Qué es el ransomware: explicación de su funcionamiento y cómo prevenirlo

El ransomware es un ataque que cifra los archivos o dispositivos de la víctima dejándolos inaccesibles, y exige un rescate a cambio de la clave de descifrado. Si se supera el plazo de pago, puede derivar en la divulgación de datos o en pérdidas permanentes, lo que supone un golpe económico y operativo importante para las empresas. El artículo indica que se han constatado incidentes desde mediados de los años 2000.

Las vías de infección son principalmente correos de phishing, enlaces o anuncios maliciosos y ventanas emergentes, análisis por fuerza bruta de Remote Desktop (RDP) vulnerable, descargas drive-by y otras múltiples causas. Tras la infección, el atacante explora el sistema en busca de archivos valiosos y los cifra; como solo el atacante posee la clave de descifrado, exige el pago del rescate a la víctima.

Entre las características recientes están la combinación de cifrado con «robo de datos y amenaza de publicación» conocida como doble extorsión, y la expansión de RaaS, que ofrece herramientas de ataque como servicio; familias como LockBit han llevado a cabo agresiones masivas. Históricamente se citan casos desde el troyano AIDS de 1989, pasando por CryptoLocker en 2013, hasta grandes incidentes como WannaCry y NotPetya en 2017.

Como medidas de defensa se recomienda evitar enlaces y adjuntos de origen no fiable; mantener el sistema operativo y el software actualizados; realizar copias de seguridad regulares tanto locales como fuera del sitio (si es posible, desconectadas o inmutables) y pruebas de restauración; aplicar el principio de privilegio mínimo y segmentación de red; desactivar o actualizar complementos peligrosos; y usar autenticación reforzada (MFA) junto con formación del personal en contra del phishing.

Indicadores para la detección temprana incluyen cambios en las extensiones de nombres de archivo, creación o bloqueo masivo de archivos, degradación del rendimiento del sistema, mensajes de rescate visibles en pantalla y alertas de software de seguridad o IDS. Para minimizar el daño es importante responder con rapidez a estas señales.