LecturaCómo entra el ransomware y qué señales deja
Bienvenida
Bienvenido a Ransomware: qué hacer en la primera hora. Esta píldora es para el encargado de TI, la gerente y cualquier persona de una pyme que un día puede encontrarse con una nota de rescate en la pantalla. Al terminar sabrá por dónde entra el ransomware, qué señales deja, cómo aislar, avisar y preservar evidencia, cómo se decide sobre el pago y cómo restaurar sin devolverle la red al atacante.
No necesita conocimientos previos: papel y lápiz. Son cuatro lecciones cortas, un ejercicio de mesa y una evaluación final de 4 preguntas: unos 51 minutos.
Qué es el ransomware y por qué importa
El ransomware (de ransom, "rescate") es un programa malicioso que cifra los archivos de una organización y exige un pago para devolverlos. Hoy casi siempre trae doble extorsión: antes de cifrar, los delincuentes copian datos y amenazan con publicarlos si no se paga.
El troyano AIDS de 1989 se repartía en disquetes; CryptoLocker (2013) popularizó el cobro en criptomonedas y WannaCry (2017) se propagó solo por cientos de miles de equipos. En Costa Rica, los ataques de 2022 contra el Ministerio de Hacienda y otras instituciones llevaron a declarar emergencia nacional. La diferencia entre perder días o meses se decide casi siempre en las primeras horas.
| Concepto | Qué significa |
|---|---|
| Nota de rescate | Archivo que deja el atacante con las instrucciones de pago |
| RDP | Remote Desktop Protocol, el escritorio remoto de Windows |
| VPN | Túnel cifrado para entrar a la red de la empresa desde afuera |
| MFA | Una segunda prueba además de la contraseña |
| Parche | Actualización que corrige una vulnerabilidad conocida |
Por dónde entra
En pymes de la región se repiten cuatro puertas. Un correo de phishing con un adjunto o enlace que instala un primer programa de acceso. Un escritorio remoto publicado a internet, casi siempre "para que el contador trabaje desde la casa", con contraseña débil y sin MFA. Una VPN o un firewall con una vulnerabilidad conocida que nadie parchó. Y credenciales robadas o compradas, reutilizadas en el correo, la VPN o un proveedor.
El cifrado casi nunca es el primer paso. Entre la entrada y la nota de rescate suelen pasar días o semanas en los que el atacante explora la red, consigue cuentas de administrador, busca los respaldos para borrarlos y se lleva datos.
La nota de rescate es el último paso, no el primero: antes hubo días de señales.
- 1. Entrada: correo de phishing.
- 2. Primer programa de acceso.
- 3. Exploración y cuenta de administrador.
- 4. Borrado de respaldos.
- 5. Robo de datos (doble extorsión).
- 6. Cifrado y nota de rescate.
Señales antes del cifrado
Esa etapa silenciosa es la mejor oportunidad para cortarlo, y deja rastros: inicios de sesión de madrugada o desde países donde la empresa no opera; cuentas de administrador nuevas que nadie pidió; herramientas de acceso remoto o de escaneo instaladas sin aviso; el antivirus desactivado en varios equipos a la vez; tareas de respaldo que empiezan a fallar; mucho tráfico de salida hacia la nube fuera de horario.
Ninguna de esas señales, sola, prueba un ataque. Dos juntas, en la misma semana, ya merecen una llamada.
Señales del cifrado en curso
\\SRV-ARCHIVOS\Contabilidad\
planilla_octubre.xlsx.lockcr
facturas_2026.pdf.lockcr
LEAME_RECUPERAR_ARCHIVOS.txtArchivos que no abren, con una extensión nueva y rara. Una nota de rescate en cada carpeta o como fondo de pantalla. Y la señal más típica en una oficina: tres personas que en diez minutos dicen que "el compartido no sirve".
Antes del laboratorio
Anote cuáles de las cuatro puertas están abiertas en su organización; le servirá en el ejercicio de mesa.