El ransomware es malware que cifra archivos o bloquea sistemas y luego exige un pago para devolver el acceso. Quienes lo despliegan hoy casi siempre roban los datos primero, así que una clave de descifrado ya no cierra el incidente.
En febrero de 2024, el ataque a Change Healthcare le costó a UnitedHealth Group USD 3.100 millones solo en ese año y expuso datos de unos 190 millones de personas. Los atacantes no rompieron ninguna criptografía para entrar: usaron un portal Citrix sin autenticación multifactor.
Esta página cubre qué es el ransomware, cómo se desarrolla un ataque moderno, qué debilidades de software abren la puerta y cómo encontrarlas y corregirlas antes de que las encuentre alguien más.
¿Qué es ransomware?
El ransomware es una familia de malware construida para la extorsión. Inutiliza los datos de una organización y después le revende la capacidad de usarlos. El cifrado es la parte visible; también es la última.
La categoría se divide en dos. El cryptor ransomware cifra archivos y deja el sistema funcionando, de modo que la víctima puede leer la nota de rescate pero no sus documentos. El locker ransomware bloquea el dispositivo sin tocar los archivos. Los cryptors dominan los incidentes corporativos porque escalan: un solo payload puede alcanzar miles de hosts desde una única consola de administración.
Lo que cambió es el negocio alrededor. El troyano PC Cyborg de 1989 bloqueaba una sola máquina y pedía al usuario renovar una licencia por USD 189. Un incidente de ransomware en 2026 involucra al menos a tres partes que nunca se conocen, y el payload es la parte más barata de la operación.
El Data Breach Investigations Report 2025 de Verizon encontró ransomware en el 44 % de las brechas que revisó, frente al 32 % del año anterior. En ese mismo conjunto de datos, el 64 % de las organizaciones víctimas no pagó, y el rescate mediano pagado bajó a USD 115.000.
¿Cómo funciona un ataque de ransomware?
Una operación de ransomware es una cadena, y el cifrado está al final. Antes de que se bloquee un solo archivo, el atacante tiene que entrar, moverse, encontrar lo que importa y copiarlo. Cada paso es una oportunidad de detenerlo mientras todavía sale barato.
Etapa | Qué ocurre |
|---|---|
Acceso | Un corredor de acceso o un afiliado entra con una credencial robada, un señuelo de phishing o un servicio expuesto a Internet sin parchar |
Escalamiento | El intruso eleva privilegios y deshabilita registros, respaldos y defensas de endpoint |
Movimiento lateral | Mapea la red y alcanza controladores de dominio, recursos compartidos y servidores de respaldo |
Exfiltración de datos | La información sensible se copia hacia afuera, a menudo durante días o semanas, de modo que la amenaza de filtración sobrevive a cualquier restauración |
Cifrado | El payload se ejecuta en tantos hosts como sea posible, por lo general fuera del horario laboral |
Extorsión | La víctima recibe un plazo, una dirección de pago y una cuenta regresiva en un leak site |
En Change Healthcare los atacantes pasaron nueve días moviéndose lateralmente antes de desplegar nada, según nuestro repaso de los diez mayores incidentes de ransomware. Nueve días de oportunidad, pero solo para un defensor cuyo primer paso no fuera trivialmente fácil.
Extorsión simple, doble y triple
Los atacantes modernos acumulan presión en lugar de apoyarse solo en el cifrado. Cada capa responde a una razón para negarse a pagar.
Nivel | Técnica | Por qué presiona a la víctima |
|---|---|---|
Simple | Cifrar los datos y vender la clave | La operación se detiene hasta restaurar los sistemas |
Doble | Exfiltración de datos primero, luego amenaza de publicarlos | Los respaldos limpios ya no eliminan el riesgo; empiezan la notificación de brecha y la exposición regulatoria |
Triple | Sumar ataques DDoS y contacto directo con clientes o reguladores | El daño reputacional se extiende más allá del control de la víctima |
La doble extorsión es hoy el estándar, y cambia lo que significa “recuperarse”. Una organización que restaura desde respaldo en seis horas resolvió la disponibilidad y nada más: los datos robados siguen afuera. En Change Healthcare, después de que el primer grupo cobró, un segundo extorsionó otra vez a la víctima con los mismos archivos.
Cómo escaló la extorsión: del cifrado a las filtraciones y a la presión externa. Elaboración propia.
Ransomware como servicio
El ransomware como servicio (RaaS) es un modelo de alquiler: un grupo escribe y mantiene el malware, otro entra y ejecuta el ataque, y reparten las ganancias. Por eso ataques que parecen sofisticados suelen estar en manos de operadores de habilidad modesta.
Rol | Qué aporta |
|---|---|
Desarrollador | Construye el payload, el leak site y la infraestructura de pago; se lleva una tajada |
Corredor de acceso | Vende acceso funcional a un objetivo, casi siempre una credencial o un servicio explotado |
Afiliado | Compra el acceso, se mueve lateralmente, exfiltra datos y lanza el payload |
Quién hace qué en el modelo de ransomware como servicio. Elaboración propia.
El aviso #StopRansomware de CISA sobre Medusa dice que los desarrolladores reclutan corredores de acceso en foros criminales, y que esos corredores entran mediante phishing y la explotación de vulnerabilidades de software sin parchar. La división del trabajo importa para quien defiende: el trabajo del corredor es la única parte que toca tus sistemas antes de que empiece el daño.
Ransomware en Fluid Attacks
No respondemos a incidentes de ransomware. Trabajamos un paso antes, sobre las debilidades de software que le dan a un corredor de acceso algo que vender: una afirmación más estrecha que la de la mayoría de proveedores, y la parte que podemos respaldar con datos.
Qué evaluamos y bajo qué reglas
Evaluamos código fuente, aplicaciones en ejecución e infraestructura de organizaciones que desarrollan su propio software, bajo un alcance que define el cliente y con autorización escrita. Nuestros pentesters trabajan como lo haría un afiliado —encadenando hallazgos, escalando privilegios, alcanzando datos— y se detienen antes del impacto. Los datos de abajo provienen de nuestro Reporte de ataques 2026, que cubre 1.119.396 vulnerabilidades reportadas en sistemas de clientes entre enero y diciembre de 2025.
Cómo se ve en la práctica
Cada prueba corresponde a un eslabón de la cadena de arriba.
Prueba | Eslabón de la cadena de ransomware que atiende | Evidencia que produce |
|---|---|---|
Inyección de comandos y otras fallas que dan ejecución de código en un servidor | Línea vulnerable, archivo y corrección | |
Componentes de terceros vulnerables, la ruta de cadena de suministro tipo Kaseya | Dependencia afectada, versión y si la función vulnerable es alcanzable | |
Servicios expuestos, autenticación débil en aplicaciones accesibles desde Internet | Solicitud y respuesta reproducibles | |
Pruebas de penetración manuales sobre rutas encadenadas desde un hallazgo de baja severidad hasta el acceso privilegiado | Ruta de explotación funcional con evidencia |
Tres entradas de nuestro catálogo de debilidades corresponden a cómo los operadores de ransomware entran y escalan: ejecución remota de comandos, donde un sistema construye comandos del sistema operativo con entradas manipulables desde afuera; ausencia de autenticación multifactor en servicios críticos, exactamente lo que falló en Change Healthcare; e información sensible en el código fuente, donde usuarios, contraseñas y direcciones IP esperan en un repositorio a que alguien las lea.
Qué dice nuestra propia data sobre la brecha
Tres números del Reporte de ataques 2026 describen el problema y una salida.
El 70 % de los sistemas que evaluamos en 2025 tenía al menos una vulnerabilidad de severidad alta o crítica, frente al 53,3 % de 2024. En todas las severidades, se remedió el 62,2 % de las vulnerabilidades reportadas.
La brecha se abre alrededor de la automatización en el pipeline. Los sistemas con nuestro CI Gate llegaron a una tasa de remediación del 72,2 % al cierre del año; los que no lo usaron, al 58 %. Los clientes que configuraron su propia política de priorización remediaron el 64,4 % de los hallazgos, contra el 34 % de quienes mantuvieron la configuración por defecto.
Lo que la automatización no encuentra, incluida la nuestra
El escaneo automatizado por sí solo no cierra esto. En el benchmark de Fluid Attacks de 36 herramientas AppSec de terceros contra una aplicación web sembrada con 1.201 vulnerabilidades en 105 categorías CWE, el escáner de mejor desempeño fue el nuestro, y encontró el 22,7 % de ellas: apenas el 8,8 % de la exposición al riesgo total de la aplicación en CVSSF. Un pentester sobre el mismo objetivo alcanzó 89,6 % de recall con 100 % de precisión.
Vale la pena decir ese límite sin rodeos, porque va en contra de nuestro propio producto. También es la razón por la que el 87 % de las vulnerabilidades de severidad crítica de nuestros datos de 2025 se identificó mediante revisión manual, y por la que vendemos la combinación y no el escáner.
Aquí cabe un segundo límite: las pruebas de seguridad de aplicaciones reducen las vías de entrada, pero no son un control de ransomware por sí solas. Los respaldos fuera de línea, la detección en endpoints y un modelo de seguridad zero trust que bloquee el movimiento lateral hacen un trabajo que ninguna revisión de código reemplaza.
La práctica que decide el resto
Encontrar una vulnerabilidad y corregirla son eventos distintos, y también lo son corregirla y haberla corregido. Nuestra documentación lo dice sin adornos: una corrección puede agregar vulnerabilidades nuevas, o puede no corregir la original. Para eso existen los reattacks. Nuestras herramientas y pentesters vuelven a probar después de cada intento de remediación y marcan el hallazgo como Verified (safe) o Verified (vulnerable), con la evidencia de explotación adjunta cuando sobrevive. Una corrección sin verificar es una hipótesis.
Más a fondo: cómo prevenir ataques de ransomware.
Cómo los ataques de ransomware explotan vulnerabilidades de software
La explotación de vulnerabilidades es hoy una de las principales vías de entrada de los operadores de ransomware, y la que más rápido crece. El DBIR 2025 de Verizon la ubicó en el 20 % de las brechas como vector de acceso inicial, un alza del 34 % frente a la edición anterior, con los dispositivos de borde y las VPN pasando del 3 % al 22 % de los objetivos.
Los avisos de CISA nombran las fallas concretas. El aviso #StopRansomware sobre el grupo Play documenta la entrada por aplicaciones expuestas al público, específicamente vulnerabilidades conocidas de FortiOS (CVE-2018-13379 y CVE-2020-12812) y de Microsoft Exchange ProxyNotShell (CVE-2022-41040 y CVE-2022-41082). Ninguna era desconocida cuando se usó.
Dos patrones se repiten en los incidentes de ransomware:
Servicios expuestos a Internet sin parchar: las pasarelas VPN, el software de transferencia de archivos y los servidores de correo se escanean a escala de Internet a los pocos días de una divulgación. WannaCry se propagó en 2017 por una falla que Microsoft había parchado meses antes.
Componentes de terceros: en 2021 la campaña de ransomware de Kaseya usó fallas de día cero en el software VSA on-premises para alcanzar de una sola vez a los clientes de proveedores de servicios administrados. Una dependencia vulnerable dentro de tu propia compilación es el mismo problema con tu nombre encima, y el software composition analysis es lo que la saca a la luz.
La conexión con la seguridad de aplicaciones es directa. Una falla de ejecución remota de comandos en tu propio código le da a un afiliado de ransomware el mismo punto de apoyo que un appliance sin parchar, y nunca aparecerá en un boletín de parches de ningún proveedor, porque nadie fuera de tu organización sabe que existe.
Cómo priorizar las vulnerabilidades que explotan los grupos de ransomware
La severidad por sí sola es un mal filtro para el riesgo de ransomware. Un puntaje CVSS crítico dice qué tan grave sería la explotación, no si alguien la está explotando ni si tu aplicación alcanza el código vulnerable.
Nuestro análisis de la severidad de vulnerabilidades argumenta a favor de dos señales más. El Exploit Prediction Scoring System produce una probabilidad entre 0 y 1, y la mayoría de las vulnerabilidades —incluidas muchas con puntajes CVSS altos— obtienen valores muy bajos. El catálogo de vulnerabilidades explotadas conocidas de CISA responde la pregunta más directa, la que más importa para el ransomware: ¿ya la usaron contra alguien?
Nuestra plataforma las combina en vez de elegir. El valor de Priority es un percentil que integra el CVSS con la inclusión en el KEV de CISA, el EPSS, la transitividad de dependencias, el tiempo estimado de corrección y la alcanzabilidad; la exposición al riesgo se mide en CVSSF, la suma de todo lo que sigue sin remediar.
La plataforma ordena los hallazgos por Priority, que integra el CVSS con KEV, EPSS y alcanzabilidad.
La alcanzabilidad merece una nota aparte para el código de terceros. Nuestros análisis verifican si tu software realmente llama la función vulnerable de una dependencia, lo que separa las alertas que describen tu riesgo de las que solo describen el de la librería.
Esto es lo que convierte una lista de hallazgos en una gestión de vulnerabilidades que reduce la exposición al ransomware en vez de generar tiquetes.
Ataques de ransomware famosos
Cinco incidentes explican casi todo lo que cambió entre 1989 y hoy, y nuestro repaso de los mayores incidentes de ransomware documenta cada uno en detalle.
Ataque | Año | Punto de entrada o método | Qué demostró |
|---|---|---|---|
WannaCry | 2017 | Falla de SMB parchada meses antes | La demora en parchar es un vector de ransomware |
NotPetya | 2017 | Explotación de dispositivos sin parchar, propagación por redes | Los datos quedaron cifrados de forma irreversible; pagar no recuperó nada |
Colonial Pipeline | 2021 | Contraseña expuesta de una cuenta VPN | ~USD 4,4 millones pagados; suministro de combustible interrumpido en la costa este de EE. UU. |
Kaseya | 2021 | Días cero en el software VSA on-premises | La falla de un solo proveedor alcanzó a cientos de clientes aguas abajo |
Change Healthcare | 2024 | Portal Citrix sin MFA | USD 3.100 millones de costo, ~190 millones de personas afectadas, dos intentos de extorsión |
El incidente de LockerGoga contra Norsk Hydro en 2019 va al lado de estos por la razón contraria: la compañía dijo que no pagaría ningún rescate, operó sus plantas manualmente y publicó lo que pasó. Estimó el costo entre USD 45,6 y 51,3 millones.
Qué hacer después de un ataque de ransomware
Aislar primero, luego identificar, luego reportar, y tratar los datos robados como un incidente distinto de los datos cifrados. Desconecta los sistemas afectados de la red y del almacenamiento compartido antes que nada, incluidas las unidades de respaldo que sigan montadas.
Identifica la familia de ransomware por la nota de rescate y las extensiones de archivo. Eso determina si la recuperación sin pago es posible.
Repórtalo. El FBI pide a las víctimas de ransomware reportar a través de IC3, y CISA ofrece asistencia técnica.
Consulta No More Ransom antes de considerar el pago. El proyecto de Europol y la policía holandesa aloja descifradores gratuitos para muchas familias de ransomware, y dice que las víctimas nunca deberían pagar.
Restaura desde respaldos fuera de línea, o borra y reconstruye. Verifica que los respaldos estén limpios antes de reconectarlos.
Asume que los datos ya salieron. Cuando los robaron primero, las obligaciones de notificación no esperan a una clave de descifrado.
El FBI desaconseja pagar, y los datos respaldan esa posición: el 64 % de las víctimas del conjunto de datos de Verizon de 2025 no pagó. NotPetya es el argumento más claro. Mostraba una nota de rescate, pero el cifrado era irreversible por diseño y ningún pago recuperó nada.
Conclusiones
El ransomware dejó de ser un problema de cifrado hace años. Es un problema de acceso con un paso de cifrado al final, ejecutado por especialistas que compran su entrada con credenciales y software sin parchar en lugar de romper criptografía.
Ese replanteamiento mete la prevención de ransomware dentro de un trabajo que ya haces. Los servicios expuestos a Internet sin parchar, la MFA ausente, las dependencias vulnerables y las fallas de ejecución de comandos en tu propio código son todas encontrables y corregibles antes de que las encuentre un afiliado. Las organizaciones que integran esas comprobaciones en su pipeline corrigen más: una tasa de remediación del 72,2 % con nuestro CI Gate en el pipeline, contra el 58 % sin él.
Preguntas frecuentes
¿El ransomware sigue siendo solo cifrado de archivos?
No. La doble extorsión —robar los datos antes de cifrarlos y después amenazar con publicarlos— ya es el estándar, y algunos grupos suman ataques DDoS y presión directa sobre clientes y reguladores. Los respaldos limpios resuelven la disponibilidad y dejan intacto el problema de la divulgación.
¿Cómo consiguen el acceso inicial los grupos de ransomware?
Sobre todo con credenciales robadas o débiles, phishing y la explotación de software expuesto a Internet sin parchar. El DBIR 2025 de Verizon ubicó la explotación de vulnerabilidades en el 20 % de las brechas como vector de entrada, un alza del 34 % interanual, con los dispositivos de borde y las VPN pasando del 3 % al 22 % de los objetivos explotados.
¿Pagar el rescate recupera los datos?
No de forma confiable. El 64 % de las organizaciones víctimas del conjunto de datos de Verizon de 2025 no pagó. NotPetya mostraba una nota de rescate mientras cifraba los datos de forma irreversible, así que el pago no recuperó nada. En Change Healthcare, un segundo grupo volvió a extorsionar a la víctima con los mismos archivos después de que el primero cobró.
¿Qué vulnerabilidades hay que parchar primero para reducir el riesgo de ransomware?
Empieza por todo lo que esté en el catálogo de vulnerabilidades explotadas conocidas de CISA en un sistema expuesto a Internet, y después pondera por la probabilidad de EPSS y por si tu aplicación alcanza el código vulnerable. La severidad CVSS por sí sola selecciona de más: la mayoría de las vulnerabilidades con puntaje alto tiene una probabilidad de explotación muy baja, así que el presupuesto de prevención de ransomware se gasta en los hallazgos equivocados.
¿Fluid Attacks previene los ataques de ransomware?
No por sí sola, y no afirmaríamos lo contrario. Reducimos las vías de entrada mediante pruebas continuas y pruebas de penetración sobre las debilidades que les dan a los operadores de ransomware su primer punto de apoyo. En el benchmark de Fluid Attacks de 36 herramientas AppSec de terceros contra una aplicación con 1.201 vulnerabilidades, un pentester encontró el 89,6 % de ellas con 100 % de precisión, mientras que el mejor escáner automatizado —el nuestro— llegó al 22,7 %. Esa diferencia es la razón por la que combinamos IA, escáneres y pentesters.
Cierra la puerta antes del cifrado
Nuestros escáneres y pentesters encuentran las debilidades explotables que les dan a los operadores de ransomware su primer punto de apoyo, y verifican que las correcciones realmente aguanten. Prueba gratuita · Contáctanos.
Empieza ya con la solución de ASPM de Fluid Attacks
