El ransomware ha arruinado empresas. No es una exageración — hay casos documentados de PYMEs que han tenido que cerrar porque no pudieron recuperarse de un ataque. Y sin embargo, muchos propietarios siguen sin tener claro cómo funciona exactamente o qué se puede hacer para evitarlo.
Voy a explicarlo de forma práctica.
Qué es el ransomware
El ransomware es un tipo de malware que cifra los archivos del sistema infectado y exige un pago (rescate) para entregar la clave de descifrado. “Ransomware” viene de ransom (rescate en inglés) + software.
Cuando se ejecuta, el proceso es brutal: en minutos puede cifrar miles de archivos — documentos, bases de datos, fotos, hojas de cálculo, correos. Todo queda ilegible. En la pantalla aparece una nota indicando cuánto hay que pagar y cómo hacerlo (normalmente en criptomonedas).
Si no tienes backup, tienes que pagar o perder los datos. Si tienes backup, puedes recuperarte sin pagar… pero solo si el backup no estaba también en la red infectada.
Cómo llega a tu empresa
Las vías de entrada más habituales:
Email de phishing: un adjunto (Word, Excel, PDF) que parece legítimo pero contiene código malicioso. Al abrirlo, se ejecuta el malware en segundo plano.
Acceso remoto mal protegido: RDP (Escritorio Remoto de Windows) expuesto a internet con contraseñas débiles. Los atacantes escanean internet buscando puertos abiertos y prueban credenciales automáticamente. Si encuentran una válida, tienen acceso completo.
Software sin actualizar: vulnerabilidades conocidas en sistemas operativos, navegadores o aplicaciones. Una vez publicada una vulnerabilidad, los atacantes desarrollan herramientas para explotarla. Si no aplicas el parche, eres vulnerable.
Sitios web comprometidos: visitar una web legítima que haya sido hackeada puede descargar malware sin que el usuario haga nada (drive-by download).
La fase silenciosa que mucha gente no conoce
Lo que ocurre entre la infección inicial y el cifrado de datos es importante: en muchos ataques, hay un período de semanas donde el atacante está dentro de la red pero no ha actuado todavía.
En ese tiempo, puede estar:
- Explorando la red para encontrar servidores y sistemas de backup
- Robando datos antes de cifrarlos (doble extorsión: paga o publicamos lo que tenemos)
- Asegurándose de que los backups locales también quedan cifrados
- Esperando el momento oportuno (a veces atacan en fin de semana o festivo)
Esto significa que un sistema de detección que alerte de comportamiento anómalo puede cortar el ataque antes de que llegue a cifrar. Pero también significa que si llegas al momento del cifrado, el backup local del servidor ya puede estar comprometido.
Los tres pasos que de verdad importan
No voy a listar veinte medidas. Estas tres, bien implementadas, cambian completamente el perfil de riesgo:
1. Backups fuera de la red (y verificados)
El backup más importante es el que está desconectado de la red principal. Una copia en un disco externo que se conecta periódicamente, en un servicio cloud que no es accesible desde la red local, o en una ubicación física diferente.
Y verificado: que hayas comprobado que puedes restaurar desde él. Una vez al mes como mínimo.
2. Acceso remoto con autenticación multifactor
Si tienes RDP, VPN o cualquier acceso remoto, debe tener MFA obligatorio. Con una contraseña, un atacante con la contraseña tiene acceso. Con MFA, necesita también el segundo factor — y eso detiene la mayoría de ataques automatizados.
3. Formación básica al equipo
El eslabón más débil suele ser humano. Que las personas de tu equipo sepan reconocer un correo de phishing — remitente extraño, urgencia artificial, enlace que no coincide con el dominio esperado — reduce drásticamente el riesgo de infección por email.
No hace falta un curso largo. Con una sesión práctica de 30 minutos mostrando ejemplos reales, la concienciación mejora notablemente.
El ransomware no va a desaparecer. Pero tampoco es inevitable. La mayoría de víctimas lo son porque había algo básico sin cubrir: un backup que no existía, un acceso sin MFA, un adjunto abierto sin pensar. Esas son las vulnerabilidades que más se explotan, y también las más fáciles de resolver.