Cómo entra el ransomware y por qué la alarma suena tarde
El ransomware moderno no es un archivo que se ejecuta y cifra al instante. Es una operación: alguien entra con credenciales válidas o por una vulnerabilidad, se mueve por la red durante días, busca las copias de seguridad, escala privilegios hasta una cuenta de administrador de dominio, copia la información y sólo entonces lanza el cifrado, normalmente de noche o en fin de semana. Esa doble extorsión —cifrar y amenazar con publicar— es hoy la norma.
La consecuencia práctica: hay una ventana de días para detectarlo, y se desperdicia cuando nadie mira las alertas fuera de horario.
- Robo de credenciales por phishing, incluidos los ataques que interceptan la sesión y se quedan con el token aunque haya MFA.
- VPN, escritorio remoto (RDP) o paneles de administración publicados en internet sin un segundo factor.
- Vulnerabilidades sin parchar en el perímetro: firewall, concentrador de VPN, servidor de correo, servidores de archivos expuestos.
- Acceso de un tercero: un proveedor, un contador externo o una herramienta de soporte remoto con permisos permanentes.
- Software descargado de sitios falsos o instaladores modificados, una vía que crece porque no necesita ninguna vulnerabilidad.
Identidad: el control que detiene más ataques
La mayoría de los incidentes empieza con una credencial, no con un exploit. Por eso el trabajo de identidad es el que mejor rinde y el que suele estar incompleto: hay MFA, pero con excepciones; hay cuentas de administrador, pero se usan para leer correo.
- MFA en el 100% de las cuentas, sin excepciones permanentes, incluidas las de administrador, las de servicio y las de proveedores externos.
- Bloquear la autenticación heredada (POP, IMAP, SMTP AUTH, clientes antiguos): es el camino que permite saltarse el segundo factor.
- Acceso condicional: exigir dispositivo administrado y en cumplimiento para llegar a datos, y bloquear o pedir verificación extra cuando el inicio de sesión viene de un país o un comportamiento fuera de lo normal.
- Menor privilegio real: ninguna cuenta de uso diario con permisos de administrador global o de dominio, cuentas administrativas separadas y sin correo, y elevación sólo cuando se necesita.
- Revisar qué aplicaciones de terceros tienen consentimiento sobre el correo y los archivos, y restringir quién puede otorgarlo.
Equipos y servidores: EDR, no sólo antivirus
Un antivirus basado en firmas reconoce archivos conocidos. Buena parte de la actividad de un ataque de ransomware no es un archivo conocido: son herramientas legítimas del propio sistema usadas con malas intenciones, scripts que viven en memoria y utilidades de administración que el atacante encontró ya instaladas.
Un EDR registra el comportamiento del equipo, correlaciona la secuencia completa y permite aislar el dispositivo de la red con un clic. Un XDR añade la señal de identidad y de correo, que es donde empieza la cadena. Lo que convierte cualquiera de los dos en protección y no en registro histórico es que alguien atienda la alerta a la hora en la que ocurre.
- Cobertura completa: estaciones, portátiles, servidores y, donde el agente lo permita, la capa de virtualización.
- Reglas de reducción de superficie de ataque: bloquear macros de archivos descargados de internet, limitar los intérpretes de scripts y evitar que procesos de Office lancen ejecutables.
- Protección contra manipulación activada, para que el agente no se pueda desinstalar con permisos locales.
- Un responsable, interno o externo, con capacidad de aislar y contener fuera del horario laboral.
Respaldos que sobrevivan al ataque
El respaldo es la única medida que decide si un incidente es un fin de semana malo o una interrupción de semanas. También es el primer objetivo del atacante: busca la consola de respaldo y la borra antes de cifrar. Un respaldo que se puede eliminar con las credenciales del dominio no es un respaldo, es una copia.
- Regla 3-2-1: tres copias de los datos, en dos tipos de medio distintos, con una fuera de la instalación.
- Al menos una copia inmutable (que no se puede modificar ni borrar durante un periodo definido) o realmente aislada de la red.
- Credenciales y consola de respaldo fuera del dominio de producción, con MFA propio y sin reutilizar contraseñas de administrador.
- Retención suficiente para cubrir el tiempo que el atacante lleva dentro: si el cifrado avanzó tres semanas, siete días no alcanzan.
- Pruebas de restauración con fecha, responsable y resultado por escrito, incluida al menos una restauración completa de un servidor crítico al año.
- Objetivos acordados con la dirección: cuánto tiempo puede estar detenida la operación (RTO) y cuánta información se puede perder (RPO).
Parcheo, exposición y segmentación
Casi todas las intrusiones por vulnerabilidad aprovechan fallas con parche disponible desde hace meses. El problema rara vez es técnico: es que nadie tiene asignado el ciclo.
- Inventario vigente de equipos, servidores, aplicaciones y dispositivos de red. Lo que no está en el inventario no se parcha.
- Ventanas de parcheo con plazo según criticidad, y prioridad absoluta para lo publicado en internet: VPN, firewall, correo y acceso remoto.
- Quitar el escritorio remoto de internet. Si hace falta acceso externo, que sea por VPN con MFA o por un intermediario publicado con acceso condicional.
- Segmentar la red para que un equipo de usuario no pueda hablar directamente con todos los servidores, y separar el respaldo y la administración.
- Retirar protocolos heredados que ya no se usan, empezando por SMBv1.
- Capacitación de phishing con ejercicios periódicos y un canal claro para reportar: el usuario que avisa a los diez minutos vale más que cualquier filtro.
El plan de respuesta: la primera hora
El plan se escribe antes, se imprime y se guarda fuera de los sistemas que el ataque va a cifrar, con los teléfonos de todos los que hay que llamar. Durante el incidente nadie improvisa bien.
- Aislar de la red los equipos afectados. Aislar no es apagar: apagar destruye evidencia en memoria que después hace falta para saber por dónde entraron.
- Activar la lista de contactos: dirección general, TI, proveedor de seguridad, asesoría legal y, si existe, la póliza de ciberseguro.
- Revocar todas las sesiones activas y restablecer las credenciales de las cuentas con privilegios, empezando por las de administrador y las del respaldo.
- Determinar el alcance: qué equipos, qué servidores, qué datos y si hubo copia de información hacia fuera.
- Verificar los respaldos desde un entorno limpio y aislado antes de conectar nada a la red de producción.
- Reconstruir sobre sistemas limpios y parchados. Restaurar sobre el mismo servidor comprometido devuelve también la puerta trasera.
- Rotar todos los secretos: contraseñas, llaves de API, certificados y credenciales de servicios en la nube.
- Documentar la línea de tiempo y cerrar la causa raíz. Un incidente sin causa raíz cerrada se repite.