Qué es el ransomware: técnicas y una amenaza en expansión

El artículo de IBM define el ransomware como “malware que bloquea los datos o los dispositivos confidenciales de la víctima y exige un rescate”. En sus inicios predominaban técnicas sencillas que pedían un pago a cambio de la clave de descifrado, pero hoy en día se ha generalizado la práctica de combinar el robo y la publicación de datos.

Los ataques suelen desarrollarse en fases: “acceso inicial”, “post-explotación”, “expansión”, “recolección y exfiltración de datos” y “despliegue y extorsión”. Las vías de entrada más representativas son el phishing, vulnerabilidades en software, accesos remotos no autorizados (RDP) o el robo de credenciales, y a veces se utilizan troyanos o RAT como plataforma de lanzamiento.

Existen dos tipos principales de ransomware, el de cifrado (crypto) y el de bloqueo de pantalla, además de variantes como el doxware (filtración), el dirigido a móviles, el de tipo wiper (destructivo) y el scareware (chantaje por miedo). Los atacantes aumentan la presión para que se pague eliminando o inutilizando las copias de seguridad de la víctima o filtrando los datos además de cifrarlos.

En los últimos años se ha difundido el modelo "Ransomware as a Service (RaaS)", en el que desarrolladores y ejecutores (afiliados) trabajan por separado, lo que ha fomentado la expansión y diversificación de los ataques. El informe de IBM señala que, pese al aumento de grupos activos, el incremento en el número de incidentes divulgados públicamente ha sido pequeño, lo que sugiere que la detección y la defensa podrían estar mejorando.