Qué es el ransomware: cómo funcionan los ataques human-operated y cómo defenderse

En la práctica, el ransomware es un ataque que toma como rehén el acceso a archivos o dispositivos y exige un rescate a cambio de la clave de desbloqueo. Microsoft apunta que, aunque se pague, puede no entregarse la clave de descifrado y existe el riesgo de que el acceso quede permanentemente interrumpido.

Los ataques de ransomware human-operated suelen seguir fases: intrusión inicial, persistencia y evasión de detección, movimiento lateral, obtención de credenciales, exfiltración de datos e impacto. Los atacantes reconocen las debilidades del entorno objetivo para consolidar su presencia y con las credenciales robadas intentan escalar privilegios o alcanzar activos críticos. Estos ataques no se limitan a un único equipo, sino que apuntan a la organización completa y pueden causar efectos devastadores en la continuidad del negocio.

Microsoft menciona productos como Defender XDR, Microsoft Sentinel y Security Copilot, y explica que mediante aprendizaje automático y automatización ayudan a detectar y bloquear ataques de forma temprana y a apoyar la respuesta a incidentes. Para ataques en curso, Microsoft Incident Response describe procedimientos que emplean Defender for Identity y Defender for Endpoint para identificar el alcance de la intrusión, eliminar actores de la amenaza y proteger cuentas y activos afectados.

También se citan malware como Qakbot, Ryuk y Trickbot, así como actores de amenaza como LockBit, Black Basta y Storm-1674. Se hace referencia a variantes de ransomware observadas entre finales de 2024 y 2025 (Akira, FOG, Qilin, Lynx, RansomHub, BlackBasta, SafePay, Hellcat, entre otras). Frente a ataques “comoditizados” y automatizados se recomienda proteger el correo y los dispositivos con Defender for Office 365 y Defender for Endpoint.

Como respuesta inicial organizativa, Microsoft propone pasos como registrar la hora de detección y revisar logs, comprobar la disponibilidad de aplicaciones empresariales afectadas y de copias de seguridad, y llevar a cabo la eliminación completa del actor de la amenaza (compromise recovery). También dispone de documentación específica con medidas defensivas para entornos Azure.