Tipos de ransomware: cómo funcionan y cómo proteger tu empresa
En Dimgest ayudamos a las empresas a mantener sus sistemas, gestionar su infraestructura informática y proteger la información con la que trabajan cada día. Una parte de ese trabajo consiste en anticipar problemas y preparar la recuperación cuando ocurre una incidencia. Conocer los tipos de ransomware permite entender por qué proteger los equipos y disponer de copias de seguridad son tareas que deben coordinarse.
Un ataque puede impedir el acceso a los documentos, bloquear un dispositivo o combinar el cifrado con el robo de información. Para una empresa, las consecuencias pueden afectar a la facturación, la atención al cliente o el acceso a las aplicaciones de gestión.
Vamos a explicar las diferencias entre estas modalidades y qué conviene revisar para reducir su impacto, con un enfoque práctico.
Qué es el ransomware y por qué afecta a la actividad de una empresa
El ransomware es un software malicioso que impide acceder a un dispositivo o a sus datos y exige un rescate a cambio de recuperar el acceso. En muchos ataques también se roba información para presionar a la empresa con su posible publicación.
Pensemos en una asesoría que no puede abrir los expedientes de sus clientes o en una distribuidora que pierde el acceso a los documentos de pedidos. Aunque el incidente empiece en un equipo, puede afectar a recursos compartidos y servicios que utilizan varias personas.
Por eso, al analizar esta amenaza debemos contemplar tanto la disponibilidad de los sistemas como la confidencialidad de la información. Recuperar unos archivos no resuelve por sí solo una posible filtración.
Principales tipos de ransomware según su funcionamiento
Para comprender los tipos de ransomware, conviene separar tres cuestiones: qué hace el programa malicioso, cómo presionan los atacantes y cómo organizan su actividad. Son aspectos relacionados, pero no categorías equivalentes.
Ransomware de cifrado: impide utilizar los archivos
El ransomware de cifrado transforma los datos para que no puedan leerse normalmente sin la clave correspondiente. Puede afectar a documentos, imágenes y otros archivos necesarios para trabajar.
El equipo puede seguir encendido e incluso permitir abrir algunas aplicaciones, mientras los documentos resultan inaccesibles. En ocasiones aparecen extensiones desconocidas o notas que solicitan un pago.
Como ejemplo, una empresa podría ver inutilizados los archivos de una carpeta compartida de proyectos. El alcance dependerá de los sistemas comprometidos y de los permisos disponibles para el atacante.
Ransomware de bloqueo: impide acceder al dispositivo
El ransomware de bloqueo restringe el uso del equipo o de su interfaz. Puede mostrar una pantalla que impide trabajar y exige un pago para recuperar el acceso.
La diferencia es que el bloqueo no implica necesariamente que todos los archivos estén cifrados. Aun así, no debemos asumir que basta con cerrar el aviso o reiniciar el ordenador.
Ambas modalidades requieren analizar el incidente para determinar qué ha ocurrido, qué sistemas están afectados y cómo recuperar el entorno de forma segura.
Doble extorsión y robo de datos: cuando el ataque va más allá del cifrado
Además del funcionamiento del malware, debemos distinguir las formas de extorsión. Un mismo ataque puede combinar varias.
Doble extorsión: cifrado y amenaza de publicación
En la doble extorsión, los delincuentes sustraen información y cifran los sistemas. Después presionan a la empresa por dos vías: recuperar el acceso y evitar que los datos robados se publiquen.
Esta combinación explica por qué las copias de seguridad, aunque son fundamentales, no solucionan todas las consecuencias. Podemos restaurar los documentos y seguir teniendo un problema con la información que ha salido de la organización. CISA describe este modelo en sus análisis de ataques como los asociados a Play.
Extorsión sin cifrado
También existen ataques en los que se roba información y se exige dinero para no divulgarla, sin necesidad de cifrar los equipos.
Aunque suelen tratarse junto al ransomware, son ataques de extorsión de datos y no requieren ransomware en sentido estricto. La empresa puede seguir trabajando con aparente normalidad mientras sus documentos confidenciales están en manos de terceros.
Esta distinción importa: que los archivos se abran correctamente no demuestra que la información esté protegida.
Qué es el ransomware como servicio o RaaS
Al consultar los tipos de ransomware, también aparece el término Ransomware as a Service, conocido como RaaS.
Se trata de un modelo de negocio delictivo. Unos actores desarrollan el software y lo facilitan a otros, llamados afiliados, que lo utilizan en sus ataques bajo determinadas condiciones económicas.
Por tanto, RaaS no describe un efecto diferente sobre los archivos. Describe la organización de quienes participan en el ataque. Una campaña basada en este modelo puede utilizar cifrado y doble extorsión al mismo tiempo.
Comparativa de las principales modalidades
| Modalidad | Qué la caracteriza | Qué debemos tener en cuenta |
|---|---|---|
| Ransomware de cifrado | Hace ilegibles los archivos afectados. | Recuperación de datos y sistemas. |
| Ransomware de bloqueo | Restringe el uso del dispositivo. | Análisis del bloqueo y del alcance del incidente. |
| Doble extorsión | Combina robo de información y cifrado. | Recuperación y posible exposición de datos. |
| Extorsión sin cifrado | Amenaza con divulgar información sustraída. | La actividad puede continuar pese al robo. |
| RaaS | Distribuye el ransomware mediante un modelo de afiliados. | Puede combinarse con las modalidades anteriores. |
Estas categorías pueden solaparse. La clasificación ayuda a comprender el problema, pero la respuesta debe basarse en lo que realmente haya ocurrido en la empresa.
Cómo puede entrar el ransomware en una empresa
No todas las infecciones empiezan con un archivo adjunto. También pueden aprovechar vulnerabilidades, fallos de configuración o accesos comprometidos.
Entre las vías que debemos revisar están:
- Correos fraudulentos: mensajes que intentan provocar una descarga o una acción insegura.
- Credenciales robadas: cuentas que permiten acceder a servicios de la organización.
- Sistemas sin actualizar: aplicaciones y dispositivos con fallos de seguridad pendientes.
- Accesos remotos mal protegidos: servicios expuestos sin controles adecuados.
La prevención exige revisar estos puntos de forma conjunta. La formación del personal debe acompañarse de mantenimiento técnico y control de accesos.
Cómo proteger tu empresa frente a los tipos de ransomware
Mantener los sistemas y proteger los accesos
Conviene identificar los equipos y aplicaciones de la empresa, aplicar actualizaciones y revisar qué servicios están accesibles desde internet.
También recomendamos limitar los permisos a lo necesario y utilizar autenticación multifactor, especialmente en cuentas administrativas y accesos remotos. Cuando sea posible, deben priorizarse métodos resistentes al phishing. Estas medidas forman parte de las recomendaciones de CISA frente a campañas de ransomware.
En Dimgest, nuestros servicios gestionados IT permiten coordinar la administración de sistemas, el mantenimiento y el soporte según las necesidades de cada empresa.
Proteger las copias y comprobar la restauración
Tener una copia no basta si el atacante puede borrarla o modificarla con las mismas credenciales que utiliza para acceder al resto del entorno.
Debemos revisar:
- Qué información se copia y con qué frecuencia.
- Quién puede administrar o eliminar las copias.
- Qué protección existe frente a su modificación.
- Cuándo se comprobó por última vez una restauración.
Las copias aisladas o inmutables, correctamente configuradas, ayudan a proteger la recuperación. También es necesario comprobar que los datos pueden restaurarse y que el tiempo requerido resulta asumible para la empresa.
Nuestro servicio de backup y recuperación de datos permite abordar estas necesidades dentro de la gestión de la infraestructura.
Preparar una respuesta antes del incidente
La empresa debe saber a quién avisar, quién coordina la actuación y cuáles son los servicios prioritarios. Un procedimiento accesible evita que las primeras decisiones dependan de improvisaciones.
También conviene practicarlo: comprobar cómo se comunicaría el equipo si el correo corporativo dejara de estar disponible y qué información necesitarían los responsables para actuar.
Qué hacer si sospechas de un ataque
Ante archivos inaccesibles, notas de rescate o actividad anómala, avisa inmediatamente al responsable informático y activa el procedimiento de respuesta.
La actuación debe contemplar:
- Aislar los equipos afectados de la red para contener el incidente.
- Conservar mensajes, registros y otras evidencias.
- Determinar el alcance antes de iniciar la recuperación.
- Restaurar en un entorno seguro, con copias comprobadas.
Evita formatear o reconectar equipos por iniciativa propia. Pagar no garantiza recuperar los datos ni resolver el incidente. Para determinadas variantes existen herramientas de descifrado en iniciativas como No More Ransom, cuya compatibilidad debe valorar el equipo técnico.
Descubriendo con Dimgest cómo protegernos frente a los tipos de ransomware
Conocer los tipos de ransomware ayuda a entender que la protección debe abarcar equipos, accesos, datos y capacidad de recuperación. Cada empresa necesita valorar qué servicios son esenciales y cómo mantendría su actividad si dejaran de estar disponibles.
En Dimgest te ayudamos a revisar tu infraestructura, el mantenimiento y las copias de seguridad. Si quieres conocer qué aspectos conviene reforzar, contacta con nuestro equipo y estudiaremos las necesidades de tu empresa.
