El ransomware es un tipo de software malicioso que cifra la información o bloquea los sistemas de una empresa y exige un pago, casi siempre en criptomonedas, a cambio de la clave para recuperarlos. Hoy la mayoría de los ataques además roba una copia de los datos antes de cifrarlos, para amenazar con publicarlos si la víctima no paga. Es el ataque que más detiene operaciones: la facturación, la producción y el correo pueden quedar inaccesibles en minutos.
Más de la mitad de los ataques todavía logra cifrar los datos: el 56%, según el reporte State of Ransomware 2026 de Sophos, basado en 2,158 responsables de TI de 17 países. El mismo estudio trae el dato que más importa para prepararse: el 66% de las empresas con datos cifrados los recuperó con sus respaldos.
Qué es el ransomware y cómo funciona
Un ataque de ransomware se parece mucho al secuestro de un almacén: alguien entra con una copia de la llave, pone su propio candado en cada estante y deja una nota en la puerta con el precio de la llave nueva. En la versión moderna, antes de irse se lleva una foto de tu inventario y amenaza con publicarla si no pagas. Lo mismo hace el programa con la información de tu empresa.
Técnicamente, el ransomware usa cifrado: convierte cada archivo en datos ilegibles que solo se pueden recuperar con una clave que guarda el atacante. El cifrado es el mismo que protege tus operaciones bancarias, así que romperlo sin la clave no es viable. Por eso la defensa no está en descifrar después, sino en impedir la entrada y tener cómo recuperarse.
Tipos de ransomware
Los ataques se distinguen por lo que hacen con tu información y por quién está detrás:
| Tipo | Qué hace | En el almacén |
|---|---|---|
| De cifrado | Cifra archivos y bases de datos, y pide un pago por la clave. | Candado en cada estante. |
| Doble extorsión | Roba una copia de la información antes de cifrarla y amenaza con publicarla. | Candado, más la foto del inventario. |
| De bloqueo | Bloquea el acceso al equipo completo sin cifrar los archivos. Hoy es menos común en empresas. | Candado solo en la puerta. |
| Ransomware como servicio (RaaS) | Un grupo desarrolla el programa y lo renta a afiliados que hacen los ataques a cambio de una comisión. | Alguien que renta llaves maestras a otros ladrones. |
El ransomware como servicio explica por qué los ataques crecieron tanto: ya no hace falta saber programar para lanzar uno. Por eso las víctimas no son solo grandes corporativos: una empresa mediana con respaldos débiles es un blanco rentable, y el golpe va mucho más allá del rescate, como detallamos al analizar cuánto cuesta un ataque de ransomware.
Anatomía de un ataque: del primer clic al rescate
Un ataque de ransomware no ocurre en un instante. El cifrado es el último paso de un proceso que puede durar semanas. Así se ve la secuencia típica en una empresa de logística con 120 colaboradores:
- Día 1: la entrada. Una persona de compras abre un correo que parece de un proveedor y escribe su contraseña en una página falsa. Según Sophos, el correo malicioso y el phishing están detrás de la mitad de los ataques; le siguen las credenciales robadas y las fallas sin parchar.
- Días 2 a 10: el reconocimiento. Con esa cuenta, el atacante explora la red: qué servidores hay, dónde están los respaldos, qué cuentas tienen más permisos.
- Días 11 a 20: la escalada. Consigue una cuenta de administrador, desactiva el antivirus donde puede y copia información sensible hacia afuera.
- Día 21: los respaldos. Borra o cifra las copias de seguridad que encuentra conectadas a la red.
- Día 22, en la noche: el cifrado. Lanza el cifrado en todos los equipos a la vez, cuando hay menos personas para notarlo. A la mañana siguiente, cada pantalla muestra la nota de rescate.
La lección está en los días intermedios. Entre la entrada y el cifrado hubo tres semanas de actividad anormal: accesos a horas raras, una cuenta revisando servidores que no le corresponden, antivirus desactivados. Con monitoreo continuo, cualquiera de esas señales permite frenar el ataque antes del último paso; así trabaja un SOC, como explicamos en cómo un SOC detecta el ransomware en tiempo real.
Ataques de ransomware que marcaron a las empresas
Tres casos públicos resumen casi todo lo que hay que saber. Cada uno entró por una puerta distinta.
WannaCry (2017)
Infectó más de 200,000 computadoras en unos 150 países en pocos días, desde hospitales hasta fábricas. Entró por una falla de Windows para la que Microsoft había publicado el parche dos meses antes. Qué enseña: los parches críticos se aplican en días, no cuando haya tiempo.
Pemex (2019)
El grupo DoppelPaymer cifró equipos de la petrolera y pidió 565 bitcoins, unos 4.9 millones de dólares. Pemex no pagó, y parte de la información robada terminó publicada. Qué enseña: con la doble extorsión, no pagar no evita la filtración; por eso la prevención y la protección de datos sensibles pesan tanto como la recuperación.
Colonial Pipeline (2021)
El mayor oleoducto de combustible de Estados Unidos detuvo su operación varios días. Los atacantes entraron con la contraseña de una cuenta de VPN antigua que no tenía segundo factor. La empresa pagó unos 4.4 millones de dólares; el FBI recuperó después una parte. Qué enseña: una sola cuenta olvidada sin segundo factor basta para detener una operación completa. Qué exigir a cada cuenta lo resumimos en nuestra política de contraseñas seguras.
Cómo prevenir un ataque de ransomware
En el almacén, el candado del ladrón no sirve de nada si tienes una copia de todo el inventario en otro edificio, y la puerta no se abre con una llave robada. Esta lista cubre las dos cosas:
- ☐ Respaldos que no se puedan borrar ni modificar, con una copia fuera de tu red y una prueba de restauración cada trimestre.
- ☐ Segundo factor en el correo, el acceso remoto y todas las cuentas de administrador.
- ☐ Nada de escritorio remoto expuesto a internet: el acceso remoto solo por VPN o por una puerta de acceso controlada.
- ☐ Parches críticos en días, empezando por los equipos que dan a internet.
- ☐ EDR en equipos y servidores, que detecta el comportamiento del cifrado aunque el programa sea nuevo.
- ☐ Firewall con reglas estrictas entre áreas de la red, para que un equipo infectado no alcance a todos. Cómo ayuda lo detallamos en 5 maneras en que un firewall bloquea un ataque de ransomware.
- ☐ Monitoreo las 24 horas, para ver las semanas de actividad previa al cifrado.
- ☐ Capacitación contra phishing con ejemplos reales de tu sector.
¿Pagar o no pagar el rescate?
Es la primera pregunta de cualquier dirección el día del ataque. El FBI recomienda no pagar, y los datos ayudan a entender por qué:
| Lo que promete el atacante | Lo que pasa en la práctica |
|---|---|
| Pagas y recuperas todo. | Pagar no garantiza recibir una clave que funcione, ni que funcione con todos los archivos. |
| Pagas y tus datos no se publican. | La información ya salió de tu red; no hay forma de comprobar que la borren. |
| Pagas y se acaba el problema. | El pago financia nuevos ataques y marca a tu empresa como una que paga. |
| Sin pagar, pierdes la información. | Con respaldos protegidos, dos de cada tres empresas recuperan sus datos sin depender del atacante. |
Aun así, el 48% de las empresas con datos cifrados pagó, según Sophos, casi siempre porque no tenía respaldos utilizables. La decisión real se toma meses antes del ataque, cuando decides cómo proteger tus copias de seguridad. Si ya ocurrió, estos son los primeros pasos:
- Desconecta de la red los equipos afectados, sin apagarlos, para detener la propagación y conservar evidencia.
- Activa tu plan de respuesta y a tu proveedor de seguridad; no intentes limpiar los equipos por tu cuenta.
- Revisa qué respaldos siguen limpios antes de restaurar, para no volver a cargar el programa malicioso.
- Consulta a tu área legal antes de cualquier contacto con los atacantes, y evalúa si debes avisar a clientes cuyos datos personales se vieron afectados.
- Denuncia el ataque ante la policía cibernética.
Volver a operar es la otra mitad del trabajo, y se prepara con un plan de recuperación ante desastres (DRP) probado.
Preguntas frecuentes sobre ransomware
Es la unión de ransom, que en inglés significa rescate, y software. Nombra a los programas que secuestran información o sistemas para cobrar por liberarlos.
Según Sophos, recuperarse de un ataque costó en promedio 1.7 millones de dólares en 2026, sin contar el rescate: horas de operación detenida, personal, equipos y reputación.
Solo en parte. Un antivirus tradicional detiene programas maliciosos conocidos, pero muchos ataques usan variantes nuevas o herramientas legítimas del sistema. Un EDR vigila el comportamiento del equipo y puede frenar el cifrado aunque el programa no esté en ninguna lista.
Sí, si tienes respaldos que el atacante no alcanzó a borrar. Para algunas variantes viejas también existen descifradores gratuitos publicados por empresas de seguridad y autoridades. La vía confiable son los respaldos protegidos, como los de nuestro servicio de copias de seguridad en la nube.
Muchas pólizas lo cubren, pero cada vez exigen más controles antes de emitirla o de pagar un siniestro: segundo factor, respaldos probados, protección de equipos y un plan de respuesta. Sin ellos, la cobertura puede reducirse o negarse.
Es recomendable denunciarlo ante la policía cibernética. Si el ataque expuso datos personales de clientes o colaboradores, la ley de protección de datos personales te obliga a informar a los afectados, así que conviene revisarlo con tu área legal desde el primer día.
Adán es especialista en ciberseguridad en TecnetOne. Analiza amenazas, vulnerabilidades y buenas prácticas de protección para ayudar a las empresas a fortalecer su seguridad. En el blog comparte hallazgos técnicos y recomendaciones prácticas frente a los riesgos digitales actuales.
