Cómo prevenir ataques de ransomware

Cómo prevenir ataques de ransomware es una de las preguntas principales de ciberseguridad para empresas, organizaciones gubernamentales y usuarios privados. Un ransomware bloquea el acceso a archivos y sistemas, y luego exige un rescate. Este artículo explica cómo reducir el riesgo de infección, proteger las copias de seguridad, capacitar a los empleados, configurar computadoras y preparar un plan de respuesta. El objetivo principal no es solo instalar un antivirus, sino construir una defensa en múltiples niveles que asegure que la falla de una sola herramienta no conduzca a un desastre.

¿Qué es un ransomware y por qué es peligroso?

Un ransomware es un software malicioso que cifra archivos en una computadora, servidor o almacenamiento en red. Después de eso, los delincuentes exigen dinero por la clave de descifrado. Los ataques modernos a menudo incluyen no solo el bloqueo de los datos. Los criminales pueden robar documentos, correspondencia, bases de clientes y archivos contables por adelantado, y luego amenazar con publicarlos.

El peligro del ransomware radica en que el ataque afecta varios niveles de operación:

• los empleados no pueden abrir documentos y aplicaciones;
• contabilidad, CRM, ERP y correo se vuelven inaccesibles;
• la producción, logística o ventas se detienen;
• la recuperación requiere tiempo, pericia y copias de seguridad limpias;
• la pérdida de datos puede llevar a consecuencias legales y de reputación.

Cabe mencionar que los ransomware no siempre entran a la red a través de vulnerabilidades técnicas complejas. A menudo, una sola carta de phishing, una contraseña débil para acceso remoto o una actualización no instalada son suficientes. Por lo tanto, la prevención debe combinar medidas técnicas, reglas organizacionales y controles regulares.

Cómo los ransomware ingresan al sistema

Para prevenir eficazmente ataques de ransomware, es importante entender los escenarios típicos de infección. La mayoría de los ataques comienzan con la obtención de acceso inicial. Después de eso, los delincuentes exploran la red, elevan privilegios, desactivan la protección, buscan copias de seguridad y solo luego inician el cifrado.

Correos de phishing y adjuntos maliciosos

El phishing sigue siendo una de las formas más comunes de entrada. El usuario recibe un correo que parece una factura, un acto, un aviso de servicio de entrega, una solicitud de un socio o un mensaje de su jefe. El contenido puede incluir un adjunto, un enlace a un sitio falso o un archivo comprimido que contiene un ejecutable.

Los documentos con macros, archivos en formato ISO, LNK, JS, VBS, EXE y archivos comprimidos con contraseña son especialmente peligrosos. La contraseña en el correo impide que el servidor de correo revise su contenido. Por lo tanto, las organizaciones deben filtrar este tipo de adjuntos y capacitar a sus empleados para que no abran archivos inesperados.

Contraseñas débiles y acceso remoto

RDP abierto, VPN sin autenticación multifactor, contraseñas iguales y cuentas antiguas crean un acceso conveniente para los atacantes. Si un delincuente accede a la cuenta de administrador, puede diseminar rápidamente el ransomware en la red.

Es importante restringir el acceso remoto por direcciones IP, utilizar MFA, cerrar puertos innecesarios, revisar los permisos regularmente y desactivar las cuentas no utilizadas.

Vulnerabilidades en software y sistemas no mantenidos

Sistemas operativos no actualizados, servidores, gateways VPN, soluciones de correo, hipervisores y aplicaciones web a menudo se convierten en puntos de entrada. Las vulnerabilidades públicas son rápidamente explotadas por herramientas automatizadas. Si un parche ya ha sido lanzado pero no instalado, el riesgo aumenta considerablemente.

Los sistemas obsoletos sin soporte del fabricante deben ser aislados, reemplazados o protegidos con medidas adicionales. No se puede suponer que un servidor viejo es seguro solo porque ha estado funcionando durante mucho tiempo y no molesta a nadie.

Sitios comprometidos y proveedores externos

A veces, la infección ocurre a través de un sitio hackeado, una actualización falsa, publicidad maliciosa o la cuenta de un contratista. Si un proveedor tiene acceso a su infraestructura, su seguridad se convierte en parte de su seguridad. Por lo tanto, es necesario controlar el acceso externo, firmar acuerdos claros y otorgar los permisos mínimo necesarios.

Principio de defensa en múltiples niveles

Una protección confiable contra los ransomware se establece bajo el principio de defensa en profundidad. Esto significa que tienes múltiples barreras independientes. Si un empleado abre un correo malicioso, el filtrado de correo, EDR, restricción de privilegios, segmentación de red y copias de seguridad deben reducir el daño.

La defensa en múltiples niveles incluye:

• prevenir la entrada de código malicioso;
• detección rápida de actividades sospechosas;
• limitar la propagación dentro de la red;
• mantener copias de seguridad inmutables;
• tener un plan de recuperación listo;
• capacitar a las personas y verificar los procesos.

El principal error es depender de una sola herramienta. Un antivirus es importante, pero no sustituye a las copias de seguridad. Las copias de seguridad son vitales, pero no protegen contra la pérdida de datos. MFA reduce el riesgo de robo de contraseña, pero no elimina la necesidad de actualizaciones y control de privilegios.

Plan paso a paso para prevenir ataques de ransomware

A continuación se presenta un plan práctico que puede usarse como lista de verificación. Es adecuado para pequeñas empresas, redes de oficina, equipos remotos e infraestructuras domésticas. La escala de implementación variará, pero la lógica permanecerá igual.

Paso 1. Realizar un inventario de activos

No se puede proteger lo que no se conoce. Haz una lista de dispositivos, servidores, servicios en la nube, cuentas, almacenamiento en red, bases de datos y aplicaciones críticas. Marca por separado los sistemas accesibles desde internet.

El inventario mínimo debe incluir:

1. nombre del dispositivo o servicio;
2. dueño o empleado responsable;
3. sistema operativo y versión del software;
4. nivel de criticidad para el negocio;
5. existencia de una copia de seguridad;
6. método de acceso remoto;
7. fecha de la última actualización.

Después de esto, será más fácil comprender dónde están los principales riesgos: un servidor viejo, una cuenta olvidada, un RDP abierto o un disco de red sin copia de seguridad.

Paso 2. Habilitar la autenticación multifactor (MFA)

MFA es una de las medidas más efectivas contra la toma de cuentas. Actívala para correo, VPN, paneles en la nube, cuentas de administrador, sistemas de acceso remoto y aplicaciones críticas para el negocio.

Es mejor utilizar aplicaciones de autenticación, claves de hardware o confirmaciones push con verificación adicional. SMS es mejor que la ausencia de MFA, pero son menos resistentes a algunos ataques. Para administradores, se deben aplicar métodos más estrictos.

Paso 3. Restringir los privilegios de los usuarios

Un usuario no debe trabajar bajo una cuenta de administrador. Cuanto menos privilegios tenga la cuenta comprometida, más difícil será para el atacante desactivar la protección, cifrar recursos de red y propagarse.

Aplica el principio de los privilegios mínimos:

• otorga privilegios solo para tareas específicas;
• revisa regularmente los accesos;
• separa cuentas normales y administrativas;
• desactiva administradores locales allí donde no son necesarios;
• no uses contraseñas compartidas para varios dispositivos;
• elimina las cuentas de empleados despedidos de inmediato.

Paso 4. Configurar copias de seguridad según la regla 3-2-1

Las copias de seguridad son la última línea de defensa cuando la prevención no ha funcionado. La regla 3-2-1 significa: guarda al menos tres copias de los datos, en dos tipos diferentes de medios, y una copia fuera de la infraestructura principal. Para protegerse de los ransomware, las copias offline o el almacenamiento inmutable son especialmente importantes.

Verifica no solo la existencia de respaldos, sino también la posibilidad de recuperación. Una copia de seguridad que nadie ha probado puede resultar inútil el día del ataque.

Paso 5. Actualizar sistemas y cerrar vulnerabilidades

Crea un proceso regular de instalación de actualizaciones. Las prioridades deben ser los sistemas accesibles desde internet: VPN, servidores de correo, servidores web, gateways de acceso remoto, hipervisores y paneles de control.

Para los negocios es útil llevar un registro de actualizaciones y de los plazos para instalar parches críticos. Si no se puede actualizar un sistema de inmediato, aplica medidas temporales: desactiva la función vulnerable, limita el acceso por IP, aísla el servidor o incluye monitoreo adicional.

Paso 6. Proteger correo y tráfico web

El gateway de correo debe verificar adjuntos, enlaces y dominios de los remitentes. Configura SPF, DKIM y DMARC para correo corporativo para reducir el riesgo de suplantación de dominio. Bloquea tipos de archivos peligrosos si no son necesarios para el trabajo.

Para el tráfico web, utiliza filtrado DNS, protección contra dominios maliciosos y limitaciones en la descarga de ejecutables. Esto no resolverá todos los problemas, pero reducirá el número de infecciones accidentales.

Paso 7. Implementar EDR o protección moderna de puntos finales

Un antivirus normal verifica archivos por firmas y comportamientos. EDR monitorea procesos adicionales, cadenas de inicio, conexiones de red, intentos de cambiar archivos masivamente y acciones con credenciales. Para las organizaciones, esta es una capa de protección importante.

Al elegir una solución, presta atención no solo al nombre del producto, sino también al proceso de respuesta. ¿Quién recibe alertas? ¿Quién analiza un incidente durante la noche o en fin de semana? ¿Qué tan rápido se puede aislar una computadora infectada de la red?

Paso 8. Segmentar la red

Si todos los dispositivos están en una sola red plana, es más fácil para un ransomware propagarse. Divide la infraestructura en segmentos: estaciones de trabajo, servidores, contabilidad, producción, Wi-Fi para invitados, cámaras, entornos de prueba y administración.

Deben existir reglas de acceso entre segmentos. Por ejemplo, una estación de trabajo de un gerente no necesita acceso directo a un hipervisor o controlador de dominio. Cuantas menos conexiones innecesarias haya, menor será la superficie de ataque.

Paso 9. Preparar un plan de respuesta

Se necesita un plan de respuesta antes del ataque, no durante la crisis. Debe contener contactos de responsables, un orden de aislamiento de dispositivos, una lista de sistemas críticos, reglas de comunicación y un escenario de recuperación de copias de seguridad.

Un buen plan responde a las preguntas:

• ¿Quién toma la decisión de desconectar un segmento de la red?
• ¿Cómo contactar al equipo si el correo corporativo no está disponible?
• ¿Dónde se almacena la lista de copias de seguridad y las contraseñas de acceso de emergencia?
• ¿Quién informa a la dirección, abogados, clientes y reguladores?
• ¿Qué sistemas se recuperan primero?
• ¿Cómo se documentan las pruebas para la investigación?

Comparación de medidas clave de protección

Esta tabla ayudará a priorizar. Es mejor implementar medidas en conjunto, pero si hay pocos recursos, comienza con las más críticas: copias de seguridad, MFA, actualizaciones, restricción de privilegios y protección del correo.

Medida de protección	Qué previene	Complejidad de implementación	Qué es importante verificar
Copia de seguridad 3-2-1	Pérdida de datos tras cifrado	Media	¿Hay copia offline o inmutable, se ha probado la recuperación?
MFA para correo, VPN y administradores	Toma de cuentas	Baja o media	¿Hay excepciones para protocolos antiguos y cuentas de servicio?
Actualizaciones regulares	Explotación de vulnerabilidades conocidas	Media	¿Se parchan primero los servicios públicos?
Restricción de privilegios	Propagación masiva y desconexión de protección	Media	¿Los usuarios trabajan sin derechos de administrador?
Filtrado de correo	Phishing y adjuntos maliciosos	Baja o media	¿Se bloquean tipos de archivos y enlaces peligrosos?
EDR y monitoreo	Actividad oculta de atacantes	Media o alta	¿Hay alguien responsable de analizar las alertas?
Segmentación de red	Propagación rápida dentro de la infraestructura	Media o alta	¿Se prohíben conexiones innecesarias entre segmentos?
Capacitación de empleados	Errores al trabajar con correos y archivos	Baja	¿Se realizan entrenamientos regulares y revisión de casos?

Cómo proteger copias de seguridad de ransomware

Muchos ransomware buscan y destruyen primero las copias de seguridad. Por eso, no es suficiente con solo conectar un disco externo o almacenamiento en red. Si la copia de seguridad es accesible desde una computadora infectada para escritura, también puede ser cifrada.

Usa copias inmutables y offline

Un almacenamiento inmutable no permite cambiar o eliminar una copia durante un período de tiempo especificado. Una copia offline está físicamente o lógicamente desconectada de la red principal. Ambos enfoques ayudan a conservar datos incluso en caso de comprometer cuentas.

Opciones prácticas:

• un disco externo que se conecta solo durante la copia;
• almacenamiento en la nube con versionado y bloqueo de eliminación;
• modo WORM o bloqueo de objeto en almacenes compatibles;
• un servidor de copia de seguridad separado en un segmento aislado;
• cuentas para copia de seguridad sin derechos de inicio de sesión interactivo.

Separa el acceso a datos y copias de seguridad

La cuenta de administrador del dominio no debe tener acceso completo automáticamente a las copias de seguridad. Si una contraseña abre todas las puertas, un ataque se vuelve crítico rápidamente. Utiliza cuentas separadas, diferentes contraseñas, MFA y registros de acciones.

También es útil almacenar la configuración del sistema de copias de seguridad e instrucciones de recuperación por separado. En una situación de crisis, el equipo debe saber dónde están las copias y cómo restaurar servicios sin acceso a la documentación habitual.

Prueba la recuperación

La verificación de la recuperación debe realizarse regularmente. La prueba puede ser sencilla: una vez al mes recuperar algunos archivos y una vez cada trimestre un servidor crítico en un entorno aislado. Para el negocio, es importante conocer RPO y RTO. RPO muestra cuántos datos se pueden perder con el tiempo. RTO muestra cuán rápido se necesita restaurar un servicio.

Si la empresa no conoce estos indicadores, no podrá evaluar realísticamente las consecuencias de un ataque y programar adecuadamente el horario de copias.

Configuración de estaciones de trabajo y servidores

La mayor parte de los ataques comienza con una computadora común o un servidor vulnerable. Por lo tanto, la higiene básica de los dispositivos finales juega un papel clave.

Qué hacer en computadoras de trabajo

Para estaciones de trabajo, aplica un perfil estándar protegido:

• desactiva la reproducción automática desde medios externos;
• prohíbe ejecutar macros desde internet, si no son necesarias;
• muestra las extensiones de archivos en el explorador;
• limita la ejecución de programas desde carpetas temporales y perfiles de usuario;
• utiliza control de aplicaciones donde sea posible;
• habilita el firewall local;
• cifra los discos de las laptops;
• bloquea automáticamente la pantalla;
• elimina software innecesario y extensiones de navegador.

Presta especial atención a los usuarios que manejan muchos documentos externos: contabilidad, ventas, recursos humanos, compras y secretaría. Ellos son los que más frecuentemente reciben adjuntos de nuevos remitentes.

Qué hacer en servidores

Los servidores deben ser minimalistas. Cuantas menos funciones innecesarias, menor será el riesgo. Separa roles: controlador de dominio, servidor de archivos, base de datos, servidor web y sistema de copia de seguridad no deben fusionarse innecesariamente en una sola máquina.

Para los servidores es importante:

• desactivar servicios y puertos no utilizados;
• limitar la administración a una subred específica o VPN;
• habilitar el registro de ingresos y cambios;
• usar contraseñas seguras y MFA donde sea posible;
• controlar grupos de administradores;
• actualizar periódicamente el SO y aplicaciones;
• mantener los secretos fuera de scripts y archivos de texto, y dentro de un almacenamiento seguro.

Protección de cuentas y contraseñas

La compromisión de credenciales a menudo es más peligrosa que la infección de un solo archivo. Al obtener una contraseña, un atacante puede actuar como si fuera un usuario legítimo y eludir parte de los sistemas de defensa.

Política de contraseñas sin complicaciones innecesarias

Las contraseñas deben ser largas y únicas. Es mejor usar frases de contraseña y un administrador de contraseñas en lugar de hacer que las personas creen combinaciones cortas complejas que anotan en papel. Cada servicio necesita una contraseña separada.

Recomendaciones:

• la longitud mínima es más importante que la complejidad artificial;
• prohíbe reutilizar contraseñas corporativas en servicios personales;
• verifica si las contraseñas aparecen en filtraciones conocidas;
• no envíes contraseñas a través de mensajeros o correos;
• utiliza un administrador de contraseñas para el equipo;
• cambia inmediatamente la contraseña si sospechas que ha sido comprometida.

Cuentas privilegiadas

Las cuentas administrativas requieren un control separado. Usa cuentas separadas para el trabajo cotidiano y la administración. No abras correos ni sitios web con la cuenta administrativa. Restringe el acceso de administradores solo a los sistemas necesarios.

Para una infraestructura madura, son útiles soluciones PAM que otorgan privilegios por tiempo limitado, registran sesiones y reducen el riesgo de excesos permanentes.

Capacitación de empleados sin formalidad

Las personas no son el eslabón débil, sino parte del sistema de protección. Pero la capacitación debe ser práctica. Una larga presentación una vez al año rara vez cambia el comportamiento. Es mejor realizar breves sesiones regulares, mostrar ejemplos reales de correos electrónicos y explicar a dónde informar sospechas.

Los empleados deben ser capaces de reconocer las señales de phishing:

• presión por urgencia y miedo;
• solicitud para abrir un archivo inesperado;
• dirección inusual del remitente;
• enlace que lleva a un dominio similar pero diferente;
• solicitud para ingresar una contraseña después de un enlace en el correo;
• archivo comprimido con contraseña;
• solicitud inusual del jefe o socio.

Es importante crear una cultura en la que la persona no tenga miedo de informar un error. Si un empleado abre un archivo sospechoso, una rápida llamada al departamento de TI puede salvar toda la red. El castigo y la vergüenza, por otro lado, hacen que las personas guarden silencio.

Monitoreo y detección temprana

La prevención es importante, pero hay que estar listos para que algunas partes de los ataques superen las primeras barreras. La detección temprana reduce el daño. Mantén un seguimiento de las señales que puedan indicar una preparación para el cifrado.

Señales de un posible ataque

Señales sospechosas:

• cambio o renombramiento masivo de archivos;
• aumento repentino de errores de acceso a archivos;
• ingresos a horas inusuales o desde países inusuales;
• creación de nuevas cuentas de administrador;
• desactivación del antivirus o de registros;
• ejecución de herramientas de administración remota sin aprobación;
• escaneo de la red desde computadoras de usuario;
• intentos de acceso a copias de seguridad con cuentas no típicas.

Configura la recopilación centralizada de registros al menos para sistemas críticos: controladores de dominio, VPN, correo, EDR, servidores de copias de seguridad y almacenamiento de archivos. Si no hay un equipo propio de monitoreo, considera los servicios de un SOC o MSSP externo.

Qué hacer ante los primeros signos de infección

Si notas señales de un ransomware, no apagues todo de manera caótica. En algunos casos, una desconexión brusca puede dificultar la investigación, pero también es peligroso retrasarse. Actúa según el plan:

1. Aísla el dispositivo sospechoso de la red: desconecta el cable, el Wi-Fi o bloquea el puerto.
2. No elimines archivos ni reinstales el sistema antes de asegurar los datos principales.
3. Informa a los encargados de TI y seguridad.
4. Bloquea las cuentas comprometidas.
5. Verifica dispositivos vecinos y recursos en red.
6. Detén la propagación: desconecta carpetas o segmentos compartidos si es necesario.
7. Conserva registros y muestras de archivos maliciosos para análisis.
8. Restaura sistemas solo de copias de seguridad limpias y verificadas.

¿Debería pagar el rescate?

El pago no garantiza la recuperación de los datos. Los delincuentes pueden no enviar la clave, enviar una herramienta no funcional o atacar nuevamente a la organización. Además, pagar apoya la economía del crimen y puede conllevar riesgos legales dependiendo de la jurisdicción y el receptor de los fondos.

La decisión sobre los siguientes pasos debe tomarse con la participación de la dirección, abogados, expertos en seguridad y, si es necesario, fuerzas del orden. Pero la mejor estrategia es hacer que el rescate no sea la única opción de antemano. Para esto, se requieren copias de seguridad confiables, un plan de recuperación y minimización de la pérdida de datos.

Particularidades de la protección de pequeñas empresas

Las pequeñas empresas a menudo no tienen un gran equipo de TI, pero las medidas básicas siguen siendo accesibles. Comienza con un conjunto simple y medible:

• activa MFA para correo, bancos, CRM, nube y acceso remoto;
• configura copias de seguridad automáticas con una copia protegida separada;
• compra o configura protección confiable de puntos finales;
• actualiza computadoras, enrutadores, NAS y servidores;
• prohíbe trabajar bajo administrador para tareas comunes;
• capacita a los empleados para que revisen correos y adjuntos;
• almacena una lista de contactos en caso de un incidente;
• verifica quién tiene acceso a carpetas compartidas.

Si no hay un administrador interno, considera contratar un contratista confiable para una auditoría. No solo es importante instalar programas, sino asegurarse de que las copias de seguridad se restauren, que la MFA esté realmente habilitada y que el acceso remoto no esté abierto a toda la internet.

Particularidades de la protección de usuarios domésticos

Los usuarios domésticos también se enfrentan a ransomware. Los riesgos aumentan con programas piratas, cracks, descargas dudosas, actualizaciones desactivadas y falta de copias de seguridad.

Medidas prácticas para el hogar:

• utiliza software licenciado y descarga programas de sitios oficiales;
• habilita actualizaciones automáticas de Windows, macOS, navegadores y aplicaciones;
• guarda copias de fotos y documentos importantes en la nube con versionado;
• periódicamente haz una copia offline en un disco externo;
• no desactives la protección incorporada del sistema sin razón;
• no abras adjuntos sospechosos;
• utiliza un administrador de contraseñas y MFA para correo;
• crea una cuenta separada sin derechos de administrador para el trabajo diario.

Para la familia, es útil explicar reglas básicas a niños y ancianos. Un solo archivo descargado puede cifrar carpetas compartidas, discos conectados y archivos familiares.

Errores comunes al protegerse contra ransomware

Incluso las organizaciones con buenas intenciones cometen errores. Algunos parecen pequeños, pero aumentan significativamente el riesgo.

Una copia de seguridad siempre conectada a la red

Si un disco o almacenamiento en red está disponible constantemente para escritura, un ransomware puede acceder a él. Se necesita una copia separada que no pueda modificarse desde la red habitual.

MFA activada no en todos lados

A veces, se activa MFA para la dirección, pero se olvidan de administradores, VPN, protocolos de correo antiguos o cuentas de servicio. Los atacantes buscan precisamente esas excepciones.

Todos los usuarios tienen demasiados privilegios

Si un empleado tiene acceso a todas las carpetas compartidas, la infección de su computadora puede dañar datos de varios departamentos. Los privilegios deben corresponder al rol.

No hay verificación de recuperación

Una copia de seguridad puede estar incompleta, dañada o ser demasiado antigua. La prueba regular de recuperación es una parte obligatoria de la protección, no una opción adicional.

Incidentes escondidos por miedo

Si los empleados temen las sanciones, informan tarde sobre actividades sospechosas. Esto da tiempo a los atacantes. Es mejor alentar informes rápidos y analizar errores sin presión pública.

FAQ: respuestas a preguntas frecuentes

¿Cómo saber si una computadora está infectada con ransomware?

Los signos típicos son que los archivos dejan de abrirse, aparecen nuevas extensiones, hay una nota de rescate en el escritorio o en las carpetas, la computadora funciona inusualmente lenta, y el antivirus informa sobre cambios masivos en archivos. Ante cualquier sospecha, aísla de inmediato el dispositivo de la red y consulta a un especialista.

¿Puede un antivirus prevenir completamente un ataque de ransomware?

No. La protección moderna de puntos finales es importante, pero no ofrece garantía absoluta. Se requieren copias de seguridad, MFA, actualizaciones, restricciones de privilegios, filtrado de correo, segmentación de red y un plan de respuesta.

¿Con qué frecuencia se deben hacer copias de seguridad?

La frecuencia depende de cuántos datos estás dispuesto a perder. Si perder un día es crítico, las copias son necesarias más de una vez al día. Para bases de datos importantes, puede requerirse copias varias veces al día o replicación casi continua. Lo principal es mantener al menos una copia protegida fuera del alcance del ransomware.

¿El almacenamiento en la nube protege contra ransomware?

La nube ayuda si se habilitan versionado, MFA, restricciones de privilegios y protección contra eliminación. Pero la sincronización por sí sola no es una copia de seguridad completa. Si se sincronizan archivos cifrados en la nube, sin versiones y sin papelera, puedes perder copias limpias.

¿Qué hacer si un ransomware ya ha cifrado los archivos?

Desconecta dispositivos infectados de la red, no pagues de inmediato y no ejecutes descifradores aleatorios de internet. Guarda la nota de los extorsionadores y muestras de archivos, consulta a especialistas, verifica la existencia de copias de seguridad y la recuperación en un entorno limpio. También cambia las contraseñas y verifica si ha habido una filtración de datos.

¿Debería desconectar internet durante un ataque?

A veces, desconectar temporalmente el acceso externo o segmentos de red individuales ayuda a detener la propagación. Pero es mejor actuar según un plan preparado previamente. Es importante aislar dispositivos infectados, conservar registros y no destruir pruebas que ayuden a comprender la magnitud del incidente.

Lista mínima de verificación para los próximos 7 días

Si necesitas reducir rápidamente el riesgo, comienza con un plan breve. No sustituye un programa de seguridad completo, pero ofrece un efecto inmediato.

1. Verifica si hay copias de seguridad de datos críticos y si se puede recuperar al menos un archivo.
2. Haz una copia offline o inmutable de los datos más importantes.
3. Habilita MFA para correo, VPN, servicios en la nube y administradores.
4. Cierra RDP abierto y otros servicios innecesarios de internet.
5. Instala actualizaciones críticas en sistemas públicos y estaciones de trabajo.
6. Elimina los derechos de administrador local a los usuarios comunes.
7. Verifica quién tiene acceso a carpetas compartidas y copias de seguridad.
8. Configura el filtrado de adjuntos peligrosos en el correo.
9. Realiza un breve briefing: cómo reconocer phishing y a dónde informar.
10. Anota contactos y el procedimiento en caso de infección.

Cómo evaluar la preparación ante un ataque

Una pregunta útil: ¿Qué pasaría si mañana por la mañana la mitad de los servidores estuvieran cifrados? Si la respuesta no es clara, es necesario mejorar la preparación. Realiza un ejercicio de escritorio. Reúne a TI, dirección, abogados, propietarios de procesos clave y recorre el escenario sin desconectar realmente los sistemas.

Verifica:

• ¿Quién detectará el ataque y qué tan rápido?
• ¿Qué servicios se detendrán primero?
• ¿Qué datos se recuperarán primero?
• ¿Dónde están las instrucciones, si el servidor de archivos no está disponible?
• ¿Hay cuentas limpias para la recuperación?
• ¿Cuánto tiempo tomará iniciar una infraestructura funcional mínima?
• ¿Cómo comunicarse con empleados y clientes?

Este ejercicio a menudo revela brechas simples pero críticas: no hay un canal de comunicación de respaldo, las contraseñas de acceso de emergencia solo se almacenan en el sistema cifrado, y la persona responsable de las copias de seguridad está de vacaciones y nadie sabe el procedimiento de recuperación.

Conclusión

Prevenir por completo ataques de ransomware es imposible, pero se puede reducir drásticamente la probabilidad de infección y prepararse para una recuperación rápida. Comienza con la auditoría, MFA, actualizaciones, restricción de privilegios y copias de seguridad protegidas. Luego añade filtrado de correo, EDR, segmentación de red, monitoreo y capacitación regular. No esperes: elige tres medidas de la lista de verificación, asigna responsables y aplícalas en la próxima semana.