Qué es el ransomware y qué tiene que decidir la gerencia cuando ocurre

El ransomware es un software malicioso que cifra los archivos y sistemas de una organización y exige un pago a cambio de la clave para recuperarlos. Es el tipo de incidente que más nombre tiene, y también el peor entendido: se imagina como un ataque técnico sofisticado cuando en la mayoría de los casos entra por una puerta que estaba abierta.

En los últimos años dejó de ser solo cifrado. La modalidad habitual hoy es la doble extorsión: antes de cifrar, los atacantes copian la información. Así, aunque la empresa restaure desde un respaldo y no pague, siguen teniendo con qué presionar — publicar o vender los datos. Eso cambia la ecuación por completo, porque tener buenos respaldos ya no resuelve todo el problema.

Por dónde entra

Una vulnerabilidad conocida

Un sistema sin parchar cuya falla ya estaba documentada. En Chile, el 55% de los ataques entra por una brecha que la organización ya conocía. No es un problema de detección: es que nadie tenía el proceso ni el plazo para cerrarla.

Credenciales robadas o débiles

Un acceso remoto sin segundo factor, una contraseña reutilizada, una cuenta de un ex trabajador que nunca se revocó. Es la vía más silenciosa, porque el atacante entra como si fuera alguien de la casa.

Un correo que alguien abrió

Ingeniería social para conseguir el primer punto de apoyo. Rara vez el ransomware se ejecuta de inmediato: primero se instala algo más discreto y el cifrado viene después, cuando ya se mapeó la red.

Un proveedor comprometido

El acceso remoto de la empresa de soporte, una herramienta de administración, un servicio conectado. Tu perímetro incluye a quien tiene llaves de tu casa.

El tiempo entre la entrada y el cifrado

Hay un detalle que cambia cómo se piensa la defensa: entre que un atacante entra y ejecuta el cifrado suelen pasar días o semanas. En ese lapso se mueve por la red, busca los respaldos para inutilizarlos y decide qué copiar.

Eso significa dos cosas. La primera es que hay una ventana para detectarlo antes del desastre, y esa ventana se desaprovecha cuando nadie mira. La segunda es que los respaldos son un objetivo prioritario del atacante: si están conectados y accesibles con las mismas credenciales, se cifran junto con todo lo demás.

Las primeras horas

Lo primero es contener sin destruir evidencia. El instinto es apagar el servidor, y suele ser el error: apagar borra información de la memoria que sirve para entender qué pasó y qué se llevaron. Aislar de la red es casi siempre mejor que apagar.

En paralelo corre el reloj legal. Si la empresa cae bajo la Ley 21.663, hay una alerta temprana de 3 horas desde que se toma conocimiento. Si se comprometieron datos personales, la Ley 21.719 obliga a notificar, y para eso hay que saber qué datos había en los sistemas afectados — una respuesta que solo es rápida si existe un inventario.

Y hay que decidir quién habla: con los trabajadores, con los clientes, con los proveedores. El silencio se llena con rumores, y una comunicación tardía o imprecisa hace más daño reputacional que el incidente mismo.

Pagar o no pagar

Es la decisión que ninguna gerencia quiere tomar a las tres de la mañana, y por eso conviene tenerla conversada antes. Los argumentos en contra son sólidos: pagar no garantiza recuperar todo, financia a quien atacó, y marca a la empresa como pagadora ante otros grupos.

Los argumentos a favor aparecen cuando la alternativa es cerrar. Si no hay respaldo restaurable y la operación está detenida, la conversación deja de ser ética y pasa a ser de supervivencia.

La postura que sirve no es un sí o un no absoluto: es tener definido quién decide, con qué información y con qué asesoría legal, para que esa media hora no se gaste averiguando a quién llamar.

Qué reduce el riesgo de verdad

En orden de impacto: segundo factor en todos los accesos remotos y administrativos, un proceso real de parcheo con plazos, y respaldos aislados que se hayan probado restaurando — no solo verificado que corren.

Nada de eso es exótico ni caro. Lo que falta habitualmente no es tecnología sino un dueño y un plazo para cada uno de esos tres puntos, que es exactamente lo que un roadmap resuelve.

Preguntas frecuentes

¿Le pasa solo a las empresas grandes?

No, y de hecho la mediana empresa es un objetivo cómodo: tiene información y operación que valen lo suficiente como para pagar, pero rara vez tiene la capacidad de detección de una grande. Buena parte de los ataques no son dirigidos, son oportunistas contra quien tenga una puerta abierta.

Si tengo respaldos, ¿estoy cubierto?

Solo en parte. Los respaldos resuelven la recuperación, pero no la extorsión por publicación de datos, que es la modalidad habitual hoy. Y sirven únicamente si están aislados de la red y si alguien probó restaurarlos: un respaldo conectado con las mismas credenciales se cifra junto con todo lo demás.

¿El antivirus o el EDR lo detienen?

Ayudan y bajan bastante la probabilidad, pero no son garantía. Los ataques actuales usan herramientas legítimas de administración para moverse por la red, que es justo lo que no se ve como malicioso. Por eso el control de accesos y el parcheo importan tanto como la herramienta de detección.