Qué es el ransomware Cómo desarrollar resiliencia

Cuando se conoció en agosto de 2025 que investigadores de ciberseguridad habían descubierto una prueba de concepto de ransomware impulsado por IA, a la que denominaron PromptLock, pocos expertos se sorprendieron. Los delincuentes llevan tiempo usando IA para hacer que su código sea más sigiloso y sus correos electrónicos de suplantación de identidad más realistas. Y el ransomware es rentable para los ciberdelincuentes: el informe sobre delitos en Internet del FBI estima que generó 12,47 millones de dólares en pérdidas reportadas en 2024, y las demandas de pago multimillonarias son cada vez más comunes.

Pero PromptLock supone un nuevo frente en esta guerra. Su uso de un LLM para generar nuevas versiones de código malicioso sobre la marcha, en lugar de utilizar scripts predefinidos, dificulta mucho más que el software de seguridad del que dependen la mayoría de las empresas bloquee los ataques de ransomware, según descubrieron los investigadores de ESET. Según ESET, PromptLock también utiliza IA para decidir qué archivos buscar, copiar o cifrar, lo que podría permitir a los atacantes centrarse en los datos más valiosos y bloquearlos o copiarlos rápidamente antes de que los defensores puedan responder.

Qué es el ransomware

El ransomware es un tipo de malware, o software malicioso, que cifra archivos o bloquea un dispositivo, y sus creadores exigen el pago de un rescate a cambio de una clave de descifrado o un código de desbloqueo. El código de ransomware suele infiltrarse en una organización cuando alguien hace clic en un enlace y sigue las instrucciones de un correo electrónico de suplantación de identidad o descarga e instala software infectado, pero existen otras vías. Una vez que un sistema se infecta, el ransomware comienza rápidamente a cifrar archivos, a menudo con un algoritmo de cifrado sólido que dificulta o imposibilita que los equipos de TI restauren el acceso a los datos. El malware puede entonces hacer que aparezca una demanda de rescate, normalmente con un temporizador de cuenta atrás, que exige dinero a cambio de la clave de descifrado. A menudo se solicita el pago en criptomonedas para dificultar que las fuerzas del orden rastreen a los atacantes.

Pagar el rescate no garantiza la recuperación del acceso a los archivos cifrados, y el malware puede propagarse a las copias de seguridad. Incluso puede permanecer latente y activarse para ejecutarse más tarde, por lo que se requiere una limpieza exhaustiva tras un ataque exitoso. En algunos casos, los atacantes amenazan con divulgar públicamente o destruir los datos si no se paga el rescate. El ransomware puede tener consecuencias graves más allá de la pérdida de datos y las pérdidas financieras, como daños a la reputación y lesiones o muertes si interrumpe las operaciones de objetivos como un hospital o una empresa de servicios públicos.

Conclusiones clave

• Los atacantes utilizan cada vez más la IA para hacer que su malware sea más adaptable y efectivo.
• El ransomware está disponible mediante suscripción o reparto de beneficios, donde los desarrolladores ofrecen su software malicioso a otros delincuentes, a menudo llamados "afiliados", quienes luego lo utilizan para ganar dinero.
• Los proveedores de salud, las empresas financieras y los municipios son objetivos frecuentes del ransomware.

El ransomware en detalle

El objetivo principal del ransomware es extorsionar a personas u organizaciones, y la venta de datos robados constituye una fuente de ingresos adicional. Una vez instalado, el software malicioso bloquea un dispositivo o cifra datos, lo que impide el acceso. A continuación, los ciberdelincuentes exigen un rescate, normalmente en criptomonedas, a cambio del código o la clave de descifrado para deshacer el daño.

El ransomware puede ser devastador y, por lo general, se propaga a través de correos electrónicos de suplantación de identidad, software infectado, vulnerabilidades en sistemas operativos o aplicaciones, o lo que se conoce como "descargas no autorizada". Esto ocurre cuando un dispositivo contrae malware simplemente al visitar un sitio web infectado con código malicioso. Los atacantes pueden proporcionar o no una clave de descifrado o desbloqueo a cambio de un rescate, según el FBI. Pagar tampoco impide que los datos se vendan o se filtren, y además incentiva a los actores criminales.

Muchas organizaciones trabajan arduamente para protegerse contra el ransomware, pero es una tarea difícil, especialmente cuando muchos archivos se almacenan en redes locales, donde pueden cifrarse con una rapidez increíble. Los servicios de productividad en la nube suelen conservar varias versiones de los archivos. Además, las plataformas en la nube cuentan con controles sofisticados de seguridad y acceso que pueden ser más difíciles de eludir para el ransomware que una cuenta de usuario local estándar.

Y ahora, los delincuentes están utilizando la IA para hacer que sus ataques sean más eficaces.

¿Cómo funciona el ransomware?

El ransomware funciona insertando código malicioso en un sistema y luego bloqueando hardware o archivos de datos de una manera difícil o imposible de revertir. Una vez que el ransomware está instalado, el atacante exige un pago a cambio de una clave de descifrado o desbloqueo.

Aunque para la víctima un ataque de ransomware exitoso parece producirse a la velocidad del rayo, se trata de un proceso de varios pasos cuidadosamente orquestado que comienza con la introducción de código malicioso en el sistema. Eso permite al atacante realizar un reconocimiento interno para identificar dónde residen los datos y las copias de seguridad. Una vez que se ejecuta el código, desencadena sofisticados algoritmos de cifrado diseñados para bloquear los datos o un dispositivo y deshabilitar las opciones de recuperación, como las copias de seguridad y los puntos de restauración del sistema.

El proceso de pago del rescate está diseñado para frustrar los esfuerzos de las fuerzas del orden por rastrear a los ciberdelincuentes y recuperar los fondos. La negociación y la comunicación se llevan a cabo a través de una red que oculta la ubicación y la identidad del atacante. Si la víctima paga, generalmente con criptomonedas, el atacante puede proporcionar la clave privada necesaria para descifrar o desbloquear. Sin embargo, esto está lejos de estar garantizado, e incluso un descifrado exitoso puede ser solo el comienzo de un proceso largo y complejo que, a menudo, aún deriva en la pérdida de datos. El atacante también puede dejar otro malware o puertas traseras para futuros ataques, por lo que la limpieza tras un ataque exitoso es un proceso difícil que exige conocimientos profundos de seguridad.

Tipos de ataques de ransomware

Muchos de nosotros recordamos el ataque global de ransomware WannaCry de 2017, que afectó a más de 200 000 dispositivos en más de 150 países en cuestión de días. Como uno de los ciberataques más extendidos y devastadores de la historia, ocupó portadas —o abrió boletines informativos— en medios de todo el mundo. WannaCry fue un ransomware autorreplicante, también conocido como gusano, que explotó una vulnerabilidad en sistemas Windows sin parchear para cifrar archivos. Los atacantes exigieron un rescate en Bitcoin para restaurar el acceso. Si bien WannaCry sirvió como llamada de atención sobre la necesidad de aplicar parches a los sistemas y priorizar la ciberseguridad, el avance del desarrollo de ransomware no se desaceleró. Estos son algunos tipos comunes de ataques.

• Ransomware criptográfico: este tipo común de ransomware cifra los archivos del dispositivo o la red de la víctima, lo que hace que no se pueda acceder a los datos. El atacante exige el pago de un rescate en criptomonedas a cambio de la clave de descifrado. La variante de cifrado es en lo que piensa la mayoría de las personas cuando oye "ransomware".
• Ransomware de bloqueo: como se puede deducir por el nombre, este tipo de ransomware bloquea los dispositivos, lo que impide a los propietarios acceder a sus archivos o usar sus computadoras o teléfonos. El atacante exige un rescate para desbloquear el dispositivo.
• Scareware: este tipo de ransomware muestra una alerta o un mensaje de advertencia falsos, que afirman proceder de una organización legítima, como una agencia de aplicación de la ley o una importante empresa de tecnología o seguridad. El mensaje exige un rescate para solucionar un problema inexistente.
• Doxware: también conocido como leakware, este tipo de ransomware amenaza con publicar información confidencial sobre la víctima, como correos electrónicos o mensajes de texto personales, fotos o información empresarial confidencial, a menos que se pague un rescate. El doxware implica cierto nivel de sofisticación, ya que el atacante debe discernir por qué archivos o fotos vale la pena pagar para mantener su confidencialidad.
• Ransomware como servicio o RaaS: el modelo de negocio como servicio no es solo para empresas o suites de productividad. El ransomware está disponible mediante suscripción o reparto de beneficios, donde los desarrolladores ofrecen su software malicioso a otros delincuentes, a menudo llamados "afiliados", quienes luego lo utilizan para ganar dinero. Los desarrolladores de ransomware pueden ofrecer una plataforma fácil de usar, muy similar a una empresa SaaS legítima, con soporte al cliente, instrucciones y actualizaciones periódicas del código para mantenerse por delante del software de seguridad.
• Ransomware dirigido: los ciberdelincuentes pueden seleccionar y centrarse en organizaciones o personas, en lugar de propagar ransomware de forma amplia e indiscriminada. Estos ataques suelen estar bien investigados y planificados estratégicamente, a menudo con el objetivo de obtener pagos de rescate más elevados de organizaciones que se perciben con mayor capacidad y urgencia para pagar, como grandes empresas, organizaciones sanitarias, instituciones educativas y entidades gubernamentales.
• Ransomware móvil: si bien la mayoría de nosotros considera que las PC son los puntos de entrada del malware, los smartphones y las tablets también son vulnerables a los ataques. Con el ransomware de bloqueo de pantalla, el dispositivo queda inutilizado y se exige un pago a cambio de restaurar el acceso. El ransomware basado en cifrado también puede infectar dispositivos móviles. Los vectores de ataque son los mismos que en las PC: aplicaciones maliciosas, sitios web infectados y ataques de suplantación de identidad por SMS o correo electrónico.

Estos son los siete tipos más comunes de ataques de ransomware.

¿Cómo afecta el ransomware a las empresas?

Cuanto más depende una organización de los datos, más devastador puede ser un ataque de ransomware. El tristemente célebre ataque WannaCry de 2017 obligó a hospitales a derivar pacientes de urgencia a otros centros, dejó a FedEx con dificultades para operar a nivel global e incluso paralizó el transporte público en algunas ciudades. Según expertos, a nivel mundial, los daños causados solo por WannaCry superaron los 4000 millones de dólares.

Las implicaciones financieras siguen siendo altas. En su informe de 2025, "State of Ransomware" (PDF), el proveedor de ciberseguridad Sophos indicó que el rescate medio fue de un millón de dólares para las organizaciones que optaron por pagarlo. Pero eso es solo el comienzo: el costo promedio de recuperarse de un ataque de ransomware, sin incluir ningún rescate pagado, es de 1,53 millones de dólares por ataque. Esos costos provienen de varios factores, incluidos los siguientes:

• Pérdida de datos: el ransomware suele atacar los datos principales y las copias de seguridad. Pagar el rescate no garantiza que recuperes tus datos, por lo que es extremadamente común perder al menos parte de la información crítica: listas de clientes, registros financieros, diseños de productos, etc. Este riesgo es mucho menor cuando las empresas cuentan con copias de seguridad sólidas, sin conexión o inmutables, que suelen ofrecer los principales proveedores de servicios en la nube. Los sistemas SaaS basados en la nube tienen aún menos probabilidades de experimentar pérdida de datos, ya que las copias de seguridad automatizadas frecuentes son la norma y los datos se distribuyen entre varios centros de datos separados geográficamente.
• Caída de la motivación de los empleados y tiempo de inactividad: los ciberataques pueden causar interrupciones sustanciales. Cuando el ransomware cifra archivos esenciales, los empleados no pueden acceder a los datos que necesitan para realizar su trabajo o atender a los clientes.
  
  La recuperación suele implicar determinar qué sistemas se vieron afectados, identificar qué se cifró, restaurar los datos desde copias de seguridad si es posible y eliminar cualquier malware restante. Todo esto puede llevar tiempo y ralentizar las operaciones. Si queda claro cómo ocurrió el ataque (por ejemplo, si alguien hizo clic en un correo electrónico de suplantación de identidad), puede aprovecharse como una oportunidad de aprendizaje para ayudar a reforzar la concienciación de todos en materia de seguridad. Aun así, puede resultar bastante estresante para el empleado implicado, aunque la mayoría de las organizaciones evitan tomar medidas disciplinarias a menos que exista evidencia clara de una falta grave.
• Pérdidas financieras: los costos directos de hacer frente al ransomware son bastante fáciles de identificar: contratar expertos, restaurar sistemas y, posiblemente, pagar rescates y gestionar demandas. Pero también hay costos menos evidentes. Las empresas pueden perder clientes, incumplir obligaciones contractuales, experimentar retrasos en la cadena de suministro y enfrentarse a daños a su reputación o multas regulatorias. Incluso unas pocas horas de inactividad pueden resultar costosas; un incidente de varios días o semanas puede ser catastrófico. En 2024, un ataque de ransomware a un procesador de reclamaciones de atención médica interrumpió recetas, reclamaciones y pagos en todo el país. La empresa terminó pagando un rescate de 22 millones de dólares, y los documentos públicos presentados estimaron el costo total del ataque en 2900 millones de dólares para ese año fiscal.
• Daño a la reputación y a la marca: cuando los atacantes obtienen acceso a archivos confidenciales, pueden publicarlos o venderlos en la dark web. Así, un ataque de ransomware puede dañar gravemente la reputación de una empresa y hacer que pierda la confianza de sus clientes. Las noticias negativas y los comentarios en redes sociales pueden perdurar, afectando la percepción que el público general, así como los partners y los inversores, tienen de la empresa.
• Aspectos legales y de cumplimiento normativo: si el ataque afecta a datos confidenciales o regulados, es probable que surjan problemas legales. Existen normativas estrictas sobre la protección de datos, la respuesta ante incidentes y la notificación rápida a los clientes en caso de filtraciones. No seguir las reglas puede redundar en multas elevadas o demandas, y la mayoría de las organizaciones necesitarán asesoramiento legal especializado para determinar sus próximos pasos.
• Robo de propiedad intelectual: en ocasiones, las bandas de ransomware hacen más que simplemente cifrar archivos; analizan los datos y roban propiedad intelectual. Esto puede dar lugar a esquemas de "doble extorsión", en los que los atacantes amenazan con subastar, publicar o vender secretos comerciales, investigaciones, código de software u otra información confidencial. La pérdida —o incluso la amenaza de pérdida— puede tener efectos devastadores en el negocio y la competitividad.
• Mayores costos de seguridad: la remediación es costosa, al igual que la prevención continua a largo plazo. Tras un ataque, las organizaciones a menudo necesitan invertir en nuevas tecnologías de seguridad, reemplazos de sistemas, servicios de consultoría y formación de empleados, y pueden verse obligadas a pagar primas de ciberseguro más altas.

Cómo afecta el ransomware a las bases de datos

Las vulnerabilidades de seguridad de ransomware dirigidas a bases de datos empresariales han evolucionado del cifrado genérico a nivel de archivos a ataques altamente especializados. En lugar de limitarse a bloquear archivos, los atacantes ahora se centran en la estructura de la base de datos —manipulando logs, archivos de control y tablas de datos— para eludir los procesos de recuperación habituales.

Cada vez más, estos ataques también se dirigen a los sistemas de copia de seguridad. Al destruir conjuntos de copias de seguridad y registros de recuperación, los atacantes pueden dejar a las empresas sin forma de restaurar sus datos; por ejemplo, pueden eliminar la opción de recuperación a un momento dado (PITR). Si los atacantes obtienen el control del almacenamiento subyacente o la capacidad de escribir en él, pueden dañar o cifrar tanto los datos activos como cualquier copia local en espera. Esto crea un desagradable escenario de "doble extorsión" en el que, aunque recuperes tus datos, tu entorno de TI podría estar ocultando puertas traseras o malware, lo que requeriría una auditoría.

Para defenderse de estas amenazas, las empresas necesitan un enfoque de seguridad sólido y por capas, a menudo denominado estrategia de defensa en profundidad, que asume que el perímetro será vulnerado. El referente de excelencia es la capacidad de recuperar un estado limpio mediante un sistema aislado físicamente, lo que garantiza que las copias de seguridad no sean archivos estándar que pueda eliminar un atacante o un administrador del sistema operativo comprometido. La seguridad integral de las bases de datos también implica mucho más que un cifrado sólido. Requiere copias de seguridad inmutables, validación constante de la integridad de la base de datos, separación estricta de funciones y una gestión sólida de claves.

Sectores objetivo del ransomware

Cuanto más depende una organización de los datos, más devastador puede ser el ransomware. La otra cara es que cuanto más depende un sector de los datos, más tentador puede resultar como objetivo para los atacantes. Y cada sector implica riesgos únicos, como requisitos de cumplimiento normativo, confianza pública o incluso la seguridad de pacientes/clientes, que los operadores de ransomware aprovechan para obtener la máxima ventaja.

Los siguientes sectores suelen ser blanco del ransomware:

• Salud: la confidencialidad de los datos financieros y de los pacientes, la necesidad urgente de restaurar las operaciones, sistemas heredados que pueden ser vulnerables y la priorización de la atención al paciente sobre la ciberseguridad pueden ser factores que han contribuido a algunos ataques de ransomware destacados. Además, los delincuentes saben que la prioridad de la vida y la seguridad de los pacientes, así como las normas de cumplimiento HIPAA, pueden limitar la respuesta ante un ataque.
• Finanzas y banca: todos hemos oído el cliché de que los ladrones van donde está el dinero. Las empresas financieras y bancarias gestionan enormes cantidades de datos transaccionales e información de identificación personal con un alto valor monetario. Y, al igual que los proveedores de salud, tienen estrictos requisitos normativos, como la Ley Gramm-Leach-Bliley (GLBA), la Ley Sarbanes-Oxley (SOX) y otras normativas. El riesgo de daño reputacional y pérdida de confianza puede derivar en rescates de alto valor.
• Gobierno y sector público: los municipios suelen cargar con complejos sistemas heredados que contienen repositorios de datos de infraestructura crítica y registros personales confidenciales de los ciudadanos. También existe el riesgo de ataques geopolíticos, en los que organismos nacionales y estatales pueden ser objetivo de actores delictivos de Estados nación. Y, una vez que se filtra la noticia de un ataque, las leyes de libertad de información y divulgación pública pueden provocar daños a la confianza y la reputación.
• Escuelas y universidades: la combinación de presupuestos limitados de ciberseguridad y grandes volúmenes de datos personales valiosos puede convertir al sector educativo en un objetivo. El enorme volumen de puntos finales, muchos de ellos de propiedad personal, y la dificultad para imponer controles de seguridad centralizados pueden incrementar la complejidad para los equipos de seguridad de la información.
• Manufactura, industria, energía y servicios públicos: la tecnología operativa y los sistemas de control industrial complejos, que son objetivos frecuentes de ataques, hacen que la prevención del ransomware sea una prioridad alta para las empresas de manufactura y servicios públicos, así como para los sectores de la energía, el transporte y otros sectores industriales. Los ataques exitosos pueden generar costos de tiempo de inactividad extremadamente elevados e interrupciones en la cadena de suministro si las vulnerabilidades de seguridad detiene la producción física.
• Retail y comercio electrónico: el acceso a los datos personales y de pago de los clientes puede convertir a los retailers en objetivos. Los atacantes pueden lanzar ransomware durante las temporadas de alta demanda, cuando hay altos volúmenes de transacciones, con la esperanza de exfiltrar bases de datos de clientes valiosas. Debido a que la respuesta ante filtraciones es obligatoria según las normativas de cumplimiento del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), los costos pueden dispararse, agravados por el daño a la reputación de marca.
• Clientes y proveedores de nube: los atacantes intentan llevar a cabo ataques de ransomware y extorsión contra los proveedores de servicios en la nube; los proveedores de servicios en la nube almacenan grandes cantidades de datos de clientes. Afortunadamente, los ataques directos de ransomware que afectan a la infraestructura central de nube y a múltiples clientes son extremadamente infrecuentes, gracias a los controles de seguridad sólidos y por capas, la multitenencia y el fuerte aislamiento de los proveedores. Los ataques a inquilinos específicos de la nube son más comunes y pueden ser devastadores para esos clientes, pero es poco probable que otorguen a los atacantes el control total del proveedor de servicios en la nube o de su base de clientes más amplia.

Cómo crear resiliencia y protegerse contra el ransomware: seis mejores prácticas

Si busca formas eficaces de protegerte contra el ransomware, sigue el ejemplo de los principales proveedores de nube del mundo. Por ejemplo, plataformas como Oracle Cloud Infrastructure (OCI) están diseñadas para ayudar a resistir estas amenazas mediante la combinación de una sólida seguridad en capas, automatización, IA, técnicas de resiliencia y supervisión continua.

Estas son seis estrategias clave para aumentar tu resiliencia.

1. Utiliza IA y automatización: los ataques de ransomware son cada vez más sofisticados y dirigidos. Por eso, las organizaciones están recurriendo a la automatización y la IA para mantenerse al día. A diferencia de muchas herramientas de seguridad tradicionales, los sistemas impulsados por IA utilizan algoritmos avanzados de aprendizaje automático para detectar patrones inusuales o anomalías que podrían indicar un ataque de ransomware, como el cifrado rápido de archivos o modificaciones sospechosas de archivos o conexiones de red. Automatizar la detección de amenazas puede ayudar a los equipos de seguridad de primera línea a responder con mayor rapidez y anticiparse a los problemas, liberando tiempo para centrarse en iniciativas estratégicas e investigaciones de amenazas. La capacidad de la IA para supervisar y analizar enormes volúmenes de datos de redes y de puntos finales en tiempo real es invaluable.

Las soluciones de seguridad impulsadas por IA pueden ayudar a los equipos de TI

• Correlaciona rápidamente eventos de muchas fuentes, incluidos correos electrónicos, puntos finales, proveedores de nube y tráfico de red, para obtener una visión clara de lo que ocurre.
• Mantente al día sobre las nuevas amenazas mediante el análisis de la inteligencia emergente y el ajuste automático de su lógica de detección.
• Activa respuestas automatizadas para aislar sistemas infectados, bloquear actividades sospechosas y restaurar archivos comprometidos a partir de copias de seguridad seguras.

2. Haz hincapié en controles de acceso sólidos y en el privilegio mínimo: no todas las personas de una organización necesitan acceso a todo. Seguir el principio de privilegios mínimos (otorgar a los usuarios y servicios solo el acceso necesario para desempeñar su rol o sus funciones, y únicamente durante el tiempo requerido) dificulta que los atacantes causen daños, incluso si roban credenciales. Los sistemas de gestión de identidades y accesos (IAM) ayudan a aplicar el privilegio mínimo al permitir que las organizaciones asignen permisos muy específicos para recursos, operaciones o datos, en lugar de depender de controles de acceso más amplios basados en roles.

El acceso por tiempo limitado y la autenticación multifactor (MFA) obligatoria añaden capas adicionales de protección. Las credenciales temporales reducen el tiempo durante el cual un inicio de sesión comprometido sigue siendo útil para los atacantes, de modo que no puedan merodear por la red en busca de datos valiosos. Con la MFA, los usuarios deben verificar sus identidades de más de una manera, por ejemplo, con una contraseña y un token físico o un factor biométrico, antes de obtener acceso a datos confidenciales.

3. Adopta la seguridad de confianza cero: el modelo de seguridad de confianza cero combina los elementos anteriores al no asumir ninguna confianza implícita en usuarios, dispositivos o segmentos de red, independientemente de su ubicación dentro o fuera del perímetro corporativo. Cada solicitud de acceso se verifica continuamente en función de la identidad del usuario, el estado del dispositivo, el contexto y el comportamiento. Las políticas de acceso son dinámicas y aplican el mínimo privilegio de forma predeterminada, mediante automatización para ajustarse en tiempo real, con comprobaciones continuas de autenticación y autorización. Otros pilares clave de la confianza cero incluyen redes microsegmentadas y políticas de denegación predeterminada. La microsegmentación divide las redes en zonas más pequeñas con el objetivo de limitar el movimiento lateral, de modo que, si un atacante vulnera un segmento, se restringe el acceso a los demás. Cada segmento está protegido por sus propios controles de acceso y supervisión. Las políticas de denegación por defecto, por su parte, bloquean todo el tráfico entrante a menos que se permita explícitamente, lo que reduce el número de puntos de entrada que un atacante podría explotar. En conjunto, estas medidas ayudan a aplicar límites estrictos, minimizar el riesgo y proporcionar una verificación continua de identidades y dispositivos.

4. Proporciona inmutabilidad y control de versiones con copias de seguridad automatizadas: la protección contra el ransomware no consiste solo en mantener alejados a los atacantes. También se trata de recuperarse rápidamente si algo sale mal. La inmutabilidad y el control de versiones protegen las copias de seguridad para que no puedan modificarse ni eliminarse, incluso si una cuenta de administrador se ve comprometida. La inmutabilidad significa que, una vez guardados, los datos no se pueden cambiar durante un período establecido. Eso suele hacerse mediante almacenamiento WORM (write-once, read-many), diseñado para evitar la manipulación por parte de usuarios, aplicaciones o incluso administradores con privilegios. Las instantáneas automatizadas periódicas y el control de versiones añaden más protección al facilitar la restauración de archivos, bases de datos u objetos de almacenamiento a versiones anteriores al ataque.

Los proveedores de nube te permiten establecer políticas que garantizan la inmutabilidad y mantienen automáticamente las versiones anteriores. Ahora, incluso si un atacante intenta sobrescribir o eliminar datos, las versiones inalteradas permanecen accesibles, lo que evita el costo y el riesgo de pagar un rescate.

5. Usa registros centralizados: al responder a un ataque, es fundamental saber qué ocurrió, cuándo y a qué datos afectó. Los registros centralizados reúnen los registros de eventos de puntos finales, servidores, aplicaciones y entornos en la nube, lo que ayuda a los equipos de seguridad a detectar rápidamente actividades sospechosas, incluidos intentos de inicio de sesión fallidos, accesos inusuales a archivos o procesos no autorizados. Un sistema de gestión de eventos e información de seguridad (SIEM) facilita aún más esta tarea al proporcionar una vista consolidada de los eventos de seguridad en toda la red. Las herramientas SIEM recopilan y analizan estos registros, identifican actividades sospechosas y ayudan a priorizar las respuestas. Piensa en ello como un centro de mando que ayuda a identificar y abordar posibles amenazas en tiempo real.

6. Realiza simulacros para lograr una respuesta eficaz y rápida: limitar los daños consiste en tener un plan de acción. Realizar periódicamente simulacros de ataques de ransomware ayuda a preparar a los empleados para ataques reales, a detectar brechas o puntos débiles en los planes para que puedan abordarse con antelación y a garantizar que todos comprendan sus funciones durante una emergencia.

Los proveedores de nube a hiperescala están diseñados para ayudar a resistir las amenazas de ransomware mediante la combinación de una sólida seguridad por capas, automatización, IA, técnicas de resiliencia y monitoreo continuo.

Cómo eliminar el ransomware

Por mucho cuidado que tengas, el ransomware aún puede encontrar una vía de entrada en tus sistemas. Después de todo, como dice el refrán, los malos solo necesitan acertar una vez, mientras que los defensores deben batear 1000 todo el tiempo. Cuando se produce un ataque, la forma en que respondes puede marcar la diferencia a la hora de limitar los daños y reanudar rápidamente las operaciones normales.

Estos son algunos pasos que puede seguir si sufres un ataque de ransomware en sistemas locales:

1. Aísla los sistemas infectados: desconecta de inmediato los dispositivos afectados de todas las redes, tanto cableadas como inalámbricas. Si los empleados notan algo sospechoso, deben desconectar los cables Ethernet, desactivar las conexiones wifi e informar al departamento de TI lo antes posible.

2. Identifica el ransomware: utiliza herramientas de seguridad o contacta con expertos para identificar el tipo específico de ransomware implicado. Conocer la variante exacta facilita encontrar el mejor camino a seguir.

3. Informa del incidente: informa a tus partes interesadas internas sobre el ataque y notifica a las autoridades u organismos reguladores según sea necesario para el cumplimiento normativo. Considera contratar expertos en ransomware con antelación: ten a mano esa información de contacto, ya que una intervención temprana puede ayudar a contener la filtración e identificar su origen.

4. Elimina el malware: ejecuta programas antivirus o antimalware de confianza para encontrar y eliminar el ransomware. Malwarebytes y Microsoft Defender se encuentran entre las opciones.

5. Restaura los archivos: una vez que tus sistemas estén desinfectados, restaura cuidadosamente tus datos desde copias de seguridad seguras. Es fundamental verificar que estas copias de seguridad no se hayan visto también comprometidas.

6. Comprueba si quedan amenazas: ejecuta otro análisis para confirmar que no queden fragmentos de malware, scripts ocultos ni cuentas no autorizadas al acecho. A veces, los atacantes dejan puertas abiertas para ataques posteriores.

7. Refuerza tu seguridad: aplica parches al software, restablece las contraseñas y refuerza la seguridad para ayudar a prevenir futuros ataques. Considera si algunas cargas de trabajo deberían trasladarse a la nube, donde hay protecciones integradas.

¿Cómo puede ayudarle Oracle?

Oracle Cloud Infrastructure (OCI) ofrece un conjunto completo de funciones de seguridad y mejores prácticas para ayudar a las organizaciones a anticiparse a las amenazas de ransomware y recuperarse si son víctimas de un ataque.

1. Inmutabilidad y protección de datos: los sistemas de copia de seguridad automatizada de OCI utilizan almacenamiento inmutable con funcionalidades de escritura única y lectura múltiple, por lo que, una vez guardados, tus datos no se pueden manipular, ni siquiera por alguien con acceso de administrador.

2. Gestión de identidades y accesos: con configuraciones detalladas de IAM, OCI te permite decidir quién obtiene acceso a qué. La MFA obligatoria, el inicio de sesión único (SSO) y los cambios frecuentes de contraseña ayudan a mantener a los atacantes a distancia.

3. SIEM, registro y automatización: con registros incorporados y la integración con Oracle Cloud Guard y soluciones SIEM, OCI puede detectar y responder automáticamente a actividades sospechosas. Los flujos de trabajo automatizados pueden aislar recursos rápidamente.

4. Seguridad de red y confianza cero: OCI proporciona herramientas para la segmentación de red, la microsegmentación con listas de seguridad y firewalls virtuales, lo que permite a los clientes restringir el movimiento lateral dentro de sus entornos en la nube. Los principios de confianza cero se respaldan mediante la verificación continua de usuarios, dispositivos y acceso a recursos.

5. Comprobaciones de seguridad automatizadas: Oracle Cloud Guard y OCI Vulnerability Scanning Service comprueban continuamente si hay configuraciones incorrectas, vulnerabilidades y comportamientos inusuales.

6. Recuperación y restauración ante desastres: OCI facilita la restauración rápida de datos limpios y mantiene las operaciones en funcionamiento con un tiempo de inactividad mínimo.

Junto con las soluciones de recuperación sin pérdida de datos de Oracle, todas estas funcionalidades de OCI trabajan en conjunto para ayudar a las organizaciones a detectar amenazas rápidamente, detenerlas y recuperarse sin problemas.

El ransomware es un negocio sofisticado de miles de millones de dólares. La amenaza va más allá de la pérdida de datos: puede provocar parálisis operativa, robo de datos y daños a la marca que ningún pago de rescate puede revertir. Los atacantes son cada vez más inteligentes e incluso están adoptando la IA para que sus vulnerabilidades de seguridad sean más eficaces, por lo que contar con una defensa proactiva nunca ha sido tan importante.

Preguntas frecuentes sobre ransomware

¿Qué sucede si sufres un ataque de ransomware?

El ransomware cifra tus archivos o bloquea tus dispositivos para que no puedas usarlos. Luego, el atacante exige un pago, a menudo en criptomonedas, para desbloquearlos. Este tipo de ataque puede interrumpir las operaciones empresariales, provocar la pérdida de datos, exponer información confidencial y dañar tu reputación. Solucionar el problema suele requerir aislar los sistemas infectados, investigar la filtración, eliminar el malware y restaurar los datos desde copias de seguridad seguras.

¿Qué es el ransomware y cómo puedes evitarlo?

El ransomware es un tipo de software malicioso que a menudo se propaga a través de correos electrónicos de suplantación de identidad, sitios web hackeados o vulnerabilidades de software. Una vez que se introduce, puede cifrar datos o bloquear sistemas hasta que se realice un pago. Para evitar el ransomware, ten cuidado con los enlaces y archivos adjuntos de correo electrónico; mantén el software actualizado; exige controles de acceso sólidos, como la autenticación multifactor; forma a los empleados en ciberseguridad; y realiza copias de seguridad periódicas de los datos importantes en almacenamiento seguro, sin conexión o inmutable.

¿Puedes librarte del ransomware?

Sí, a menudo puedes recuperarte sin pagar un rescate, especialmente si cuentas con copias de seguridad recientes y limpias y con un sólido plan de recuperación. Detectar el ataque de forma temprana, aislar los dispositivos infectados y eliminar el malware son acciones clave. Existen algunas herramientas de descifrado para determinados tipos de ransomware, pero una recuperación fluida suele requerir una protección de datos proactiva y copias de seguridad fiables.

¿Se puede eliminar el ransomware?

Sí, las herramientas fiables de antivirus o eliminación de malware pueden eliminar el ransomware, pero eso por sí solo no suele recuperar tus archivos; aún deberás restaurarlos desde una copia de seguridad limpia. Comprueba siempre si quedan restos del ataque para asegurarte de que no vuelva, y considera recurrir a profesionales de ciberseguridad para verificar que tus sistemas están realmente limpios.