¿Qué es el ransomware? Cómo funcionan los ataques, quién paga y cómo protegerse

¿Qué es el ransomware?

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) define el ransomware como un malware diseñado para cifrar los archivos de un dispositivo, de modo que estos y los sistemas que dependen de ellos queden inutilizables, tras lo cual los delincuentes exigen un rescate a cambio del descifrado ^[1]. Cifrar significa aquí codificar los archivos con una clave que solo tiene el atacante. El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido señala que puede bloquearse la propia computadora, o que los datos pueden ser robados, borrados o cifrados, y que algunos ransomware se propagan a otras máquinas de la red, como hizo WannaCry cuando afectó al NHS en mayo de 2017 ^[3].

Normalmente se indica a las víctimas que se comuniquen con el atacante a través de una dirección de correo electrónico o una página web anónimas y que paguen en una criptomoneda como Bitcoin ^[2]. Microsoft señala que una infección no suele dar señales hasta que una ventana, una aplicación o un mensaje a pantalla completa exige dinero, a menudo cuando los archivos ya están cifrados ^[7].

¿Qué es la doble extorsión?

Con el tiempo, los atacantes también han empezado a copiar los datos de las víctimas y a amenazar con publicarlos para presionarlas a pagar; el uso combinado del cifrado y la amenaza de filtración se conoce como doble extorsión ^[1]. En algunos casos, los delincuentes prescinden por completo del cifrado y usan los datos robados como única herramienta de presión ^[1].

¿Cómo funciona un ataque de ransomware?

El NCSC describe una secuencia típica ^[2]:

1. Los atacantes obtienen acceso a la red, toman el control e implantan el software de cifrado malicioso; también pueden copiar datos para amenazar con una filtración ^[2].
2. Se activa el malware, que bloquea los dispositivos y cifra los datos en toda la red ^[2].
3. Un aviso en pantalla explica el rescate y cómo pagarlo, normalmente a través de una página web anónima y en criptomonedas ^[2].

¿Cómo entran los atacantes?

La CISA agrupa los vectores de acceso inicial más habituales en vulnerabilidades y errores de configuración de sistemas expuestos a internet, credenciales comprometidas, phishing, infecciones previas de malware, ingeniería social avanzada, y terceros o proveedores de servicios gestionados ^[1]. El NCSC afirma que el ransomware lo despliegan cada vez más atacantes que obtienen acceso remoto a través de servicios expuestos, como el Protocolo de Escritorio Remoto (RDP), o de dispositivos de acceso remoto sin parches ^[3]. Para los usuarios domésticos, Microsoft menciona como vías habituales abrir archivos adjuntos inesperados y enlaces maliciosos en el correo electrónico, las redes sociales, las aplicaciones de mensajería o los SMS ^[7].

¿Quién está detrás?

Según la empresa de análisis de blockchain Chainalysis, el ransomware funciona hoy como un mercado interconectado de servicios de acceso, infraestructura y pagos ^[5]. Las grandes operaciones de «ransomware como servicio» (RaaS) se fragmentaron en 2025 en muchos actores más pequeños e independientes, y algunos análisis llegan a contabilizar hasta 85 grupos de extorsión activos ^[5]. Los intermediarios de acceso inicial (IAB) facilitan la entrada a redes comprometidas para que los afiliados, los delincuentes que realmente despliegan el ransomware, puedan atacar con relativa facilidad; Chainalysis observó que los picos de actividad de los IAB suelen anticipar en unos 30 días los aumentos de pagos y filtraciones de ransomware ^[5].

¿Qué magnitud tiene el problema del ransomware?

El Internet Crime Complaint Center (IC3) del FBI recibió 3,611 denuncias por ransomware en 2025, frente a 3,156 en 2024, con pérdidas declaradas de 32,320,105 dólares estadounidenses ^[4]. El FBI advierte que esta cifra de pérdidas no suele incluir la pérdida de negocio, tiempo, salarios, archivos o equipos, ni la reparación a cargo de terceros, que algunas víctimas no declaran ninguna pérdida y que el resultado es una tasa de pérdidas artificialmente baja ^[4]. Las variantes más denunciadas en 2025 fueron Akira, Qilin, INC./Lynx/Sinobi, BianLian y Play, y entre los diez sectores más afectados figuraron la fabricación crítica, la salud y la sanidad pública, y las instalaciones gubernamentales ^[4]. El IC3 identificó 63 variantes nuevas durante el año ^[4].

Chainalysis calcula que los actores de ransomware recibieron más de 820 millones de dólares estadounidenses en pagos registrados en la blockchain en 2025, alrededor de un 8% menos que su estimación actualizada de 892 millones para 2024, a pesar de que las víctimas reivindicadas aumentaron un 50%, hasta el año de mayor actividad registrado ^[5]. Sugiere que la proporción de víctimas que pagan podría haber caído a un mínimo histórico del 28% ^[5]. Al mismo tiempo, el pago mediano aumentó un 368%, de 12,738 a 59,556 dólares estadounidenses ^[5]. Se trata de estimaciones basadas en el rastreo de la blockchain y pueden revisarse a medida que se atribuyan más pagos ^[5].

Un solo incidente puede resultar muy costoso. Chainalysis cita el ciberataque de 2025 contra Jaguar Land Rover, que paralizó las líneas de producción y causó daños económicos estimados en 1.9 mil millones de libras, el incidente cibernético más costoso de la historia del Reino Unido ^[5].

¿Debe pagar un rescate?

Las directrices oficiales son coherentes: no pague si puede evitarlo. La CISA y sus socios no recomiendan pagar, porque el pago no garantiza que sus datos se descifren, que sus sistemas dejen de estar comprometidos ni que sus datos no se filtren ^[1]. El NCSC afirma que las fuerzas del orden del Reino Unido no fomentan, respaldan ni aprueban el pago, y advierte que, si paga, no hay garantía de recuperar el acceso y es más probable que vuelvan a atacarlo ^[3]. Añade que algunos programas maliciosos solo fingen ser ransomware: son malware de borrado (wiper) y los archivos no se descifran tras el pago ^[3].

¿Cuáles son los riesgos legales?

En septiembre de 2021, la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos actualizó un aviso sobre los posibles riesgos de sanciones por facilitar pagos de ransomware, en el que subrayaba que el gobierno estadounidense desaconseja firmemente pagar rescates cibernéticos y animaba a las víctimas a denunciar los ataques ^[10]. La guía de la CISA también señala que pagar rescates puede conllevar riesgos de sanciones ^[1].

En el Reino Unido, el gobierno anunció el 22 de julio de 2025, tras una consulta pública, que impulsaría medidas para prohibir a los organismos del sector público y a los operadores de infraestructuras nacionales críticas, incluidos el NHS, los ayuntamientos y las escuelas, pagar las exigencias de rescate ^[9]. Según las propuestas, las demás empresas tendrían que notificar al gobierno su intención de pagar, y se está desarrollando un régimen de notificación obligatoria ^[9]. A 3 de noviembre de 2026, los lectores deberían consultar GOV.UK para saber si estas medidas ya son ley.

Esta es información general, no asesoramiento jurídico ni financiero. Una organización que reciba una exigencia de rescate debería recurrir a las fuerzas del orden, a asesoría jurídica y a un proveedor de respuesta a incidentes.

¿Cómo protegerse del ransomware en casa?

1. Haga copias de seguridad de lo que valora. El NCSC define una copia de seguridad como una copia de los datos importantes guardada en un lugar seguro e independiente, como un almacenamiento en la nube o un soporte extraíble, e incluye el malware como el ransomware entre los motivos por los que podría perder el acceso ^[8].
2. Mantenga al menos una copia de seguridad desconectada. El NCSC aconseja que los dispositivos de respaldo, como los discos externos y las memorias USB, no estén conectados de forma permanente, porque los atacantes van a por las copias de seguridad conectadas ^[3].
3. Use el historial de versiones. Elija un servicio en la nube que conserve las versiones anteriores, porque los servicios en la nube suelen sincronizarse justo después de que los archivos se sustituyan por copias cifradas ^[3]. Microsoft afirma que OneDrive incluye detección de ransomware y control de versiones de archivos ^[7].
4. Actualice todo. Mantenga Windows y el resto del software con los parches al día y Seguridad de Windows activada ^[7]; el NCSC recomienda, siempre que sea posible, las actualizaciones automáticas de sistemas operativos, aplicaciones y firmware ^[3].
5. Active el Acceso controlado a carpetas en Windows 10 u 11 para proteger las carpetas importantes frente a programas no autorizados ^[7].
6. Tenga cuidado con los archivos adjuntos y los enlaces que no esperaba, también en las aplicaciones de mensajería y los SMS ^[7].

¿Cómo reducen las organizaciones el riesgo de ransomware?

Las recomendaciones del FBI de 2025 para las empresas incluyen copias de seguridad sin conexión o fuera de las instalaciones que estén cifradas y sean inmutables (que no puedan alterarse ni borrarse), eliminar las contraseñas predeterminadas, desactivar los protocolos innecesarios, limitar los derechos de administrador, la autenticación multifactor (MFA) para el correo web, las VPN y los sistemas críticos, la segmentación de la red y la aplicación rápida de parches en los sistemas expuestos a internet ^[4].

La CISA aconseja mantener copias de seguridad cifradas y sin conexión y probarlas con regularidad, porque la mayoría de los actores de ransomware intentan encontrar y borrar o cifrar las copias de seguridad accesibles ^[1]. También recomienda conservar «imágenes maestras» (golden images), plantillas de sistema preconfiguradas que permiten reconstruir servidores con rapidez, y no exponer a internet servicios como RDP ^[1]. El NCSC añade que las organizaciones deberían planificar y ensayar su respuesta, incluida la forma de mantener en funcionamiento los servicios críticos si los sistemas no están disponibles y cómo responderán a una exigencia de rescate ^[3]. El gobierno del Reino Unido insta igualmente a disponer de copias de seguridad sin conexión y de planes probados para operar sin sistemas informáticos durante un periodo prolongado ^[9].

¿Qué hacer si sufre un ataque de ransomware?

1. Aísle los dispositivos afectados. La CISA indica que se desconecten de la red o del Wi-Fi; si toda la red está afectada, desconéctela a nivel del switch ^[1].
2. Apague solo si no puede desconectar. La CISA señala que apagar destruye las pruebas que hay en la memoria, por lo que es un último recurso ^[1].
3. Use canales de comunicación alternativos. Los atacantes pueden estar vigilando el correo electrónico y el chat, por lo que la CISA sugiere usar llamadas telefónicas para coordinar la respuesta ^[1].
4. Limpie el dispositivo antes de restaurar. Microsoft aconseja limpiar por completo la PC con software de seguridad antes de intentar recuperar los archivos ^[7]; el NCSC indica que se analicen las copias de seguridad en busca de malware y que solo se conecten a dispositivos que se sepa que están limpios ^[3].
5. Busque un descifrador gratuito. El proyecto No More Ransom, citado por el NCSC, ofrece herramientas de descifrado para algunas familias de ransomware, aunque no todos los tipos tienen solución ^[6][3].
6. Denúncielo. En el Reino Unido, los incidentes pueden notificarse al NCSC y a Report Fraud ^[3]; en Estados Unidos, el FBI pide a las víctimas que presenten una denuncia ante el IC3 ^[4]. Microsoft afirma que quien ya haya pagado debe comunicarse de inmediato con su banco y con las autoridades locales ^[7].

¿Qué relación tiene Irán con la actividad de ransomware?

En agosto de 2024, el FBI, la CISA y el Department of Defense Cyber Crime Center advirtieron que un grupo de ciberactores con base en Irán, que según el FBI está asociado con el Gobierno de Irán, obtenía acceso a redes de Estados Unidos y de otros países y colaboraba con afiliados de ransomware, entre ellos NoEscape, Ransomhouse y ALPHV (BlackCat), a cambio de un porcentaje de los pagos de rescate ^[12]. El aviso señala que estos actores solían obtener acceso aprovechando dispositivos de red como Citrix NetScaler y F5 BIG-IP ^[12].

En septiembre de 2022, el Departamento del Tesoro de Estados Unidos sancionó a diez personas y dos entidades afiliadas al Cuerpo de la Guardia Revolucionaria Islámica por actividades cibernéticas maliciosas, incluido el ransomware; afirmó que el grupo activaba Microsoft BitLocker en las redes de las víctimas sin autorización y retenía las claves de descifrado para exigir un rescate ^[11]. Estas son conclusiones de organismos estadounidenses. Las designaciones de sanciones de este tipo son una de las razones por las que la OFAC advierte que pagar un rescate puede conllevar riesgos de sanciones ^[10].