Un ataque de ransomware es la operación en la que un grupo criminal consigue acceso a la red de una organización, copia los datos hacia fuera, cifra los sistemas y exige un rescate para devolver el acceso y no publicar lo que se llevó. Como la copia sale antes del cifrado, restaurar la copia de seguridad dejó de cerrar el incidente. Casi siempre empieza por una credencial válida filtrada o por un servicio expuesto en internet con un fallo conocido.
Casi todos los informes de incidente que nos llegan esconden la misma frase en algún párrafo intermedio. El activo por el que entraron ya era conocido. Estaba en el inventario, o debería haber estado. El parche existía. Nadie lo había aplicado, porque ocupaba el puesto 400 de una cola de 3.000 elementos ordenada por severidad teórica.
Esa es la parte incómoda del asunto. El ransomware moderno rara vez depende de una técnica inédita. Depende de la ventana de tiempo entre la publicación de un fallo y su corrección, y de una cola de trabajo que no distingue el fallo que se está explotando hoy del que probablemente no se explote nunca.
El Verizon Data Breach Investigations Report 2025 encontró ransomware en el 44% de las brechas analizadas. En el mismo informe, la explotación de vulnerabilidades supone cerca del 20% de los accesos iniciales y creció un 34% en un año, impulsada por fallos en dispositivos perimetrales y VPN. De esos equipos comprometidos solo se parcheó el 54%, con una mediana de 32 días entre la publicación y la corrección. Treinta y dos días son una eternidad cuando hay un exploit público circulando.
Qué es el ransomware
El ransomware es el software malicioso que secuestra los datos de una organización, cifra los archivos y exige un pago para devolver el acceso. Esa es la definición de manual, y hace tiempo que se quedó corta.
El modelo que domina hoy es el de la doble extorsión. Antes de cifrar nada, el grupo saca una copia de los datos. Así, la copia de seguridad deja de ser la salvaguarda que era. Restauras los sistemas en un fin de semana y te siguen chantajeando con publicar lo que se llevaron. En algunos casos la presión va más lejos, con contacto directo a clientes, socios y reguladores de la víctima, o un ataque de denegación de servicio mientras avanza la negociación.
La consecuencia práctica es que proteger a la empresa contra el ransomware se ha convertido en un trabajo de cerrar accesos. La recuperación sigue importando, y sigue llegando tarde: cuando los datos ya han salido, no hay restauración que lo arregle.
Tipos de ransomware
Clasificar por familia de malware envejece rápido, porque los grupos cambian de código con frecuencia. Clasificar por modelo de extorsión es lo que cambia tu plan de respuesta.
Crypto ransomware. Cifra archivos y deja la máquina funcionando. Es la forma más común en entorno corporativo, y la que tumba un sistema de producción entero de madrugada.
Locker ransomware. Bloquea la pantalla o el dispositivo sin cifrar archivo por archivo. Aparece más en escritorio y en móvil que en servidor.
Doble extorsión. Exfiltración antes del cifrado, con un plazo para publicar en un sitio de filtraciones. Se ha convertido en el estándar de los grupos grandes.
Extorsión sin cifrado. El grupo roba los datos y ni se molesta en cifrar. Las campañas de Cl0p contra herramientas de transferencia de archivos siguieron ese camino, con cientos de víctimas a partir de un único fallo en un producto perimetral.
Ransomware como servicio (RaaS). El operador desarrolla el código y la infraestructura de negociación, y los afiliados ejecutan el ataque a cambio de un porcentaje del rescate. Por eso la misma familia aparece en víctimas que no tienen nada que ver entre sí.
Wiper disfrazado. Se presenta como ransomware y destruye los datos sin clave de recuperación alguna. NotPetya, en 2017, fue el caso más caro de esta categoría.
Cómo funciona un ataque de ransomware, paso a paso
Existe una versión folclórica del ransomware, con el empleado abriendo un adjunto y la pantalla poniéndose roja al segundo siguiente. La realidad tiene más pasos y suele durar días.
- Acceso inicial. Llega, en la mayoría de los casos, por tres vías: una credencial válida comprada o filtrada, un servicio expuesto en internet con un fallo conocido, o un phishing bien construido. El DBIR 2025 sitúa las credenciales robadas en el 22% de los casos y el phishing en el 16%.
- Persistencia. Una vez dentro, el operador no cifra nada. Se asegura de poder volver: crea cuentas, programa tareas e instala herramientas de acceso remoto legítimas que pasan desapercibidas para el antivirus.
- Escalada y movimiento lateral. Busca privilegios de administrador y empieza a moverse por la red, mapeando controladores de dominio, servidores de ficheros y la consola de copias de seguridad.
- Sabotaje de las copias. Un operador con experiencia borra o corrompe las copias antes que cualquier otra cosa, porque una copia íntegra hunde el precio del rescate.
- Exfiltración. Puede durar días y salir por servicios de nube corrientes para no llamar la atención en el tráfico saliente.
- Cifrado. El último paso, normalmente lanzado en la madrugada del viernes al sábado, cuando el equipo de respuesta está bajo mínimos.
Cuando aparece la pantalla, el adversario lleva mucho tiempo dentro y ya se ha llevado lo que quería. Cada paso de esta cadena es una oportunidad de detección que la organización tuvo y no aprovechó. Pero el paso más barato de bloquear sigue siendo el primero.
Por qué la cola de parcheo por severidad no protege
Todo equipo de seguridad convive con el mismo problema aritmético. El escáner devuelve miles de vulnerabilidades. La capacidad de corrección del equipo da para unas decenas por sprint. Alguien tiene que elegir.
La elección casi siempre se hace por CVSS, que parece razonable y no lo es. El CVSS mide el daño potencial de un fallo en condiciones ideales para el atacante. No dice nada sobre la probabilidad de que alguien lo intente. Hay CVE con 9.8 publicados hace tres años sin un solo exploit conocido, y hay fallos de puntuación media usándose ahora mismo en campañas activas de ransomware.
El resultado es una cola que gasta la capacidad del equipo en elementos graves sobre el papel mientras deja pasar el que el adversario va a usar la semana que viene. Por eso el porcentaje de dispositivos perimetrales parcheados en el DBIR es tan bajo. El equipo no es negligente. La cola que recibió está en el orden equivocado.
Tres señales mejoran mucho esa ordenación, y ninguna es el CVSS:
- La vulnerabilidad está en el catálogo CISA KEV, lo que significa explotación confirmada en el mundo real.
- Hay un exploit público y funcional, lo que reduce el coste de uso a casi cero.
- El EPSS estima una probabilidad alta de explotación en los próximos 30 días.
Quien cruza las tres ya opera muy por encima de la media. Todavía falta una cosa, y es la que más importa. Saber qué se está atacando ahora, no qué se atacó en algún momento del pasado.
Amenaza emergente: ver la explotación mientras ocurre
CSURFACE opera una malla de sensores que se presenta en internet como infraestructura vulnerable y registra lo que se intenta contra ella. Cuando un grupo empieza a barrer internet buscando un fallo concreto, ese barrido llega a los sensores antes de convertirse en incidente en un cliente. Así sabemos qué CVE están bajo ataque en curso, con qué intensidad y desde cuándo.
Ese dato está abierto en threatsensor.csurface.io, de uso gratuito. Cualquiera puede consultar qué se está explotando en este momento, sin contrato y sin registro comercial. Creemos que la información en bruto de amenaza emergente debe circular, incluso para quien no es cliente nuestro.
Lo que el dato abierto no hace es responder a la única pregunta que le importa a tu equipo: ¿esto me afecta a mí?
Ahí entra la cualificación, y ese es el trabajo de la plataforma. Saber que un CVE está bajo ataque tiene un valor limitado si no sabes si ese producto existe en tu entorno, en qué versión, expuesto a quién, en qué unidad de negocio y sosteniendo qué proceso. El descubrimiento continuo levanta lo que tu organización expone de verdad en internet, incluido lo que nadie registró. La priorización cruza ese inventario con la señal de explotación observada y devuelve una cola corta, específica de tu superficie, en la que el primer elemento es el que un grupo de ransomware podría usar contra ti esta misma semana.
La diferencia entre las dos cosas se ve en el número. De las miles de vulnerabilidades publicadas en un año, unos pocos cientos reúnen KEV, exploit público y EPSS alto a la vez. Dentro de ese núcleo, una fracción menor está bajo ataque observado. Y de esa fracción, lo que existe en tu entorno suele caber en una página. Pasar de miles de elementos a una página es lo que hace viable el parcheo dentro de la capacidad real del equipo. El detalle del método está en Exploit & Threat Intelligence.
Cómo prevenir el ransomware: diez medidas
Ninguna es novedad. Lo que importa es el orden, porque refleja por dónde entran los ataques en las empresas.
- Mantén al día, solo, el inventario de lo que expones. Ninguna de las nueve medidas siguientes alcanza al activo que nadie sabe que existe, y una hoja de cálculo revisada cada trimestre no sigue el ritmo de un entorno que cambia cada semana. La gestión de la superficie de ataque descubre a escala cada dominio, subdominio, IP, puerto y servicio nuevo, atribuye cada uno a la unidad de negocio que lo detenta y avisa cuando algo aparece, sin agentes y sin depender de que alguien se acuerde de registrarlo.
- Parchea primero lo que está expuesto en internet y bajo explotación activa. Servicios de acceso remoto, VPN, cortafuegos, appliances perimetrales y portales de autenticación, en ese orden, antes de cualquier elemento interno de severidad alta.
- Exige MFA resistente a phishing en todo acceso remoto, VPN y panel de administración. La credencial válida es el vector inicial más común, y la contraseña sola ya no sostiene nada.
- Vigila la filtración de credenciales corporativas. Buena parte de los accesos iniciales se compra hecha a intermediarios. Detectar la credencial expuesta antes de que se use corta la cadena al principio, y para eso sirve la monitorización de credenciales.
- Protege la copia de seguridad como si fuera el objetivo principal, porque lo es. Copia inmutable, fuera del dominio, con credencial separada, y prueba de restauración con tiempo medido. Una copia que nunca se ha restaurado sigue siendo una hipótesis.
- Segmenta la red para que un endpoint comprometido no llegue al controlador de dominio ni a la consola de copias. El movimiento lateral es el paso en el que un incidente pequeño se convierte en desastre.
- Mantén EDR en todos los endpoints y servidores, con alertas que alguien mire, y restringe qué puede ejecutarse en los servidores. Una herramienta instalada sin guardia de respuesta solo produce el registro de lo que pasó, y las herramientas de acceso remoto legítimas que usan los operadores de ransomware pasan el antivirus precisamente por ser legítimas.
- Trata a tus proveedores como parte de tu superficie. El DBIR 2025 muestra la participación de terceros doblándose del 15% al 30% de las brechas. El acceso del socio es tu problema, y de eso se ocupa la gestión de riesgo de la cadena de proveedores.
- Ten un plan de respuesta escrito y probado, con la decisión sobre el pago tomada antes del incidente, el contacto jurídico definido, las obligaciones de notificación mapeadas y la comunicación preparada. Nadie decide bien a las tres de la mañana.
- Valida los controles en vez de fiarte de la configuración. La validación continua confirma si la exposición es explotable de verdad y si el control que debería bloquear el camino lo bloquea.
El primer punto es requisito de los otros nueve: sin inventario corriges lo que conoces, y el adversario entra por lo que no conoces. Hecho eso, si tu empresa solo puede ejecutar tres más este trimestre, ejecuta el segundo, el tercero y el quinto. Es la combinación que cierra las puertas más usadas y preserva la capacidad de recuperación.
Dónde encaja el CTEM
Gartner organizó este trabajo en cinco fases bajo el nombre de Continuous Threat Exposure Management: delimitación del alcance, descubrimiento, priorización, validación y movilización. El ciclo interesa aquí porque ataca exactamente los dos fallos que hemos descrito.
El descubrimiento resuelve el inventario incompleto, que es el motivo de que el activo olvidado acabe siendo la puerta de entrada. La priorización resuelve la cola equivocada, siempre que se alimente de explotación real y no de severidad teórica. La validación confirma que la exposición es explotable. La movilización convierte todo eso en un ticket con dueño y plazo, y ahí es donde se atasca la mayoría de los programas.
Cómo se monta esto en la práctica está descrito en CTEM, y la cobertura de superficie externa en gestión de la superficie de ataque.
Cuánto cuesta un ataque de ransomware
Según el State of Ransomware 2025 de Sophos, que encuestó a 3.400 responsables de TI y seguridad en 17 países, el coste medio de recuperación se situó en 1,53 millones de dólares, sin contar el rescate. Cerca de la mitad de las organizaciones afectadas pagó. La mitad de las que pagaron no lo recuperó todo.
Son cifras globales y sirven como orden de magnitud, no como estimación de tu caso. La cifra que le importa a tu dirección es la tuya. Cuánto costaría la parada de tus procesos críticos, durante el tiempo que tardaría tu operación en volver. Ese cálculo lo hace la cuantificación de riesgo cibernético, que traduce exposición técnica a euros. Puedes empezar por la calculadora de riesgo, que funciona sin registro.
En España, los casos que llegaron a la prensa siguen el mismo patrón. El ataque a Everis y a la Cadena SER en 2019 obligó a apagar sistemas y a mandar a los empleados a casa. El del Ayuntamiento de Sevilla en 2023 dejó servicios municipales parados durante semanas. En ninguno de los dos el debate público giró en torno a una técnica de intrusión sofisticada.
Preguntas frecuentes
¿Cuál es el objetivo principal de un ataque de ransomware?
Extorsionar dinero. El cifrado y el robo de datos son los medios de presión, y el rescate es el fin. Por eso el operador ataca las copias de seguridad antes de cifrar, y por eso copia los datos antes: cada capa de presión sube la cifra que puede pedir y reduce tu margen para negarte.
¿Qué diferencia hay entre un virus y un ransomware?
Un virus es el programa que se replica insertando código en otros archivos, y la replicación es lo que lo define. El ransomware se define por su objetivo, extorsionar mediante el secuestro de datos. Un ransomware puede propagarse solo, como WannaCry en 2017, pero hoy la mayoría la instala el operador a mano cuando ya está dentro de la red.
¿Qué diferencia hay entre phishing y ransomware?
El phishing es una técnica de acceso y el ransomware es el desenlace del ataque. El phishing sirve para robar la credencial o dejar el primer programa en la máquina de la víctima, y el ransomware llega días después, cuando el operador ya ha mapeado la red. Según el DBIR 2025, el phishing aparece en el 16% de los accesos iniciales, por detrás de las credenciales robadas.
¿Pagar el rescate resuelve el problema?
En la mitad de los casos no lo resuelve del todo. El estudio de Sophos muestra que una parte relevante de quienes pagaron no recuperó todos los datos. El pago tampoco impide la publicación de lo exfiltrado, porque la única garantía es la palabra del criminal.
¿No basta con tener copias de seguridad?
La copia resuelve el cifrado y no resuelve la extorsión por filtración. Sigue siendo obligatoria, siempre que sea inmutable, esté fuera del dominio y se pruebe de verdad, porque la consola de copias está entre los primeros objetivos del operador.
¿Cuál es el vector de entrada más común?
Credencial válida y servicio expuesto con fallo conocido, en ese orden. Según el DBIR 2025, las credenciales robadas aparecen en el 22% de los casos y la explotación de vulnerabilidades en cerca del 20%, con un crecimiento fuerte en dispositivos perimetrales.
¿Cuánto tiempo pasa el atacante en la red antes de cifrar?
De horas a semanas. Las campañas oportunistas contra un fallo perimetral pueden cifrar en menos de un día. Las operaciones que priorizan la exfiltración suelen tardar días, tiempo en el que la detección todavía es posible.
¿Cómo se elimina un ransomware del entorno?
Quitar el binario es la parte fácil y la menos útil. Lo que hay que sacar es el acceso del operador: cuentas que creó, tareas programadas, herramientas de acceso remoto instaladas y credenciales de dominio comprometidas. Reinstalar la máquina cifrada sin cerrar el camino de entrada devuelve el entorno al mismo grupo en pocas semanas.
¿Cómo sé si una vulnerabilidad de mi entorno está bajo ataque?
Consulta threatsensor.csurface.io para el dato abierto de explotación en curso. Para cruzar esa señal con lo que tu organización expone y recibir la cola ya ordenada, eso lo hace la plataforma en priorización.
¿Cómo protejo la empresa si el equipo de seguridad es pequeño?
Concentra la capacidad que tienes en lo que está expuesto en internet y bajo explotación confirmada, y automatiza el resto del inventario. Un equipo de tres personas que parchea las diez exposiciones correctas al mes queda más protegido que uno de diez parcheando cien elementos elegidos por severidad.
¿El seguro de ciberriesgo sustituye al programa de seguridad?
No. La póliza transfiere parte de la pérdida financiera y no reduce la probabilidad del incidente. Las aseguradoras vienen exigiendo evidencia de controles tanto para suscribir como para pagar, y eso está tratado en cyber insurance.
Por dónde empezar
Si lees esto con una cola de parcheo que no cabe en la capacidad de tu equipo, el paso siguiente es reordenar la cola, no ampliarla. Consulta el dato abierto de amenaza emergente en threatsensor.csurface.io y comprueba cuántos de los CVE bajo ataque hoy existen en tu perímetro.
Si quieres ese cruce hecho sobre tu superficie real, con atribución de activos y una cola lista para convertirse en tickets, habla con nosotros.