Qué es el ransomware y cómo protegerse
Le explicamos cómo se contagia el ransomware, qué hacer en las primeras horas cuando los archivos quedan cifrados y qué medidas de protección aplicar, empezando por las copias de seguridad.
Aurora YazılımEquipo editorial
6 min de lectura
El ransomware es un software malicioso que cifra los archivos de ordenadores y servidores para dejarlos inutilizables y exige un pago a cambio de devolver los datos. Suele propagarse mediante correos de phishing, sistemas sin actualizar y conexiones de escritorio remoto expuestas a internet. La mejor protección son las copias de seguridad sin conexión e inmutables y las actualizaciones periódicas.
¿Cómo se produce un ataque de ransomware?
Una mañana llega a la oficina: la extensión de los archivos ha cambiado, ninguno se abre y en el escritorio hay una nota: para recuperar sus datos le piden un pago en criptomonedas en un plazo determinado. Esta es la fase final de un ataque de ransomware; el atacante suele haber entrado en el sistema días, o incluso semanas, antes.
Los grupos modernos de ransomware no se limitan a cifrar. Antes de cifrar copian los datos sensibles y amenazan con publicarlos si no se paga. Es lo que se llama doble extorsión, y busca presionar incluso a las empresas que logran recuperarse desde una copia de seguridad.
Los ataques no se dirigen solo a las grandes empresas. Las pequeñas y medianas empresas, al tener medidas de seguridad más débiles, se convierten en objetivos fáciles de los escaneos automáticos. Da igual que sea una gestoría, una clínica, un hotel o un taller de producción: cualquiera que tenga datos es un objetivo potencial.
¿Cómo se contagia el ransomware?
El ransomware entra por unas pocas puertas conocidas. Saber cuáles son indica dónde centrar las medidas.
| Vía de contagio | ¿Cómo ocurre? | Medida principal |
|---|---|---|
| Correo de phishing | Archivo adjunto o enlace con aspecto de factura o de envío | Formación de los empleados, filtro de correo |
| Escritorio remoto (RDP) | Conexión remota expuesta a internet y con contraseña débil | Cerrar el acceso directo, VPN y verificación en dos pasos |
| Software sin actualizar | VPN, servidor o aplicación con una vulnerabilidad conocida | Actualizaciones periódicas |
| Contraseña robada | Credenciales obtenidas de una filtración | Contraseña única, verificación en dos pasos |
| Software pirata y descargas falsas | Programa sin licencia o falsa actualización | Software solo de fuentes oficiales |
Señales de alerta antes del ataque
Antes de pasar al cifrado, los atacantes se mueven por la red, elevan sus privilegios e intentan localizar las copias de seguridad. Esta fase preparatoria suele dejar rastros detectables. Identificarlos pronto da la oportunidad de frenar el ataque antes de que empiece el cifrado.
Cuando vea alguno de los siguientes síntomas, no lo trate como un fallo corriente; revíselo junto con su responsable de informática. Hay que tomarse en serio sobre todo los movimientos inusuales fuera del horario laboral.
- Una nueva cuenta de administrador desconocida o usuarios cuyos permisos han cambiado
- Accesos por escritorio remoto durante la noche
- El software de seguridad se desactiva por sí solo
- Tareas de copia de seguridad eliminadas o que fallan una tras otra
- Salida de datos inusualmente grande en la red y servidores que van más lentos
Archivos cifrados: primeros pasos
Cuando vea la nota de “archivos cifrados”, los pasos que dé en las primeras horas determinarán la magnitud del daño. Formatear el ordenador presa del pánico o pagar de inmediato suele ser la peor opción.
- Desconecte de la red los dispositivos afectados: retire el cable de red, desactive el wifi; antes de apagar el equipo, consulte a un especialista
- Desconecte de inmediato los discos externos conectados y los recursos compartidos de red
- Fotografíe la nota de rescate y la pantalla; no elimine ningún archivo
- Avise a su responsable de informática o a la empresa que le da soporte
- Cambie las contraseñas de las cuentas de administrador y de los sistemas críticos desde un equipo limpio
- Compruebe el estado de sus copias de seguridad; aísle el sistema de copias del acceso del atacante
- Si se han visto afectados datos personales, evalúe con su asesor jurídico las obligaciones legales de notificación
¿Hay que pagar el rescate?
La recomendación general de los organismos de seguridad es no pagar el rescate. Pagar no garantiza que se devuelvan los datos; la herramienta de descifrado puede no funcionar, los datos pueden publicarse igualmente y la empresa puede quedar marcada como “pagadora” para el siguiente ataque.
La decisión de pagar es una decisión grave que debe tomarse valorando conjuntamente la continuidad del negocio, las obligaciones legales y el estado de las copias de seguridad. No la tome usted solo; consulte con su asesor jurídico y con especialistas con experiencia en respuesta a incidentes.
Para algunas familias de ransomware se han publicado herramientas de descifrado gratuitas. El sitio No More Ransom, iniciativa conjunta de cuerpos policiales europeos y empresas de seguridad, ayuda a identificar la variante que le ha infectado y a acceder a una herramienta gratuita si existe.
La mejor defensa: las copias de seguridad
La medida más eficaz contra el ransomware es una copia de seguridad operativa a la que el atacante no pueda llegar. Para una empresa que puede recuperarse desde una copia limpia, el ataque deja de ser un desastre y se convierte en una interrupción manejable.
Pero no todas las copias sirven. Un disco externo o un recurso de red permanentemente conectado se cifra junto con los archivos originales. Las carpetas en la nube con sincronización también pueden trasladar a la nube los archivos cifrados; en un servicio sin historial de versiones, volver atrás puede ser imposible. Hemos tratado los puntos fuertes y débiles del almacenamiento en la nube en nuestro artículo qué es la computación en la nube.
- Regla 3-2-1: tres copias, dos soportes, una ubicación externa
- Al menos una de las copias debe estar sin conexión o ser inmutable
- La contraseña de administrador del sistema de copias debe mantenerse separada de las cuentas de la red principal
- La restauración debe probarse con regularidad y medirse su duración
Medidas de seguridad preventivas
La copia de seguridad le recupera después del ataque; las siguientes medidas reducen la probabilidad de que ocurra. Ninguna basta por sí sola; aplicadas juntas forman una defensa en capas.
Medidas técnicas
- Actualización automática del sistema operativo, el navegador, la VPN y todo el software
- No exponer el escritorio remoto directamente a internet
- Verificación en dos pasos en las cuentas de correo, VPN y administración
- Software de seguridad actualizado y filtro de archivos adjuntos del correo
- Mantener desactivadas por defecto las macros de los documentos de Office
Medidas organizativas
- No dar a los usuarios permisos de administrador para el trabajo diario
- Que cada empleado acceda solo a las carpetas que necesita para su trabajo
- Cerrar el mismo día los accesos de quienes dejan la empresa
- Formaciones de concienciación en seguridad, breves y periódicas
- Un plan de respuesta a incidentes por escrito y una lista de contactos para emergencias
Servidores y sitios web
El ransomware no ataca solo los ordenadores de oficina; también puede apuntar a servidores y sitios web. Cuando se detiene un sistema que guarda reservas, pedidos o registros de clientes, la pérdida es mucho mayor que la de los archivos cifrados. Por ejemplo, en un software hotelero o en una plataforma de e-commerce con muchos pedidos, incluso unas horas de interrupción suponen una pérdida directa de ingresos.
En las soluciones de software desarrolladas a medida para una empresa, los permisos por roles, los registros de operaciones y la copia periódica de la base de datos a un entorno separado pueden planificarse desde el principio. En los sitios ya publicados, mantener actualizado el software del servidor, vigilar las copias y detectar comportamientos anómalos se hace con un mantenimiento regular dentro de la gestión de velocidad y rendimiento.
Si ha detectado código malicioso o cambios inesperados en su sitio, en nuestra guía mi web ha sido hackeada explicamos paso a paso qué hacer.
Preguntas frecuentes
01¿Un antivirus bloquea por completo el ransomware?
El software de seguridad actualizado detecta buena parte del ransomware conocido, pero no siempre frena las variantes nuevas ni los ataques realizados con una cuenta de administrador robada. Por eso debe usarse junto con actualizaciones, verificación en dos pasos y copias de seguridad sin conexión.
02¿También se ven afectados los ordenadores Mac y Linux?
Sí. Aunque la mayor parte del ransomware ataca a Windows, también existen variantes dirigidas a macOS y, sobre todo, a servidores Linux. Sea cual sea el sistema operativo, las reglas de actualización, limitación de permisos y copias de seguridad son las mismas.
03¿Cuándo puedo volver a usar el sistema tras el ataque?
Restaurar desde una copia sin haber encontrado y cerrado la vía de entrada del atacante ni cambiado todas las contraseñas puede provocar que el mismo ataque se repita. Primero hay que limpiar y analizar la causa raíz, y después restaurar de forma controlada desde una copia limpia.
El ransomware es un golpe duro para las empresas que pilla sin preparación; con copias sin conexión, actualizaciones periódicas y empleados concienciados, se convierte en un incidente superable. Aurora Yazılım plantea desde el principio la copia de seguridad y la estructura de permisos en soluciones de software a medida para su empresa y se encarga de la gestión de velocidad y rendimiento y del mantenimiento de su sitio publicado. Para evaluar su situación actual, póngase en contacto con nosotros.
