El ransomware es el único incidente informático capaz de detener una empresa completa en cuestión de minutos. No distingue giro ni tamaño, y en México lleva años afectando por igual a corporativos, dependencias de gobierno y negocios familiares. La buena noticia es que casi siempre entra por la misma media docena de puertas, y todas se pueden cerrar.
Qué es y por qué es distinto
El ransomware es un programa que cifra los archivos de una computadora o de un servidor y exige un pago para devolver la llave. Lo que lo separa de cualquier otro virus es el efecto: no roba de a poquito ni degrada el rendimiento, sino que apaga la operación de golpe. Sin sistema de facturación, sin expedientes, sin base de clientes y, en muchos casos, sin la posibilidad de abrir la puerta de la bodega.
En los últimos años el modelo se volvió doblemente peligroso, porque los atacantes suelen copiar la información antes de cifrarla. Aunque la empresa restaure todo desde un respaldo y no pague un peso, queda la amenaza de publicar lo copiado. Eso convierte un incidente técnico en un asunto legal y reputacional: hay que notificar a los titulares de los datos, y hay que explicárselo a clientes y proveedores.
Por dónde entra
Las rutas de entrada son sorprendentemente pocas y se repiten año tras año:
- Correo. Un archivo adjunto o un enlace que alguien abre porque el mensaje parecía venir de un proveedor conocido. Sigue siendo la puerta número uno.
- Escritorio remoto expuesto a internet. Un puerto abierto para que alguien trabaje desde casa, con una contraseña que se puede adivinar. Es la ruta silenciosa: no hay clic ni descuido, solo un servicio publicado donde no debía.
- Software sin actualizar. Servidores, firewalls y aplicaciones con vulnerabilidades conocidas y parche disponible desde hace meses.
- Credenciales reutilizadas. La misma contraseña del correo corporativo en un servicio externo que sufrió una fuga.
- Proveedores y equipos de terceros. El equipo de soporte externo que se conecta con permisos de administrador desde una computadora que la empresa nunca revisó.
Las siete medidas que más reducen el riesgo
Ninguna es exótica y ninguna requiere un presupuesto de corporativo. Ordenadas por lo que aportan frente a lo que cuestan:
- Respaldos fuera de línea y probados. Al menos una copia que el ransomware no pueda alcanzar desde la red, y una prueba de restauración calendarizada. Un respaldo que nunca se restauró es una hipótesis, no un respaldo.
- Segundo factor de autenticación en correo, VPN, escritorio remoto y cualquier consola administrativa. Es la medida individual que más ataques detiene.
- Cerrar el escritorio remoto a internet. Si hace falta acceso externo, que sea a través de VPN con segundo factor.
- Actualizaciones con calendario. Una ventana mensual fija para sistemas operativos y aplicaciones, y una ruta rápida para las vulnerabilidades críticas.
- Menos privilegios. Que nadie trabaje todo el día con una cuenta de administrador, y que las cuentas de servicio tengan solo los permisos que usan.
- Segmentar la red. Que la computadora de recepción no vea el servidor de producción. Segmentar no evita la infección, pero limita cuánto alcanza.
- Capacitación corta y frecuente. Quince minutos cada trimestre con ejemplos reales rinden más que un curso anual de ocho horas.
Qué hacer en las primeras horas
El peor momento para improvisar es el día del incidente. Conviene tener escrito —y en papel, porque el servidor de archivos puede ser justamente lo que está cifrado— quién decide, a quién se llama y en qué orden se hacen las cosas.
Lo primero es aislar: desconectar de la red los equipos afectados sin apagarlos, porque apagar destruye evidencia que después sirve para saber por dónde entraron. Enseguida, avisar a dirección y a la gente que va a tener que operar sin sistemas. Después, evaluar el alcance con calma: qué se cifró, qué se copió, qué respaldos siguen sanos. Y solo entonces restaurar, siempre sobre equipos limpios y después de haber cerrado la puerta de entrada; restaurar sin cerrarla es volver a empezar en unos días.
Sobre pagar el rescate: además de financiar al atacante, pagar no garantiza recuperar nada ni impide la publicación de lo que ya se llevaron. La decisión no es solo técnica y conviene tomarla acompañado de asesoría legal.
Una conversación de dirección, no de sistemas
La pregunta que ordena todo el tema no es técnica: ¿cuánto puede estar detenida su empresa antes de que el daño sea irreversible? ¿Un día? ¿Una semana? Esa respuesta define cuánto vale la pena invertir en respaldos, en redundancia y en monitoreo, y traduce el riesgo a un lenguaje que la dirección sí puede evaluar.
Casi todas las empresas que atendemos después de un incidente tenían identificadas dos o tres de las medidas de esta lista. Lo que faltó no fue el diagnóstico: fue la fecha de ejecución.
