Contenido del artículo
- En resumen
- Cómo entra el ransomware en una empresa
- Medidas que frenan el ransomware y cómo comprobar que funcionan
- Copias de seguridad desde las que sí puedes restaurar
- La primera hora tras un ataque
- Pagar el rescate: qué dicen las fuentes oficiales
- Errores habituales
- Lista de protección contra ransomware
- FAQ
- Referencias
A una empresa la protegen del ransomware cinco cosas: copias de seguridad que el atacante no puede alcanzar y desde las que ya has restaurado de verdad, MFA en el acceso remoto y el correo, sistemas expuestos a internet con los parches al día, los mínimos permisos de administrador y un plan escrito para las primeras horas. El antivirus sigue siendo necesario, pero los datos cifrados solo los devuelve una copia que el atacante no tocó.
A continuación verás cómo suele entrar el ransomware, una tabla de medidas con la forma de comprobar cada una, cómo montar las copias, qué hacer en la primera hora de un ataque y qué dicen las fuentes oficiales sobre pagar.
En resumen
- Entradas típicas: phishing, contraseñas robadas o adivinadas de VPN y escritorio remoto (RDP), equipos sin parchear en el perímetro. [1] [2]
- La protección principal contra la pérdida de datos: una copia que no se puede borrar ni cifrar desde la red de trabajo y una restauración ya probada.
- El MFA en el correo, la VPN y las cuentas con acceso a sistemas críticos impide entrar solo con una contraseña robada. [1]
- Cuantas menos personas tengan permisos de administrador, menos daño hace una cuenta comprometida. [1]
- El plan de respuesta tiene que estar en papel: durante un ataque, el correo y los archivos pueden no estar disponibles. [1]
- Pagar no garantiza recuperar los datos. Lo dicen tanto el NCSC británico como las agencias de EE. UU. [1] [4]
Cómo entra el ransomware en una empresa
El ransomware cifra archivos y servidores y exige dinero a cambio de la clave. A menudo los atacantes además copian los datos antes y amenazan con publicarlos. [1]
Cifrar no suele ser el primer paso. Según el NCSC, el atacante primero accede a la red, toma el control y solo después instala el programa de cifrado. [4] CISA añade que los atacantes suelen usar cuentas con privilegios para cifrar toda la red y buscan las copias de seguridad accesibles. [1]
La guía #StopRansomware de CISA, el FBI y la NSA agrupa sus recomendaciones según las vías de acceso inicial más comunes. [1] Para una empresa pequeña, las principales son:
- Phishing. Un correo con un adjunto o un enlace que deja malware en el ordenador o le entrega una contraseña al atacante.
- Contraseñas robadas o adivinadas. Los atacantes entran a menudo por servicios de escritorio remoto (RDP) expuestos y mal protegidos, por la VPN o con credenciales comprometidas. [1]
- Vulnerabilidades en el perímetro. Equipos de acceso remoto y servidores expuestos a internet sin parchear. El NCSC aconseja corregir de inmediato las vulnerabilidades conocidas en estos equipos. [2]
- Proveedores. Un proveedor de TI con acceso a tus sistemas también puede ser la puerta: CISA señala a los proveedores de servicios gestionados como vía de infección de ransomware. [1]
Qué puertas están abiertas en tu empresa lo muestra un pentest del perímetro. Cómo reacciona tu equipo ante el phishing lo comprueba una simulación de phishing.
Medidas que frenan el ransomware y cómo comprobar que funcionan
| Medida | Qué frena | Cómo comprobar que está hecha | Esfuerzo |
|---|---|---|---|
| Una copia fuera del alcance del atacante (offline o inmutable) | La pérdida de datos tras el cifrado y la presión de «paga, no tienes copias» | Un administrador del dominio no puede borrar esa copia desde la red de trabajo | Medio |
| Prueba de restauración cronometrada | La sorpresa de «hay copia, pero no restaura» | Hay fecha de la última prueba y cuántas horas tardó | Medio, trimestral |
| MFA en correo, VPN, RDP y paneles de administración en la nube | Accesos con contraseñas robadas o adivinadas | Un informe del correo o la VPN: ningún usuario sin MFA | Bajo |
| RDP cerrado a internet | Adivinar contraseñas del escritorio remoto | Un escaneo externo no ve el puerto 3389 ni otros servicios de acceso remoto | Bajo |
| Parches en VPN, cortafuegos, servidores de correo y web | La entrada por una vulnerabilidad conocida | Lista de equipos del perímetro con versión de firmware y fecha de actualización | Medio, continuo |
| Permisos de administrador mínimos | Cifrar toda la red desde una sola cuenta comprometida | Cuántas personas hay en el grupo de administradores y si usan cuentas separadas | Medio |
| Filtrado de correo y formación | Abrir un adjunto malicioso o escribir la contraseña en una página falsa | Resultados de la simulación de phishing: quién abrió, quién avisó | Bajo |
| Plan de respuesta escrito y en papel | El caos y las pruebas borradas en las primeras horas | Plan impreso con teléfonos y fecha del último ensayo | Bajo |
Una evaluación de seguridad o un pentest revisa tu perímetro externo y los permisos de acceso: muestra cómo llegaría un atacante desde el primer punto de entrada hasta tus servidores y copias.
Copias de seguridad desde las que sí puedes restaurar
Muchas variantes de ransomware buscan primero las copias accesibles y las borran o cifran para que sea imposible recuperarse sin pagar. [1] Por eso al menos una copia tiene que estar donde el atacante no llegue.
La regla 3-2-1. El NCSC la describe como la forma más común de tener copias resistentes: al menos tres copias, en dos dispositivos, una de ellas fuera de la oficina. [3] Pero la regla por sí sola no exige que ninguna copia esté desconectada, así que el NCSC recomienda añadir una copia offline. [3]
Una copia offline o inmutable. Offline significa un disco desconectado o un almacenamiento al que no se llega desde la red de trabajo. El almacenamiento en la nube no se puede desenchufar, así que hay que separarlo de otra forma: credenciales propias, una cuenta aparte, acceso restringido. [3] CISA advierte de que la sincronización automática con la nube puede no bastar: los archivos cifrados se sincronizan y pueden sobrescribir los buenos. [1] Algunos proveedores de nube ofrecen almacenamiento inmutable, que impide modificar o borrar una copia durante un tiempo. [1]
Prueba de restauración cronometrada. CISA y el NCSC aconsejan comprobar con regularidad que las copias están íntegras y se pueden restaurar. [1] [2] En la práctica:
- Elige un sistema crítico: contabilidad, CRM o el servidor de archivos.
- Restáuralo desde la copia offline en otro ordenador o en una máquina virtual.
- Cronometra desde el inicio hasta que la gente pueda volver a trabajar.
- Apunta la fecha, el tiempo y lo que estorbó. Repite el próximo trimestre.
Si restaurar lleva tres días y el negocio aguanta uno, esa es una pregunta para el dueño, no para el administrador.
Qué más guardar offline. CISA recomienda mantener «imágenes maestras» (golden images) de los sistemas críticos, plantillas con el sistema operativo y las aplicaciones ya configurados, para reconstruir rápido. [1] En una empresa pequeña puede bastar con una guía de configuración escrita y los instaladores del software clave junto a la copia.
La primera hora tras un ataque
Lo que hagas en las primeras horas decide cuántos datos y pruebas se salvan. La guía de CISA pide dar los tres primeros pasos en este orden. [1]
- Aísla. Desconecta de la red los equipos afectados: cable o wifi. Si hay muchos sistemas afectados, desconecta la red en el switch. [1]
- No borres ni reinstales. Apaga un equipo solo si no puedes desconectarlo, porque así se pierden los rastros en memoria. [1]
- Llama, no escribas. El atacante puede estar leyendo tu correo y tus chats. CISA aconseja coordinar el aislamiento por teléfono u otro canal ajeno a la red. [1]
- Guarda las pruebas. Registros, la nota de rescate, archivos sospechosos, instantáneas de los discos en la nube. [1]
- Informa. La policía y el CERT nacional de tu país, tu proveedor de TI, un abogado, la aseguradora si tienes póliza. Los contactos y qué decir a los clientes están en cuenta de la empresa hackeada: qué hacer en los primeros 30 minutos.
- Restaura sobre sistemas limpios. Recupera los datos de las copias offline solo cuando se haya encontrado y cerrado la vía de entrada del atacante; si no, volverás a infectarte. [1]
Imprime el plan. CISA aconseja expresamente tener una copia en papel y una versión offline del plan de respuesta. [1]
Pagar el rescate: qué dicen las fuentes oficiales
El NCSC afirma que las fuerzas del orden no fomentan, respaldan ni aprueban el pago de rescates, y que pagar no garantiza recuperar los datos. [4] [2]
CISA, el FBI y la NSA no recomiendan pagar: no garantiza el descifrado, no garantiza que el atacante salga de tus sistemas y no garantiza que tus datos no se filtren. [1] También advierten de que el pago puede acarrear riesgos de sanciones y aconsejan consultar con las fuerzas del orden. [1]
La decisión es del dueño, junto con un abogado. Lo mejor que puedes hacer de antemano es que la pregunta nunca llegue a plantearse: tener una copia desde la que ya has restaurado.
Errores habituales
- La copia está en el mismo servidor o en una carpeta de red a la que llega el dominio. El ransomware la borra primero.
- Nadie ha probado nunca a restaurar. La copia resulta incompleta o la recuperación tarda una semana.
- RDP abierto a internet «de forma temporal». Lo temporal dura años.
- MFA para todos menos el director y el administrador. Sus cuentas son justo las que más interesan al atacante.
- Reinstalarlo todo de inmediato. Las pruebas desaparecen con el sistema y nunca sabrás cómo entró el atacante.
- El plan solo está en el correo o en el servidor de archivos. Durante el ataque queda cifrado con todo lo demás.
Lista de protección contra ransomware
Descargar la lista de preparación (PDF)PDF · A4
FAQ
¿El antivirus protege del ransomware?
En parte. El antivirus es necesario, pero no te devolverá los archivos cifrados. La guía de CISA empieza por las copias offline, y luego vienen el MFA, los parches y la limitación de permisos.
¿Basta con la sincronización en la nube en lugar de copias?
No. Si se cifran los archivos del ordenador, la sincronización puede subir las versiones cifradas y sobrescribir las buenas. Necesitas una copia aparte, separada de las cuentas del día a día.
¿Cada cuánto hay que probar la restauración?
Las fuentes oficiales dicen que con regularidad. En la práctica, a una empresa pequeña le sirve cada trimestre y después de cada cambio importante en los sistemas.
¿Pagar el rescate garantiza recuperar los datos?
No. El NCSC, CISA y el FBI dicen claramente que pagar no garantiza ni el descifrado ni que tus datos no se publiquen.
¿Qué revisar primero si hay poco tiempo?
Tres cosas: si existe una copia que no se puede borrar desde la red, si el MFA está activado en correo y VPN, y si RDP está abierto a internet. Para una lista más amplia, mira la lista de seguridad para una empresa de 30 personas y cómo proteger el correo de la empresa del phishing.
