Módulo 1 · 1.3
Ransomware y extorsión
Módulo 1: Por qué usted es un objetivo · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Después de esta lección podrá explicar cómo entra el ransomware, qué es la doble extorsión y qué medidas limitan el daño.
Conceptos clave: ransomware, cifrado, doble extorsión, acceso inicial, movimiento lateral, rescate, descifrador (No More Ransom)
Qué es el ransomware
El ransomware es software malicioso que inutiliza sus archivos o sistemas y después exige un rescate. La palabra procede del inglés ransom: rescate. Normalmente ocurre mediante cifrado: el software convierte sus archivos en datos ilegibles, con una clave que solo tiene el atacante. Los archivos siguen apareciendo, a menudo con una extensión extraña añadida, pero ya no puede abrirlos. En la pantalla o en cada carpeta aparece un mensaje: pague en unos días, o todo desaparecerá.
El cifrado en sí no tiene nada de malicioso. Es la misma técnica que protege su portátil en caso de robo (lección 5.2) y que asegura su conexión con un sitio web. La diferencia está en quién tiene la clave. Un buen cifrado no se puede descifrar sin la clave. Por eso, «ya lo descifraremos» casi nunca es una opción, salvo que los creadores del ransomware hayan cometido un error.
Según el NCSC neerlandés, el ransomware afecta no solo a los archivos, sino también a los sistemas y las copias de seguridad. Este último punto es el más importante de esta lección.
Cómo entra
Un ataque de ransomware no es un instante, sino una serie de pasos. Comienza con el acceso inicial: el primer pie en la puerta. Las vías más habituales:
| Vía de acceso | Cómo ocurre | Qué lo detiene |
|---|---|---|
| Phishing con archivo adjunto o enlace | Un empleado abre una «factura» o un «albarán» que ejecuta software malicioso | Concienciación (lección 9.2), actualizaciones, permisos limitados |
| Credenciales robadas | Una contraseña filtrada funciona en el correo web, la VPN o la administración remota | Contraseñas únicas, verificación en dos pasos (módulo 2) |
| Una vulnerabilidad conocida en un sistema expuesto a internet | Un servidor VPN, cortafuegos, NAS o sitio web desactualizado con una vulnerabilidad públicamente conocida | Actualizar rápido (lección 5.1), no exponer innecesariamente |
| Administración remota abierta | Un programa para trabajar a distancia en un PC, accesible desde toda internet | Solo mediante una conexión segura, con 2FA |
| Un proveedor | Se abusa de la empresa de TI o del software de un proveedor | Acuerdos y permisos mínimos (módulo 7) |
Tras el acceso inicial, el atacante suele esperar. Observa el entorno, busca cuentas de administrador y salta de un ordenador a otro. Esto se llama movimiento lateral. Busca sobre todo dos cosas: dónde están los datos importantes y dónde están las copias de seguridad. Solo cuando ha encontrado ambas cosas actúa, a menudo de noche o en fin de semana, cuando nadie lo nota.
Por qué una copia de seguridad conectada no ayuda
Muchas pequeñas empresas tienen una copia de seguridad: un disco externo que siempre está conectado al PC, o un disco de red (NAS) al que cada noche se envía una copia. Eso es mejor que nada en caso de que falle un disco duro. Contra el ransomware, a menudo no sirve de nada.
El motivo es sencillo. El ransomware cifra todo a lo que puede acceder el ordenador infectado o la cuenta tomada. Si el disco de copia de seguridad está conectado al PC, el ransomware puede acceder a él. Si la copia de seguridad está en un disco de red al que se accede con la misma cuenta, el ransomware también puede acceder a ella. Un atacante que ha observado con calma a veces incluso borra deliberadamente las copias de seguridad antes de cifrar.
Lo mismo ocurre con la sincronización. Una carpeta que se sincroniza automáticamente con la nube también sincroniza la versión cifrada. A veces todavía puede volver a una versión anterior de un archivo, pero eso depende del servicio y de cuánto tiempo conserve las versiones.
Una copia de seguridad que sobrevive al ransomware tiene al menos una copia que el atacante no puede alcanzar o no puede modificar: un disco guardado suelto en un cajón, o una copia de seguridad con un proveedor aparte con un inicio de sesión propio que no utiliza en su ordenador de trabajo, o un almacenamiento que hace que modificar y borrar sea técnicamente imposible durante un tiempo. En el módulo 6 lo configurará paso a paso. Una copia de seguridad que su proveedor de alojamiento realiza en servidores aparte, independientes de su paquete, ya es una copia externa para su sitio web y correo. Compruebe cuánto tiempo se conserva y quién puede borrarla.
Doble extorsión
Antes, una buena copia de seguridad era la respuesta completa al ransomware: restaurar y listo. Los atacantes se han adaptado. En la doble extorsión primero roban una copia de sus datos y solo después los cifran. Entonces hay dos amenazas:
- Pague, o no recuperará sus archivos.
- Pague, o publicaremos sus datos: ficheros de clientes, presupuestos, datos salariales, buzones de correo.
Una copia de seguridad ayuda contra la primera amenaza, pero no contra la segunda. El NCSC neerlandés también advierte de que los atacantes a veces amenazan con publicar los datos robados. Además, el robo de datos personales constituye en sí mismo una filtración de datos, con obligación de notificación a la autoridad de protección de datos (lección 8.2), independientemente de que pague o no.
A veces un atacante va aún más lejos y se dirige directamente a sus clientes o socios comerciales para comunicarles que sus datos han sido sustraídos de su empresa. La presión recae entonces no solo sobre usted, sino también sobre su reputación.
¿Pagar o no?
El consejo de las autoridades públicas y la policía es inequívoco: mejor no pagar. No More Ransom, la iniciativa impulsada entre otros por Europol y la policía neerlandesa, lo expresa así: pagar el rescate no ofrece garantías. Hay buenas razones:
- No tiene garantía de recibir una clave que funcione, ni de que el descifrado tenga éxito.
- No tiene garantía de que los datos robados se eliminen realmente después.
- Confirma que su empresa paga, lo que la hace atractiva para un próximo ataque.
- Financia los siguientes ataques contra otros.
- La vía de entrada aún no está cerrada. Sin una investigación, puede volver a ocurrir.
El NCSC neerlandés señala la restauración desde una copia de seguridad como la solución más fiable. Si eso no es posible, compruebe si existe un descifrador: un programa gratuito que puede descifrar archivos de una determinada familia de ransomware, porque investigadores encontraron un fallo en esa familia o incautaron claves. No More Ransom (https://www.nomoreransom.org) reúne esos descifradores y le ayuda a determinar qué ransomware tiene. No existe una solución para todas las familias, pero comprobarlo no cuesta nada.
En cualquier caso, presente denuncia ante la policía y compruebe si tiene obligación de notificación: ante la AEPD si se han visto afectados datos personales, ante la autoridad competente si está sujeto a la transposición española de NIS2 (lección 9.1), y a veces ante un cliente según su contrato.
Qué limita el daño
Puede reducir la probabilidad de un ataque y limitar el daño si aun así ocurre. Un resumen, con la lección donde lo aprende:
- Actualizar, sobre todo todo lo que está expuesto a internet: VPN, router, NAS, sitio web (lección 5.1).
- Verificación en dos pasos en el correo, la administración remota y todas las cuentas de administrador (lecciones 2.3 y 2.4).
- Permisos mínimos: no trabajar a diario con una cuenta de administrador, y no dar acceso a todo el mundo a todo (lección 7.1).
- Una copia de seguridad fuera de alcance de sus cuentas habituales, y comprobar con regularidad que la restauración funciona (módulo 6).
- Una tarjeta de incidentes para que todos sepan qué hacer: desconectar la red, no apagar sin más, llamar (lecciones 8.1 y 8.3).
- Concienciación: un compañero que avisa de inmediato de haber abierto un archivo adjunto extraño le da horas de ventaja (lección 9.2).
En la práctica: así se ve
Un ejemplo, compuesto a partir de situaciones frecuentes. Una empresa de instalaciones con doce empleados tenía un servidor VPN para acceder a los archivos desde casa. El firmware llevaba año y medio sin actualizar. A través de una vulnerabilidad conocida, un atacante entró, observó el entorno durante una semana y encontró la cuenta de administrador del disco de red. Una noche de sábado se cifraron los PC, el disco de red y el disco USB con la copia de seguridad que estaba conectado a él. Lo que quedó: el correo y el sitio web, alojados con un proveedor de alojamiento con su propia copia de seguridad, y una copia antigua de la contabilidad en un disco que el contable tenía en casa. Con eso, la empresa pudo volver a facturar al cabo de unos días. Los presupuestos y los planos de los últimos meses se perdieron.
Una actualización y un disco suelto en un cajón habían marcado la diferencia entre unos días y unos meses.
Resumen
- El ransomware cifra archivos, sistemas y copias de seguridad y exige un rescate; un buen cifrado no se puede descifrar sin la clave.
- El ransomware entra mediante phishing, contraseñas robadas, sistemas desactualizados expuestos a internet, administración remota o un proveedor; después el atacante suele observar el entorno primero.
- Una copia de seguridad conectada al ordenador o accesible con la misma cuenta suele quedar también cifrada.
- En la doble extorsión, los datos se roban primero; una copia de seguridad no ayuda entonces contra la amenaza de publicarlos, y constituye una filtración de datos.
- Mejor no pagar; restaure desde una copia de seguridad, compruebe en No More Ransom si hay un descifrador y presente denuncia.
Cuestionario
Ejercicio
Ejercicio D1.3: ¿Y si pasa esta noche? Revise para su propia empresa qué podría cifrar el ransomware esta noche. Anote dónde están sus copias de seguridad, si son accesibles desde un ordenador de trabajo habitual o con una cuenta habitual, y qué sistemas están expuestos a internet. Después responda a las preguntas de reflexión.
Ejercicio D1.3: ¿Y si pasa esta noche?
Así puede abordarlo: (1) Haga una lista de todos los lugares donde están los archivos importantes: ordenadores de sobremesa, portátiles, disco de red, almacenamiento en la nube, correo, contabilidad, sitio web. (2) Anote para cada lugar dónde está la copia de seguridad y si esa copia es accesible desde un ordenador de trabajo normal o con una cuenta que utiliza a diario. (3) Compruebe qué sistemas están conectados a internet y son accesibles desde fuera (VPN, administración remota, NAS, router, sitio web), y cuándo se actualizaron por última vez. (4) Compruebe si existe al menos una copia que el ransomware no pueda alcanzar (desconectada, o en manos de un tercero con su propio inicio de sesión). (5) Consulte una vez https://www.nomoreransom.org/es/index.html para saber cómo funciona el sitio, de modo que lo sepa si lo necesita.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké corresponden al entorno de WebOké; en otros proveedores funciona de forma similar.
- WebOké Backups: ver, restaurar o descargar una copia de seguridad
- Manual de DirectAdmin 16.1: Qué copias de seguridad hay disponibles en WebOké
- NCSC neerlandés, Qué es el ransomware: https://www.ncsc.nl/ransomware/wat-is-ransomware (fuente en neerlandés)
- No More Ransom: https://www.nomoreransom.org/es/index.html