Qué es el ransomware: explicación de su funcionamiento y cómo defenderse

Según la explicación de Fortinet, el ransomware es un tipo de malware que toma los datos de usuarios u organizaciones como "rehenes" y exige un rescate a cambio de su recuperación. Tiene una historia que se remonta al troyano AIDS de los años 1980, y uno de los factores que ha facilitado su expansión es que la popularización de las criptomonedas ha hecho más fácil recibir los pagos del rescate.

El ciclo de vida de un ataque suele describirse en seis etapas: reconocimiento, infección, escalamiento de privilegios, escaneo de la red (movimiento lateral), cifrado y, finalmente, la demanda de rescate. Para la intrusión se emplean con frecuencia el phishing, archivos adjuntos maliciosos (malspam), descargas por fuerza (drive-by download) y malvertising, y la ingeniería social juega un papel importante.

Entre las variantes de ransomware hay bloqueadores de pantalla, tipos que cifran datos (cryptoware), aquellos que insinúan filtraciones como doxware/leakware y el scareware que busca extorsionar; recientemente han aparecido también modelos de servicio como RaaS (Ransomware-as-a-Service). Los más vulnerables son las pequeñas y medianas empresas y los sectores donde el coste del tiempo de inactividad es elevado. Para prevenir daños se recomienda una defensa en profundidad: copias de seguridad, protección de endpoints como EDR y formación de empleados.

En cuanto a las tendencias reportadas, el análisis de IBM para 2024 indica que el 67% de las instituciones sanitarias informaron ataques y que el rescate medio superó los 5,2 millones de dólares. Asimismo, se citan estadísticas que muestran un aumento del 16,7% en los ataques al sector del desarrollo de software y del 12,8% en el sector sanitario entre el segundo y el tercer trimestre de 2024. Las organizaciones deberían priorizar la detección temprana de señales, la preparación de planes de respuesta a incidentes y la implementación de medidas de seguridad actualizadas.