El ransomware es un tipo de malware que cifra archivos importantes almacenados localmente o en red, y exige un rescate para su descifrado. Los atacantes lo utilizan como medio de extorsión digital para obtener ganancias.
Índice
Ransomware: Definición
El cifrado realizado por el ransomware solo puede revertirse con la clave correcta. La única alternativa es restaurar los datos desde una copia de seguridad.
El ransomware es particularmente efectivo. Otros tipos de malware pueden destruir o robar datos, pero aún ofrecen alternativas de recuperación. Sin copias de seguridad, pagar el rescate puede ser la única opción para recuperar los datos. En algunos casos, incluso tras pagar, no se recibe la clave de descifrado.
Una vez activado, el ransomware analiza archivos locales y de red para cifrarlos, enfocándose en archivos críticos para el usuario o la empresa, incluyendo copias de seguridad.
Distintos tipos de ransomware apuntan a diferentes formatos de archivo. Sin embargo, hay algunos comunes que todos buscan. Los archivos de Microsoft Office suelen ser los más atacados, ya que suelen contener información empresarial crítica.
¿Cuál es el origen del ransomware?
El ransomware surgió a mediados de la década de 2000, con los primeros casos reportados en Rusia entre 2005 y 2006. Desde entonces, ha evolucionado en complejidad y alcance, pasando de ataques simples a campañas globales que afectan tanto a usuarios como a empresas. Uno de los primeros informes de Trend Micro describía una variante que comprimía archivos y los protegía con contraseña.
También se dejaba un archivo como nota de rescate solicitando 300 USD a cambio de los archivos. Inicialmente, se atacaban formatos como .DOC, .XLS, .JPG, .ZIP, .PDF y otros comunes. Más adelante, surgieron variantes que podían infectar teléfonos móviles o el Master Boot Record (MBR), impidiendo que el sistema operativo iniciara.
En 2012, el ransomware se expandió desde Rusia hacia otros países europeos, posiblemente debido al desmantelamiento de programas falsos tipo FAKEAV. Los atacantes buscaron nuevas formas de obtener ingresos, como Reveton, que simulaba ser una autoridad y amenazaba al usuario con acusaciones legales. También comenzaron a emplear métodos de pago como Ukash, paysafecard y MoneyPak para ocultar su rastro.
A finales de 2013, surgió el llamado “crypto-ransomware”, liderado por variantes como CryptoLocker. Estas amenazas no solo cifraban archivos, sino que los eliminaban si no se pagaba el rescate. El rescate debía pagarse en Bitcoin para obtener una clave de descifrado.
Desde entonces, los atacantes han perfeccionado sus métodos para extorsionar tanto a personas como a empresas de cualquier tamaño alrededor del mundo.
¿Cómo funciona el ransomware?
El ransomware opera mediante un proceso estructurado que incluye varias fases, desde la intrusión inicial hasta el cifrado de archivos y la exigencia del rescate. Cada etapa está diseñada para maximizar el impacto y dificultar la detección.
A partir de la fase de “actividad interna”, las técnicas utilizadas se asemejan a las empleadas en ataques dirigidos (APT).
1. Intrusión inicial
Para robar información e instalar ransomware, los atacantes primero ingresan a la red interna.
Métodos comunes de acceso:
Explotación de vulnerabilidades en dispositivos de red (ej. VPN)
Gestión deficiente de contraseñas en servicios RDP (Remote Desktop Protocol)
Campañas de phishing dirigidas a empleados para instalar malware
Estas tácticas permiten a los atacantes infiltrarse sin ser detectados.
2. Actividad interna
Una vez dentro, los atacantes utilizan herramientas de acceso remoto (RAT) para controlar dispositivos y escalar privilegios.
Para evitar ser detectados, suelen abusar de herramientas legítimas ya presentes en la infraestructura.
Ejemplos:
Herramientas de pruebas de penetración para identificar vulnerabilidades
Servicios en la nube como plataformas de almacenamiento para transferir datos
Esta técnica se denomina “Living off the Land” — aprovechar el entorno existente para no levantar sospechas.
Cada vez más, se usan técnicas anti-EDR para desactivar sistemas de detección y respuesta en endpoints.
3. Exfiltración de datos
Con los permisos adecuados, los atacantes buscan datos sensibles que puedan usarse como elemento de extorsión.
Los archivos robados se agrupan y se suben a servidores bajo su control.
4. Ejecución del ransomware
Tras la exfiltración, se despliega y ejecuta el ransomware en la red de la organización.
A menudo se desactivan los programas de seguridad para asegurar la ejecución.
Se utilizan políticas de grupo para propagar el ransomware dentro de la red.
Después del cifrado, se muestra una nota de rescate en los dispositivos afectados.
¿Cuáles son los tipos de ransomware?
Existen diferentes variantes de ransomware que se distinguen por sus métodos de ataque y objetivos. Algunas se enfocan en cifrar archivos, otras en bloquear dispositivos o incluso en filtrar información sensible para extorsionar.
Leakware o Doxware
El Leakware (o Doxware) es una variante avanzada del ransomware que, además de cifrar archivos, amenaza con filtrar datos confidenciales si no se paga el rescate. A menudo forma parte de ataques de doble extorsión, solicitando pago tanto para el descifrado como para evitar la exposición pública.
Ransomware para móviles
Los smartphones y tablets son ahora blanco frecuente de ataques. El ransomware móvil se distribuye mediante apps maliciosas o phishing. Una vez instalado, bloquea el dispositivo, cifra archivos o muestra demandas de rescate. El pago suele exigirse en criptomonedas.
Ransomware-as-a-Service (RaaS)
El Ransomware-as-a-Service (RaaS) es un modelo en el que los desarrolladores ofrecen ransomware a terceros, llamados afiliados. Esto ha facilitado la expansión de este tipo de ataque, ya que no se necesitan habilidades técnicas avanzadas para utilizar herramientas potentes.
Scareware
Scareware verlässt sich auf psychologische Manipulation, um Opfern Geld zu erpressen. Oft wird es als Antivirensoftware oder Systemwarnung ausgegeben, die behaupten, dass das Gerät des Opfers mit Malware infiziert ist oder kritische Schwachstellen aufweist. Die Software verlangt dann eine Zahlung, um die nicht vorhandenen Probleme zu „beheben“. Obwohl Scareware Dateien nicht immer verschlüsselt, kann es Benutzer aus ihren Systemen aussperren oder sie mit dauerhaften Pop-up-Nachrichten bombardieren, bis eine Lösegeldzahlung erfolgt. Scareware setzt auf Angst und mangelndes technisches Wissen und ist damit ein effektives Tool für weniger technisch versierte Nutzer.
¿Cómo protegerse del ransomware?
La protección contra el ransomware requiere una combinación de prevención, copias de seguridad seguras y herramientas de seguridad avanzadas. Estas medidas reducen el riesgo de infección y facilitan la recuperación en caso de ataque. El almacenamiento en la nube está protegido contra escaneos de red por parte del ransomware, lo que lo convierte en una excelente opción para la recuperación. Excepción: si el almacenamiento en la nube está mapeado como una unidad local o subcarpeta.
La prevención es la mejor manera de evitar daños por ransomware. La mayoría de los ataques comienzan cuando los usuarios descargan el software de forma involuntaria o ejecutan accidentalmente un script malicioso.
Dos formas de evitar que los usuarios descarguen ransomware son el filtrado de contenido basado en DNS y las soluciones de seguridad de correo electrónico con funciones inteligentes de cuarentena. El filtrado DNS bloquea el acceso a sitios web que figuran en listas negras. Los filtros de correo aíslan contenido y archivos adjuntos maliciosos para que un administrador pueda revisarlos.
También se recomienda usar software antimalware con machine learning y monitoreo de comportamiento en todos los dispositivos, incluidos los móviles. Un buen software de seguridad detecta el ransomware antes de que acceda al almacenamiento y cifre los archivos. Para una máxima efectividad, debe mantenerse siempre actualizado con los últimos parches.
¿Cuál es el impacto del ransomware en las empresas?
El ransomware puede causar interrupciones graves en las operaciones, pérdidas económicas significativas y daños a la reputación. Las empresas son objetivos frecuentes debido al valor de sus datos y la urgencia por restaurar sistemas críticos.
Cada año, miles de usuarios en todo el mundo son blanco de ataques de ransomware. En algunos casos, incluso después de que se haya controlado la amenaza, pueden seguir apareciendo problemas. Si bien muchos programas antimalware detectan variantes más antiguas, los atacantes crean constantemente nuevas para evitar la detección.
Por ejemplo, entre 2018 y 2019, el ransomware Ryuk desactivó la función de restauración del sistema en Windows, impidiendo a los usuarios recuperar datos desde puntos de restauración. Ryuk apuntó especialmente a empresas, exigiendo rescates de cientos de miles de dólares.
CryptoLocker, WannaCry y Petya fueron variantes distintas de ransomware que paralizaron infraestructuras globales, afectando incluso a bancos y organismos gubernamentales. WannaCry, en particular, atacó ordenadores con Windows utilizando un exploit desarrollado por la NSA para escanear unidades de red abiertas y cifrar archivos vulnerables.
Las amenazas persistentes incluyen variantes como GandCrab, SamSam, Zeppelin y REvil. Estas versiones más recientes siguen siendo altamente peligrosas y capaces de causar grandes daños a los sistemas empresariales.
¿Cuáles son las variantes comunes de ransomware?
Las variantes más conocidas pertenecen a familias como Ryuk, MAZE o LockBit, cada una con tácticas y objetivos específicos. Estas variantes se conocen comúnmente como familias de ransomware. Por lo general, cada familia está operada por un grupo independiente de atacantes, con diferentes tácticas y tipos de objetivos.
A pesar de los esfuerzos de las autoridades internacionales para desmantelar y procesar a grupos conocidos, la amenaza del ransomware sigue creciendo. Un factor clave ha sido la aparición de nuevas familias desde 2022.
Según el monitoreo de Trend Micro en sitios de filtraciones, grupos como RansomHub han incrementado su actividad en 2024. En octubre de ese año, los 10 principales grupos fueron responsables del 90 % de las publicaciones en esos sitios.
Grupo
Inicio
Características, etc.
8base
03/2022
Los ataques están dirigidos a organizaciones en varios países e industrias, principalmente en América del Norte y Europa, con la mayoría de las víctimas siendo pequeñas y medianas empresas con entre 1 y 200 empleados.
Hunters International
Q3/2023
Hasta ahora, las filtraciones han afectado a organizaciones en varios países e industrias, pero no se han listado organizaciones rusas en el sitio de filtraciones. Hay indicios de vínculos con el grupo HIVE, que fue desmantelado por las autoridades en 2023.
BlackSuit
05/2023
Grupo que se observó más activo en abril de 2024. Se ha señalado que tiene vínculos con grupos como Conti y Royal.
Underground
07/2023
Tiene la característica de cifrar archivos sin cambiar la extensión del archivo. Además del sitio de filtraciones, cuenta con un canal de Telegram.
RansomHub
02/2024
El grupo más activo en la segunda mitad de 2024. Trend Micro confirmó que utiliza una variedad de técnicas anti-EDR.
Trend Micro ofrece en su blog información detallada sobre las principales familias de ransomware y los perfiles de los atacantes detrás de ellas.
Comprender estas tácticas es clave para identificar los riesgos de manera anticipada. Si tu organización sufre un ataque de ransomware y se puede identificar la familia implicada, estos datos pueden ser útiles para el análisis del origen del incidente.
Informe de Riesgos Cibernéticos de Trend Micro – 2025
El ransomware es una forma de extorsión cibernética en la que los atacantes cifran datos críticos y exigen un pago para liberarlos. Tal como se destaca en el Informe de Riesgos Cibernéticos 2025 de Trend Micro, el ransomware sigue siendo una de las amenazas más visibles y perjudiciales económicamente para las organizaciones en todo el mundo.
Los operadores de ransomware ya no dependen únicamente de puntos de entrada tradicionales como correos electrónicos de phishing o puertos RDP expuestos. En su lugar, explotan vulnerabilidades pasadas por alto y emergentes en el ecosistema digital de las organizaciones, lo que los expertos en ciberseguridad denominan superficie de ataque.
Descubra cómo evolucionan las amenazas de ransomware y qué estrategias proactivas pueden ayudar a mitigar los riesgos en el Informe de Riesgos Cibernéticos 2025 de Trend Micro.
Cómo Trend Micro le ayuda a adelantarse a las amenazas de ransomware
Dado que el ransomware sigue siendo una de las amenazas más disruptivas para las organizaciones, la necesidad de una defensa unificada e inteligente nunca ha sido mayor. Trend Vision One™ ofrece una solución potente que va más allá de las herramientas de seguridad tradicionales, proporcionando detección y respuesta extendidas (XDR), gestión del riesgo de superficie de ataque y mitigación automatizada de amenazas en una única plataforma integrada.
Con Trend Vision One™, los equipos de seguridad obtienen visibilidad centralizada en endpoints, correo electrónico, nube y capas de red, lo que permite una detección y respuesta más rápidas ante actividades de ransomware. Respaldada por décadas de inteligencia sobre amenazas y potenciada por la IA de ciberseguridad de Trend Micro, la plataforma ayuda a las organizaciones a identificar vulnerabilidades de forma proactiva, reducir la exposición y detener el ransomware antes de que cause daños.
Preguntas frecuentes (FAQ)
¿Qué es el ransomware?
El ransomware es un tipo de malware que bloquea o cifra tus datos y exige un pago para liberarlos.
¿Cómo se detecta el ransomware?
Busca extensiones de archivo inusuales, archivos bloqueados, mensajes de rescate o una ralentización repentina del sistema.
¿Cómo saber si tienes ransomware?
Puedes ver un mensaje de rescate en la pantalla, no abrir archivos o notar un comportamiento extraño en el sistema.
¿Qué pasa si tienes ransomware?
- El ransomware cifra o bloquea tus archivos y el atacante exige un pago para restaurar el acceso. Puede interrumpir tus operaciones y comprometer datos sensibles.
¿Cómo se elimina el ransomware?
Desconecta el dispositivo afectado, realiza un análisis de malware y restaura una copia de seguridad limpia. No pagues el rescate.
¿Cuál es la mejor protección contra ataques de ransomware?
Copias de seguridad frecuentes, formación al personal y software de seguridad actualizado son claves para prevenirlo.