Cómo funciona un ataque de ransomware:
de la infección al rescate
Ciberseguridad para todos | unfantasmaenelsistema.com
Es lunes por la mañana. Un empleado de una empresa llega a su puesto, enciende el ordenador y ve una pantalla que no reconoce. Fondo negro o rojo. Un mensaje con un contador regresivo. Sus archivos, los de sus compañeros, los de toda la empresa, han desaparecido. En su lugar hay archivos con extensiones extrañas que ningún programa puede abrir. En algún servidor, alguien tiene la clave para devolvérselos. A cambio de dinero.
El ransomware es, en 2025, el ciberataque más rentable y más devastador de todos los que existen. En 2023, las víctimas pagaron más de 1.100 millones de dólares en rescates, cifra récord. Ha paralizado hospitales, ha cerrado gasolineras en media costa este de Estados Unidos, ha dejado sin prestaciones a millones de parados en España.
Este artículo explica exactamente qué ocurre técnicamente cuando el ransomware ataca, por qué es tan difícil de parar una vez iniciado, cómo los grupos criminales se han convertido en auténticas empresas, y lo más importante: qué puedes hacer para que nunca sea un desastre irreversible.
¿Qué aprenderás en este artículo?
Qué es el ransomware y cómo funciona técnicamente sin tecnicismos innecesarios · Las 7 fases del ataque: de la infección al pago del rescate · Los casos reales más importantes: WannaCry, NotPetya, Colonial Pipeline, SEPE · Cómo los grupos de ransomware se han convertido en empresas criminales organizadas · El modelo de negocio del Ransomware-as-a-Service (RaaS) · Por qué pagar el rescate no garantiza recuperar los datos · Cómo protegerse: la regla 3-2-1 de las copias de seguridad y otras medidas · Qué hacer si ya estás infectado: los pasos exactos en orden
1. Qué es el ransomware y cómo funciona
QUÉ ES EL RANSOMWARE: LA EXPLICACIÓN SIMPLE Imagina que llegas a tu oficina un lunes por la mañana. Enciendes el ordenador. En lugar de tu escritorio normal, hay una pantalla roja con este mensaje: +------------------------------------------------------+ | ¡TUS ARCHIVOS HAN SIDO CIFRADOS! | | | | Todos tus documentos, fotos, bases de datos y archivos| | han sido cifrados con el algoritmo AES-256. | | | | Para recuperar tus archivos, debes pagar | | 0,5 Bitcoin (≈ 23.000€) en las próximas 72 horas. | | | | Después de 72 horas, el precio se duplica. | | Después de 7 días, la clave se elimina para siempre. | | | | ID de víctima: XK-4891-DELTA | | Instrucciones de pago: [enlace a .onion] | +------------------------------------------------------+ Lo que ha pasado: un programa malicioso ha accedido a tu sistema, ha cifrado todos tus archivos con una clave que solo el atacante conoce, y ahora te pide dinero por ella. Sin esa clave, los archivos son datos ilegibles para siempre.
Por qué el cifrado hace el ransomware tan devastador
El cifrado no es una vulnerabilidad: es una tecnología legítima que usamos todos los días para proteger nuestras comunicaciones y datos. El problema es que los atacantes la usan para lo contrario: para secuestrar tus propios archivos. AES-256, el algoritmo que usa la mayoría del ransomware, es el mismo que protege los secretos militares y las transacciones bancarias. Sin la clave correcta, descifrar un archivo cifrado con AES-256 tomaría más tiempo que la edad del universo con la tecnología actual. No hay forma de ‘hackear’ el cifrado para recuperar los archivos. O tienes la clave o no tienes los archivos. Por eso el ransomware es tan efectivo.
El cifrado que usa el ransomware es el mismo que usa tu banco para proteger tus transacciones. Esto es lo que hace el ataque tan efectivo: no hay vulnerabilidad técnica que explotar para recuperar los archivos. La única solución es la clave de cifrado, que el atacante tiene y tú no, o tener una copia de seguridad que no haya sido cifrada. Esta segunda opción es la única que no depende de nadie más que de ti. Por eso los backups son el tema más importante de este artículo.
2. Las 7 fases: lo que ocurre antes de que veas la nota de rescate
El mayor malentendido sobre el ransomware es pensar que el ataque empieza cuando aparece la pantalla de rescate. En realidad, para cuando ves esa pantalla, el atacante lleva días, semanas o incluso meses dentro de tu sistema. El cifrado es el último paso, no el primero.
LAS 7 FASES DE UN ATAQUE DE RANSOMWARE MODERNO FASE 1: ACCESO INICIAL (días o semanas antes del cifrado) El atacante entra al sistema mediante: ▸ Email de phishing con adjunto malicioso o enlace ▸ Credenciales compradas en mercados de la dark web ▸ Explotación de una vulnerabilidad en servicios expuestos (VPN sin parchear, RDP con contraseña débil, Exchange...) ▸ Proveedor externo comprometido con acceso a la red FASE 2: ESTABLECER PERSISTENCIA ▸ Instala herramientas de acceso remoto legítimas (TeamViewer, AnyDesk) o maliciosas para mantener el acceso ▸ Crea usuarios de administrador ocultos ▸ Deshabilita el antivirus y las herramientas de seguridad FASE 3: RECONOCIMIENTO INTERNO ▸ Mapea la red: qué equipos hay, qué datos tienen ▸ Identifica los sistemas más valiosos: backups, servidores, bases de datos, directivos ▸ Eleva privilegios hasta obtener acceso de Administrador FASE 4: EXFILTRACIÓN (el ransomware moderno roba ANTES de cifrar) ▸ Copia los datos más sensibles a servidores del atacante ▸ Esto permite la 'doble extorsión': paga o publicamos los datos FASE 5: DESTRUIR LOS BACKUPS ▸ Elimina o cifra las copias de seguridad locales ▸ Deshabilita el Historial de versiones de Windows ▸ Elimina las instantáneas (Shadow Copies) FASE 6: CIFRADO MASIVO ▸ En minutos u horas: cifra todos los archivos del sistema ▸ Se extiende por la red a todos los equipos accesibles ▸ Muestra la nota de rescate FASE 7: NEGOCIACIÓN Y PAGO ▸ La víctima contacta con el atacante por Tor ▸ Negociación del precio (sí, hay descuentos) ▸ Pago en criptomonedas (Bitcoin, Monero) ▸ (Si paga) Envío de la herramienta de descifrado
La Fase 4 —la exfiltración de datos— es la innovación que los grupos modernos añadieron alrededor de 2019 y que cambió completamente la dinámica del ransomware. Antes, si tenías un buen backup, podías recuperarte sin pagar. Ahora, aunque restaures desde backup, el atacante amenaza con publicar los datos robados. Es lo que se llama «doble extorsión»: cifrado + amenaza de publicación. Y algunos grupos han añadido una tercera pata: llamar directamente a clientes de la empresa víctima para presionarla a pagar.
3. El ransomware en números
EL RANSOMWARE EN NÚMEROS (2024) 1.100 millones de dólares Total pagado en rescates de ransomware en 2023 (Cifra récord. Más del doble que en 2022) Fuente: Chainalysis Crypto Crime Report 2024 22 días Tiempo medio de inactividad operacional de una empresa tras un ataque de ransomware 66% de las organizaciones atacadas en 2023 sufrieron un ataque de ransomware Fuente: Sophos State of Ransomware 2024 1,85 millones de dólares Coste medio de recuperación de un ataque (incluyendo tiempo de inactividad, no solo el rescate) 46% de las víctimas que pagan el rescate no recuperan todos sus datos España: tercer país de Europa con más ataques de ransomware a empresas y organismos públicos Fuente: INCIBE Informe de Ciberseguridad 2024
El dato más importante de todos estos: el 46% de las víctimas que pagan el rescate no recuperan todos sus datos. Pagan y, o bien la herramienta de descifrado no funciona correctamente, o bien la recuperación es parcial, o bien el atacante simplemente desaparece. Pagar el rescate es una apuesta a muy largo plazo con las probabilidades en contra.
4. Casos reales: cuando el ransomware para el mundo
Los números abstractos a veces no transmiten la magnitud real del problema. Estos tres casos ilustran qué ocurre cuando el ransomware golpea infraestructura crítica.
WannaCry (2017): el ransomware que paralizó el mundo
En mayo de 2017, un ransomware llamado WannaCry se extendió por internet en cuestión de horas e infectó más de 200.000 sistemas en 150 países. El NHS (sistema de salud público británico) tuvo que cancelar miles de operaciones y citas. Telefónica en España envió a sus empleados a casa mientras las pantallas se llenaban de la nota de rescate. Renault paró líneas de producción. FedEx, Deutsche Bahn, el Banco Central de Rusia. WannaCry usaba EternalBlue, una vulnerabilidad en el protocolo SMB de Windows que la NSA había descubierto años antes y guardado en secreto. Un grupo llamado Shadow Brokers la filtró. Microsoft había publicado el parche dos meses antes, pero cientos de miles de sistemas no estaban actualizados. El coste total estimado: 4.000 millones de dólares.
El ataque al SEPE (2021): España en el punto de mira
En marzo de 2021, el Servicio Público de Empleo Estatal español fue víctima del ransomware Ryuk. El SEPE gestionaba en ese momento más de 3 millones de expedientes de ERTE activos por la pandemia. Los sistemas estuvieron caídos durante semanas. Más de 700.000 citas previas tuvieron que ser anuladas y reprogramadas. El organismo tardó meses en recuperar la normalidad operativa. El vector de entrada fue un empleado que abrió un email de phishing. Un único clic paralizó a uno de los organismos públicos más críticos de España en el peor momento posible. El coste de recuperación se estimó en varios millones de euros. No se pagó rescate.
Colonial Pipeline (2021): cuando el ransomware cierra gasolineras
En mayo de 2021, el grupo DarkSide atacó Colonial Pipeline, el mayor oleoducto de combustible de la costa este de Estados Unidos, que suministra el 45% del combustible de esa región. La empresa decidió apagar preventivamente sus sistemas de distribución para evitar que el malware se extendiera a los sistemas de control industrial. El resultado: escasez de combustible en 17 estados, colas en gasolineras, vuelos cancelados. Colonial Pipeline pagó 4,4 millones de dólares en Bitcoin al grupo DarkSide. El FBI logró recuperar 2,3 millones semanas después rastreando la billetera de criptomonedas. El vector de entrada: una contraseña comprometida de una cuenta VPN sin autenticación de dos factores.
Los tres casos comparten una lección: el vector de entrada fue banal. Un parche sin aplicar, un email de phishing, una contraseña sin segundo factor. No fueron ataques sofisticados que requirieran exploits avanzados o semanas de ingeniería. Fueron ataques que aprovecharon descuidos básicos de seguridad. Y los daños fueron catastróficos.
5. El modelo de negocio: ransomware como servicio
Una de las razones por las que el ransomware ha crecido tan rápido en los últimos años es que ha dejado de ser algo que solo hacen expertos técnicos avanzados. El modelo Ransomware-as-a-Service (RaaS) ha democratizado el cibercrimen de la misma forma que el Software-as-a-Service democratizó el software empresarial.
EL MODELO DE NEGOCIO: RANSOMWARE-AS-A-SERVICE (RaaS) El ransomware moderno funciona como una empresa criminal. LOS ACTORES: DESARROLLADORES (los 'jefes'): ▸ Crean y mantienen el malware y la infraestructura ▸ Gestionan el panel de negociación con víctimas ▸ Proporcionan soporte técnico a los afiliados ▸ Cobran el 20-30% de cada rescate pagado Ejemplos: LockBit, ALPHV/BlackCat, Clop, REvil (desmantelado) AFILIADOS (los 'franquiciados'): ▸ Compran o alquilan el malware a los desarrolladores ▸ Son los que realizan los ataques: phishing, RDP, VPN... ▸ Seleccionan los objetivos (empresas con seguro cyber = pagan) ▸ Se quedan el 70-80% del rescate BROKERS DE ACCESO (intermediarios): ▸ Venden accesos ya comprometidos a los afiliados ▸ 'Acceso RDP a empresa española, sector salud, 200 empleados, 50M€ facturación: 2.000$' ▸ El comprador solo necesita desplegar el ransomware RESULTADO: Una persona sin conocimientos técnicos puede comprar un ataque de ransomware completo por unos miles de dólares. La barrera de entrada al cibercrimen nunca ha sido más baja.
Los grupos de ransomware modernos tienen sitios web en la dark web con notas de prensa, sección de contacto para periodistas, «políticas» sobre a quién no atacar (hospitales, en algunos casos) y hasta programas de bug bounty para que investigadores les reporten fallos en su infraestructura. Es una industria criminal con procesos, roles definidos y hasta cultura corporativa. LockBit, el grupo más activo en 2023, llegó a ofrecer recompensas de hasta un millón de dólares a quien encontrara bugs en su software.
6. Por qué pagar el rescate es una mala idea
| Argumento | La realidad |
|---|---|
| ‘Si pago, recupero mis archivos’ | El 46% de las víctimas que pagan no recuperan todos sus datos. La herramienta de descifrado puede ser lenta, incompleta o directamente no funcionar. |
| ‘Si pago, no nos atacarán de nuevo’ | El 80% de las organizaciones que pagan el rescate son atacadas de nuevo en el siguiente año. Pagar te marca como objetivo que paga. |
| ‘Si no pago, publicarán los datos’ | Pagar tampoco garantiza que los datos robados no se publiquen o vendan. Los grupos de ransomware no tienen incentivos para cumplir su palabra. |
| ‘El seguro cibernético lo cubrirá’ | Los seguros de ciberseguridad están endureciendo sus condiciones tras años de pagos masivos. Muchas reclamaciones se rechazan por incumplimiento de requisitos de seguridad previos. |
| ‘Es solo dinero, lo recuperaremos’ | El coste real va mucho más allá del rescate: tiempo de inactividad, recuperación de sistemas, daño reputacional, pérdida de clientes, posibles multas regulatorias. |
Hay situaciones en las que pagar puede parecer la única opción viable, especialmente cuando los datos afectados son críticos para la supervivencia del negocio o cuando no hay backups recientes. En esos casos, la decisión debe tomarse con asesoramiento legal y de una empresa especializada en respuesta a incidentes, nunca de forma impulsiva bajo la presión del contador regresivo. Ese contador existe precisamente para generar esa presión.
7. La única defensa real: la regla 3-2-1 de los backups
Si hay una sola cosa que sacar de este artículo es esta: con un buen backup, el ransomware es un inconveniente. Sin él, puede ser el fin de un negocio. La regla 3-2-1 es el estándar de la industria para copias de seguridad resistentes al ransomware.
LA REGLA 3-2-1: EL ANTÍDOTO CONTRA EL RANSOMWARE 3 copias de tus datos: ▸ 1 copia en el ordenador principal (el original) ▸ 1 copia en un disco externo u otro dispositivo local ▸ 1 copia en la nube o en una ubicación remota Si el ransomware cifra el original, tienes 2 copias más. 2 tipos de medios diferentes: ▸ No guardar todas las copias en el mismo tipo de soporte ▸ Ejemplo: disco duro interno + NAS + nube ▸ Si falla un tipo de soporte, el otro sigue disponible 1 copia offsite (fuera del sitio principal): ▸ Al menos una copia en una ubicación física diferente ▸ Un disco externo en casa + copia en la nube ya cumple esto ▸ Si hay un incendio, inundación o robo: la copia remota sobrevive EL REQUISITO MÁS IMPORTANTE: Las copias deben estar AISLADAS de la red principal. El ransomware busca y cifra también los backups conectados. ▸ Disco externo: desconectado cuando no se usa ▸ NAS: con versionado activado (snapshots inmutables) ▸ Nube: con versiones anteriores activadas (S3 Object Lock, Backblaze Immutable Backups, OneDrive Versioning) Y LO MÁS OLVIDADO: PROBAR LA RESTAURACIÓN Un backup que no se ha probado restaurar no es un backup. Probar la restauración completa al menos una vez al año.
El error más frecuente en empresas que creían tener backup: el backup estaba conectado permanentemente a la red y el ransomware lo cifró junto con todo lo demás. Un disco externo enchufado al ordenador las 24 horas no es un backup seguro contra el ransomware. La desconexión física o el aislamiento de red son imprescindibles.
8. Cómo protegerse: las medidas más efectivas
| Medida | Por qué importa | Dificultad | Impacto |
|---|---|---|---|
| Regla 3-2-1 de backups | Sin backup, el ransomware gana siempre. Con backup, el ransomware es un inconveniente, no un desastre. | Media | Crítico |
| Actualizar el sistema operativo y software | WannaCry infectó 200.000 sistemas con un parche que llevaba 2 meses disponible. Las actualizaciones cierran las puertas. | Muy baja | Alto |
| Activar autenticación de dos factores en todo | Colonial Pipeline fue atacado por una contraseña sin 2FA. Un segundo factor habría bloqueado el acceso. | Baja | Alto |
| No usar RDP expuesto a internet | El escritorio remoto (RDP) expuesto directamente a internet es uno de los vectores de entrada más comunes. | Media | Alto |
| Formación anti-phishing | El phishing es el vector de entrada más frecuente. Un empleado que reconoce el phishing es la mejor defensa. | Baja | Alto |
| Principio de mínimo privilegio | Si el usuario infectado solo tiene acceso a sus archivos, el ransomware no puede cifrar toda la red. | Media-alta | Alto |
| Segmentación de red | Evita que el ransomware se extienda lateralmente a otros sistemas una vez dentro. | Alta | Alto |
| Plan de respuesta a incidentes | Saber qué hacer en los primeros minutos puede marcar la diferencia entre un incidente contenido y un desastre. | Media | Alto |
Para usuarios domésticos, las tres medidas más impactantes son: backup 3-2-1, actualizaciones automáticas activas y 2FA en todas las cuentas críticas. Para empresas, a eso hay que añadir la segmentación de red y el principio de mínimo privilegio: que el ransomware que infecta el ordenador de un contable no pueda acceder a los servidores de producción.
9. Si ya estás infectado: qué hacer y en qué orden
Si llegas a este punto en el peor momento posible —porque ya estás infectado— lo primero es respirar y actuar con método. El pánico lleva a tomar decisiones que empeoran la situación. El primer instinto de mucha gente es apagar el ordenador: no lo hagas todavía.
QUÉ HACER SI TE INFECTA EL RANSOMWARE: ORDEN EXACTO LOS PRIMEROS MINUTOS SON CRÍTICOS: PASO 1: AISLAR — inmediatamente ▸ Desconectar el equipo de la red (cable y WiFi) ▸ Si hay más equipos en la red: desconectarlos también ▸ El ransomware se extiende por la red activamente ▸ NO apagar el equipo aún: se puede perder evidencia forense PASO 2: EVALUAR — en los primeros 30 minutos ▸ ¿Cuántos equipos están afectados? ▸ ¿Qué datos han sido cifrados? ▸ ¿Tienes backups recientes no conectados a la red? ▸ Fotografiar las pantallas de rescate (evidencia) PASO 3: NOTIFICAR ▸ Responsable de TI o empresa de ciberseguridad ▸ Si eres empresa: abogado y departamento legal ▸ INCIBE: incibe-cert.es / Teléfono: 017 ▸ Policía Nacional (Brigada de Delitos Informáticos) ▸ Si hay datos personales de clientes: AEPD (obligatorio en 72h) PASO 4: IDENTIFICAR EL RANSOMWARE ▸ ID Ransomware: id-ransomware.malwarehunterteam.com ▸ Subir la nota de rescate o un archivo cifrado ▸ Puede identificar la familia y si hay descifrador gratuito PASO 5: NO PAGAR (si es posible) ▸ Consultar: nomoreransom.org (descifradores gratuitos oficiales) ▸ Contactar con empresa especializada en recuperación ▸ Si hay backups: comenzar la restauración ▸ Si decides pagar: primero consultar con un abogado
No More Ransom: descifradores gratuitos oficiales
El proyecto No More Ransom (nomoreransom.org) es una iniciativa conjunta de Europol, la Policía Nacional Holandesa, McAfee y Kaspersky. Ofrece más de 120 herramientas de descifrado gratuitas para más de 150 familias de ransomware. Si tu ransomware está entre ellas, puedes recuperar tus archivos sin pagar nada. El proceso: subir un archivo cifrado o la nota de rescate al sitio → el sistema identifica el ransomware → si hay descifrador disponible, lo descarga gratuitamente. No siempre hay descifrador: solo cuando las autoridades han conseguido las claves de un grupo desmantelado. Pero vale la pena comprobarlo antes de cualquier otra acción.
Conclusión
El ransomware es el ciberataque más rentable de la historia porque combina tres cosas: una tecnología que funciona perfectamente (el cifrado asimétrico), un modelo de negocio eficiente (RaaS) y la explotación sistemática de descuidos humanos básicos (phishing, contraseñas débiles, falta de parches). No va a desaparecer. De hecho, va a volverse más sofisticado.
Pero la defensa tampoco es rocket science. La regla 3-2-1 de backups, las actualizaciones aplicadas y el 2FA en cuentas críticas resuelven los tres vectores de entrada más comunes. No son medidas caras ni técnicamente complejas. Son hábitos. Y la diferencia entre una empresa que sobrevive a un ataque de ransomware y una que no es, en la mayoría de casos, que una tenía esos hábitos y la otra no.
Recursos ante un incidente de ransomware
No More Ransom (nomoreransom.org): 120+ herramientas de descifrado gratuitas para familias de ransomware conocidas · ID Ransomware (id-ransomware.malwarehunterteam.com): identificar qué familia de ransomware te ha infectado · INCIBE-CERT (incibe-cert.es): centro de respuesta a incidentes de ciberseguridad en España · 017: línea de ayuda en ciberseguridad del INCIBE, gratuita · Veeam / Acronis / Backblaze: soluciones de backup con versiones inmutables para empresas y particulares
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)