¿Qué es el ransomware y cómo opera?
El ransomware es un tipo de malware que cifra los archivos de una organización —o amenaza con publicarlos— y exige un rescate (ransom) a cambio de la clave de descifrado. En los últimos años evolucionó hacia la "doble extorsión": además de cifrar, los atacantes exfiltran datos antes de cifrar, y amenazan con publicarlos si no se paga.
La cadena de ataque típica (attack chain) sigue cinco pasos bien definidos:
-
Paso 1 — Acceso inicial
En la mayoría de los casos, el atacante entra a través de un correo de phishing que engaña a un empleado para que haga clic en un enlace o abra un archivo adjunto malicioso. También puede ser a través de credenciales compradas en la dark web, servicios RDP (escritorio remoto) expuestos a internet, o vulnerabilidades sin parchear.
-
Paso 2 — Persistencia y escalación de privilegios
Una vez dentro, el atacante instala herramientas para mantenerse en el sistema aunque se reinicie y comienza a escalar privilegios para obtener acceso de administrador.
-
Paso 3 — Movimiento lateral
Con acceso privilegiado, el atacante se mueve por la red buscando sistemas adicionales, bases de datos y backups. Su objetivo es maximizar el daño potencial antes de activar el cifrado.
-
Paso 4 — Exfiltración
En los ataques de doble extorsión, antes de cifrar se extraen datos sensibles —información de clientes, datos financieros, datos personales— hacia servidores controlados por el atacante.
-
Paso 5 — Cifrado y demanda
El ransomware se activa en todos los sistemas comprometidos simultáneamente, cifrando archivos y mostrando el mensaje de rescate con las instrucciones de pago (generalmente en criptomonedas).
Ransomware-as-a-Service (RaaS)
Hoy, el ransomware no lo desarrollan solo grandes grupos criminales. Existe un ecosistema de "ransomware como servicio" donde operadores ofrecen el software y la infraestructura a "afiliados" que ejecutan los ataques a cambio de un porcentaje del rescate. Esto bajó la barrera de entrada y aumentó exponencialmente la cantidad de actores capaces de lanzar ataques sofisticados.
¿Por qué Chile es un objetivo frecuente?
Chile tiene un perfil que lo hace especialmente atractivo para grupos de ransomware:
Economía digital en crecimiento
Chile tiene uno de los mayores índices de adopción de tecnología en Latinoamérica. Más transacciones digitales, más datos valiosos, más superficie de ataque.
PYMEs con baja madurez en seguridad
La mayoría de las pequeñas y medianas empresas chilenas adoptaron herramientas digitales rápidamente durante y después de la pandemia, pero sin acompañarlo de inversión en seguridad. Muchas tienen credenciales débiles, sin MFA, con sistemas sin actualizar.
Sectores críticos con alta exposición
Salud, educación, retail y servicios financieros concentran grandes volúmenes de datos personales y, en muchos casos, tienen infraestructura tecnológica antigua o mal configurada.
Nueva normativa que aumenta el costo del incidente
Con la Ley 21.663 (Ley Marco de Ciberseguridad) vigente desde marzo 2025 y la Ley 21.719 (Protección de Datos) vigente desde diciembre 2026, un ataque de ransomware que comprometa datos personales ya no es solo un problema operacional: puede derivar en multas de hasta 20.000 UTM y obligación de notificar a la Agencia de Protección de Datos Personales.
Las 6 capas de defensa contra ransomware
No existe una sola medida que proteja completamente contra el ransomware. La defensa efectiva es en capas: cada capa reduce la probabilidad de un ataque exitoso y, si falla, la siguiente limita el daño.
Seguridad del correo electrónico
El 91% de los ataques comienza por email. Implementar protección anti-phishing, Safe Attachments, registros SPF/DKIM/DMARC y MFA en todas las cuentas es la primera y más impactante capa de defensa.
Protección del endpoint (cada dispositivo)
Cada computador, tablet y teléfono que accede a los sistemas de tu empresa es un potencial punto de entrada. Un antivirus moderno con detección por comportamiento detecta el ransomware antes de que cifre archivos.
Gestión de parches y actualizaciones
La mayoría de los ransomwares exitosos explotan vulnerabilidades conocidas para las que ya existe un parche. Un sistema sin actualizar es una puerta abierta. Las actualizaciones deben ser automáticas y verificadas en todos los dispositivos.
Backups seguros: la regla 3-2-1
Si tienes backups correctamente configurados, un ransomware es un incidente grave pero recuperable. La regla 3-2-1: 3 copias de los datos, en 2 tipos de medios diferentes, con 1 copia offsite. Crítico: los backups deben estar aislados de la red principal.
Segmentación de red y control de accesos
Si un atacante compromete una cuenta, la segmentación limita hasta dónde puede llegar. Implementa el principio de mínimo privilegio: cada usuario tiene acceso solo a lo que necesita para su trabajo.
Capacitación del equipo
El eslabón más débil es el humano. Una simulación de phishing anual y una capacitación básica de 2 horas pueden reducir significativamente la tasa de éxito de ataques de ingeniería social. La Ley 21.663 lo exige explícitamente para los obligados formales.
En Yourdevs implementamos estas 6 capas de defensa sobre Microsoft 365.
Ver Asesoría en CiberseguridadSi ya fuiste atacado: los primeros 60 minutos
Si descubres que tu empresa está siendo atacada por ransomware, cada minuto cuenta. Aquí está el protocolo de respuesta inmediata:
- 1
No pagues el rescate (todavía)
Pagar no garantiza recuperar los datos. Según el FBI y Europol, el 80% de las empresas que pagan vuelven a ser atacadas. Primero evalúa si tienes backups utilizables.
- 2
Aisla inmediatamente los sistemas afectados
Desconecta de la red (cable y WiFi) todos los equipos que muestren síntomas. No los apagues: algunos análisis forenses requieren el estado en memoria RAM.
- 3
Identifica el alcance
¿Cuántos equipos están afectados? ¿Se comprometieron los backups? ¿Hay sistemas críticos operativos aún? Esta evaluación determina la estrategia de respuesta.
- 4
Preserva la evidencia
No formatees ni reinstales nada todavía. Los logs y archivos cifrados son evidencia necesaria para el análisis forense y para cumplir con las obligaciones de notificación.
- 5
Notifica a las autoridades competentes
Si eres un prestador de servicio esencial o la brecha involucra datos personales, debes notificar al CSIRT Nacional (Ley 21.663: alerta temprana en 3 horas) y, si hay datos personales comprometidos, a la Agencia de Protección de Datos Personales (Ley 21.719 cuando esté vigente).
- 6
Llama a un equipo de respuesta a incidentes
La respuesta a ransomware requiere conocimiento técnico especializado. Un equipo externo puede acelerar la recuperación, contener el daño y determinar cómo ocurrió el ataque para evitar que vuelva a suceder.
Plan de acción inmediato: lo que puedes hacer esta semana
No necesitas resolver todo de una vez. Estas son las 5 acciones de mayor impacto que puedes implementar esta semana:
- Urgente
Activa MFA en todos los accesos
Especialmente correo, sistemas de gestión y acceso remoto. En Microsoft 365 se activa en menos de 30 minutos.
- Urgente
Verifica tus backups hoy
¿Existen? ¿Son recientes? ¿Están aislados de la red? ¿Alguna vez los has probado restaurando? Si no puedes responder estas preguntas con seguridad, es una brecha crítica.
- Importante
Actualiza todos los sistemas
Activa actualizaciones automáticas en Windows, aplicaciones y firmware de routers y firewalls. Muchos ataques explotan vulnerabilidades con parches disponibles desde meses atrás.
- Importante
Revisa quién tiene acceso a qué
Elimina cuentas de ex-empleados, revisa quién tiene permisos de administrador, y reduce los privilegios a lo estrictamente necesario.
- Recomendado
Realiza una simulación de phishing
Servicios como Microsoft Attack Simulator permiten enviar correos de phishing simulados a tu equipo para identificar quiénes necesitan capacitación adicional.
¿Está tu empresa preparada para resistir un ransomware?
Una evaluación de ciberseguridad puede mostrarte exactamente en qué punto estás y qué medidas implementar primero. No esperes a ser el próximo caso.