los cifran, para que no puedas simplemente restaurar tus archivos.
5. Cifrar. Ejecutan el ransomware, muchas veces de noche o en fin de semana, cuando menos personas están vigilando, y cifran todo lo que pueden alcanzar.
6. Exigir el pago. Aparece una nota de rescate con instrucciones de pago y una fecha límite.

Cómo Entra el Ransomware

Los atacantes normalmente no entran con trucos de película. Usan unas cuantas puertas comunes:

• Correos de phishing. Un mensaje que parece venir de un banco, una empresa de paquetería o un compañero de trabajo, con un archivo adjunto malicioso o un enlace a una página de inicio de sesión falsa. Es una de las formas de entrada más comunes.
• Contraseñas robadas o débiles. Contraseñas reutilizadas de otro sitio web que fue hackeado, o adivinadas porque son sencillas, sobre todo en herramientas de acceso remoto, VPN y cuentas de correo sin autenticación de dos factores.
• Software sin actualizar. Fallas de seguridad conocidas en sistemas operativos, VPN, firewalls y sitios web que no se han actualizado. (Consulta WordPress Bajo Ataque para ver cómo pasa esto en los sitios web.)
• Acceso remoto expuesto. Escritorio remoto (RDP) y servicios parecidos abiertos a internet, donde los atacantes pueden probar contraseñas a toda hora.
• Descargas maliciosas. Software pirata, actualizaciones falsas y archivos infectados de sitios web poco confiables.
• Dispositivos comprometidos. Una sola laptop infectada puede ser la puerta de entrada a toda una organización. (Consulta Seguridad de los Dispositivos de los Empleados.)

Ejemplos Reales

Estos ataques conocidos muestran cómo funciona el ransomware en la práctica, y cómo medidas de seguridad básicas podrían haberlo detenido.

WannaCry (2017)

En mayo de 2017, WannaCry se propagó por todo el mundo en cuestión de días e infectó cientos de miles de computadoras en unos 150 países. Uno de los más afectados fue el Servicio Nacional de Salud del Reino Unido, donde algunos hospitales tuvieron que cancelar citas y rechazar pacientes. WannaCry se propagaba solo a través de una falla en la función para compartir archivos de Windows, y esta es la lección clave: Microsoft había publicado la corrección dos meses antes. Las computadoras que habían instalado sus actualizaciones estaban protegidas.

Colonial Pipeline (2021)

En mayo de 2021, un ataque de ransomware llevó a Colonial Pipeline, que transporta una gran parte del combustible que se usa en la costa este de Estados Unidos, a detener su oleoducto durante varios días, lo que provocó escasez de combustible y compras de pánico. La empresa pagó un rescate de unos 4.4 millones de dólares en Bitcoin; más tarde, el Departamento de Justicia de Estados Unidos recuperó una parte. Los investigadores informaron que los atacantes entraron usando una sola contraseña comprometida de una cuenta de VPN antigua que no tenía autenticación de dos factores.

Change Healthcare (2024)

En febrero de 2024, un ataque de ransomware contra Change Healthcare, que procesa reclamaciones de seguros y recetas para una gran parte del sistema de salud de Estados Unidos, afectó durante semanas a farmacias y consultorios médicos de todo el país. Se convirtió en una de las mayores filtraciones de datos de salud en la historia de Estados Unidos. Una vez más, la empresa informó que los atacantes usaron credenciales robadas en un sistema de acceso remoto que no tenía autenticación de dos factores.

Ransomware Fog (2024)

Fog es una amenaza de ransomware activa que apareció alrededor de mayo de 2024, cuando investigadores de seguridad de Arctic Wolf empezaron a investigar ataques contra organizaciones de Estados Unidos, principalmente del sector educativo, además de algunos negocios de recreación. A los archivos que cifra Fog se les agrega una nueva terminación al nombre, normalmente .fog o .flocked (así, reporte.docx se convierte en reporte.docx.flocked), y en las carpetas afectadas aparece una nota de rescate llamada readme.txt.

La forma de entrar era conocida: los atacantes iniciaban sesión en las VPN de las víctimas con credenciales comprometidas. Una vez dentro, desactivaban las herramientas de seguridad y borraban los respaldos y las “instantáneas” (shadow copies) de Windows antes de cifrar los archivos, para que las víctimas no pudieran restaurarlos fácilmente. Si alguna vez ves archivos con estas terminaciones, desconecta el dispositivo y sigue los pasos de Qué Hacer si Te Ataca un Ransomware.

El Patrón

Fíjate en lo que tienen en común estos ataques: una actualización que faltaba o una contraseña sin autenticación de dos factores. Los ataques más dañinos muchas veces empiezan por los descuidos más básicos. Y como muestran los ataques de Fog, las escuelas y los distritos escolares son blancos frecuentes, con datos sensibles de los estudiantes en juego. (Consulta Privacidad de Datos en K-12.)

Cómo Protegerte: Consejos de Prevención

1. Respalda tus Datos (de la Forma Correcta)

Los respaldos son tu mejor defensa para no perder tus archivos. Sigue la regla 3-2-1:

• Ten 3 copias de tus datos importantes,
• en 2 tipos de almacenamiento distintos (por ejemplo, tu computadora y un disco externo),
• con 1 copia desconectada o fuera de tu casa u oficina (sin conexión a tu red, o en un servicio en la nube que guarde versiones anteriores).

La copia desconectada es importante porque el ransomware cifra todo lo que puede alcanzar, incluido un disco de respaldo que siempre está conectado. Y prueba tus respaldos: un respaldo que nunca has restaurado es un respaldo con el que no puedes contar.

2. Mantén tu Software Actualizado

Activa las actualizaciones automáticas de tu sistema operativo, tu navegador y tus aplicaciones. En los negocios, da prioridad a todo lo que está expuesto a internet: VPN, firewalls, servidores de correo y sitios web. Como mostró WannaCry, muchos ataques aprovechan fallas de seguridad que ya tienen corrección.

3. Usa Contraseñas Seguras y Autenticación de Dos Factores

• Usa una contraseña larga y única para cada cuenta, y deja que un administrador de contraseñas las recuerde por ti.
• Activa la autenticación de dos factores (2FA) en todas las cuentas que puedas, sobre todo el correo, el banco, el acceso remoto y las cuentas de administrador. Habría detenido en la puerta los ataques a Colonial Pipeline y a Change Healthcare. (Consulta ¿Qué Es la Autenticación de Dos Factores?.)

4. Ten Cuidado con los Correos y los Enlaces

• Desconfía de los archivos adjuntos y enlaces inesperados, incluso de personas que conoces. Sus cuentas pueden estar hackeadas.
• Fíjate en los mensajes urgentes ("¡Tu cuenta se cerrará hoy!"), las direcciones de remitente con errores y las solicitudes de contraseñas o pagos.
• Si tienes dudas, comunícate con el remitente por otro medio, como una llamada, antes de hacer clic.

5. Limita los Accesos

• Usa una cuenta de usuario estándar para el trabajo diario, no una cuenta de administrador. El ransomware que se ejecuta con menos permisos puede hacer menos daño.
• En un negocio, dale a cada persona acceso solo a lo que su trabajo requiere y no dejes el Escritorio remoto abierto a internet. Pon el acceso remoto detrás de una VPN con autenticación de dos factores. (Para un acceso remoto seguro, consulta ¿Qué Es SSH?.)

6. Usa Software de Seguridad

Mantén activada la protección integrada de tu computadora (como Microsoft Defender en Windows) y considera una suite de seguridad confiable. En Windows, revisa también el Acceso controlado a carpetas, una función de protección contra ransomware de Seguridad de Windows que impide que aplicaciones no confiables modifiquen los archivos de tus carpetas protegidas.

7. Capacita a Todos y Ten un Plan

En los negocios, las personas son el mayor riesgo y también la mejor defensa. Enseña a los empleados a reconocer el phishing y a reportar de inmediato cualquier cosa sospechosa, sin culpas. Y escribe un plan de respuesta a incidentes antes de necesitarlo: a quién llamar, cómo desconectar los sistemas y dónde están tus respaldos. (Para una base más amplia, consulta Fundamentos de Ciberseguridad: Guía Completa.)

Qué Hacer si Te Ataca un Ransomware

Si ves una nota de rescate o de repente tus archivos no se abren, mantén la calma y actúa rápido:

1. Desconéctate de inmediato. Desconecta el cable de red y apaga el Wi-Fi del dispositivo afectado para que el ransomware no se siga propagando. Desconecta también los discos externos.
2. Si puedes, no lo apagues. Dejar el dispositivo encendido (pero desconectado) puede conservar evidencia que ayuda a los investigadores y, a veces, a la recuperación.
3. Toma fotos de la nota de rescate y de cualquier otra cosa que aparezca en la pantalla.
4. Avisa a las personas indicadas. En el trabajo, comunícate de inmediato con tu equipo de TI o con tu jefe. Los negocios también deben avisar a su aseguradora de riesgos cibernéticos, si tienen una, y a un equipo profesional de respuesta a incidentes.
5. Repórtalo. En Estados Unidos, reporta el ataque al Centro de Denuncias de Delitos por Internet del FBI en ic3.gov y a CISA en cisa.gov/report. Reportarlo ayuda a las autoridades a rastrear a los atacantes y, a veces, a recuperar pagos o claves. Otros países tienen sus propias agencias nacionales de ciberseguridad.
6. Busca un descifrador gratuito. El proyecto No More Ransom, dirigido por autoridades policiales y empresas de seguridad, ofrece herramientas de descifrado gratuitas para muchas familias de ransomware. También puede ayudarte a identificar qué ransomware tienes.
7. Restaura desde respaldos limpios, pero solo después de eliminar la infección. Si no, podrías restaurar tus archivos en un sistema infectado y volver a perderlos.
8. Cambia tus contraseñas desde un dispositivo limpio, empezando por el correo y las cuentas que usabas en la computadora infectada.

¿Deberías Pagar el Rescate?

Agencias de Estados Unidos como CISA y el FBI desaconsejan firmemente pagar, y por buenas razones:

• No hay garantía. Estás confiando en criminales. La clave de descifrado puede no funcionar, o recuperar solo algunos archivos.
• Tus datos igual podrían filtrarse. Pagar no garantiza que borren los datos robados.
• Podrías volver a ser un blanco. Pagar te marca como alguien que paga.
• Financia más ataques. Cada pago financia el siguiente ataque contra otra persona.
• Podría ser ilegal. Pagarles a ciertos grupos sancionados puede violar la ley.

Al final, es una decisión de cada víctima, idealmente tomada con asesoría legal y con las autoridades. Pero la mejor forma de no tener que enfrentar esa decisión es tener buenos respaldos desconectados.

Lista Rápida

• ✅ Respalda tus archivos importantes con la regla 3-2-1 y prueba restaurarlos.
• ✅ Activa las actualizaciones automáticas.
• ✅ Usa un administrador de contraseñas y contraseñas únicas.
• ✅ Activa la autenticación de dos factores, sobre todo en el correo y el acceso remoto.
• ✅ Piensa antes de hacer clic en enlaces y archivos adjuntos.
• ✅ Usa una cuenta de usuario estándar para el trabajo diario.
• ✅ Mantén activado tu software de seguridad.
• ✅ Ten claro qué harás, y a quién llamarás, si ocurre un ataque.

Conclusión

El ransomware da miedo porque puede quitarte en un instante el acceso a todo lo que necesitas. Pero no es magia. La mayoría de los ataques entran por las mismas pocas puertas: correos de phishing, contraseñas débiles o robadas y software desactualizado. Cierra esas puertas con actualizaciones, contraseñas seguras y autenticación de dos factores, y mantén respaldos desconectados para que, aunque algo logre entrar, puedas recuperarte sin pagar.

Los pequeños pasos de verdad suman una gran protección. Empieza hoy con un punto de la lista, como activar la autenticación de dos factores en tu correo, y avanza desde ahí. (¿Proteges datos de clientes o de tu empresa? Consulta ¿Qué Es la Privacidad de Datos? Guía para Proteger la Información Empresarial.)