Ransomware: cómo entran a su empresa y por qué el problema no termina cuando recupera los datos

El ransomware dejó de ser “un virus que encripta archivos”. Hoy los grupos entran, se quedan días mirando, se llevan una copia de la información y recién después cifran. El rescate no se pide solo para devolverle sus datos: se pide para no publicarlos. Por eso un backup impecable lo salva de parar la producción, pero no de que sus contratos, sus legajos y su base de clientes queden colgados en internet.

Ya no es un ataque: es una industria con proveedores

Detrás de un ataque no hay una persona con capucha. Hay una cadena de trabajo repartida: alguien vende accesos ya conseguidos a empresas (los llamados corredores de acceso inicial), otro alquila el programa que cifra, otro negocia el rescate por chat, y otro administra el sitio donde se publican los datos de quienes no pagan. Cada eslabón cobra su parte.

Ese modelo cambia una cosa fundamental para una PyME: a usted no lo eligen, lo encuentran. Los grupos escanean internet todo el día buscando un firewall sin actualizar, un escritorio remoto abierto o una contraseña que ya se filtró en otro lado. Si su empresa aparece en esa lista, entra en la cola de trabajo. El tamaño no lo protege; en todo caso lo vuelve un objetivo más rápido de resolver.

Quiénes están siendo publicados en este momento

Cuando una empresa no paga, el grupo la publica en su propio sitio de filtraciones para presionarla. Esos anuncios son públicos, y el proyecto ransomware.live los recopila y los muestra en tiempo real. El tablero de abajo se arma con esos datos cada vez que alguien abre esta página:

Mire la lista un minuto. No son bancos ni multinacionales: hay talleres, distribuidoras, estudios contables, clínicas, cooperativas. Empresas del tamaño de la suya, con un área de sistemas del tamaño de la suya.

Las cinco puertas por las que entran

Los accesos iniciales se repiten con una constancia casi aburrida. Estas cinco explican la enorme mayoría de los casos que nos toca atender:

• Una contraseña que ya no es secreta. Se filtró en otro servicio, se reutilizó, o se la robó un programa que el usuario instaló sin saber junto a un “crack”. El atacante entra al correo o a la VPN con credenciales válidas: no rompe nada, abre la puerta con la llave. Sin doble factor de autenticación, no hay nada que lo detenga.
• Un equipo expuesto a internet sin actualizar. El firewall, la VPN o el servidor de escritorio remoto que se instaló hace cuatro años y nunca más se tocó. Cuando se publica una vulnerabilidad de esos equipos, la explotación masiva empieza en horas.
• Un correo bien hecho. Ya no tiene faltas de ortografía. Es la respuesta a una conversación real que el atacante leyó desde una casilla comprometida de un proveedor suyo, con un archivo que su empleado tenía motivos para abrir.
• Un proveedor o una herramienta de administración remota. Si entran al sistema con el que alguien administra sus equipos, entran a todos sus equipos a la vez. Lo mismo vale para el proveedor que tiene una VPN permanente contra su red.
• La red plana de la planta. Las máquinas, el SCADA y las balanzas conviviendo en la misma red donde se abren correos. Alcanza una notebook infectada en administración para llegar a la línea de producción. Lo desarrollamos en seguridad OT.

Y una vez adentro no cifran enseguida. Pasan entre varios días y varias semanas mirando: buscan al usuario administrador, aprenden quién es quién, encuentran dónde están los archivos que valen y —esto es lo importante— encuentran sus backups. Cuando finalmente disparan el cifrado, suele ser un viernes a la noche, y los respaldos conectados al dominio ya están borrados.

El secuestro es la mitad del problema: la otra es la publicación

Antes de cifrar nada, los grupos copian información hacia afuera: bases de clientes, listas de precios, contratos, legajos de personal, historias clínicas, documentación técnica, correos de la dirección. Esa copia es la verdadera palanca de la extorsión, porque no se puede deshacer. Usted puede restaurar un servidor; no puede restaurar un dato que ya salió.

De ahí en más la presión escala por etapas:

1. Doble extorsión. “Pague para recuperar sus sistemas y para que no publiquemos lo que nos llevamos”.
2. Publicación por goteo. Aparece su empresa en el sitio de filtraciones con una muestra —capturas de carpetas, un par de contratos— y un reloj en cuenta regresiva. Es una vidriera diseñada para que la vean sus clientes.
3. Presión a terceros. Contactan a sus clientes, a sus proveedores y a los medios para avisarles que sus datos están en manos del grupo. La conversación deja de ser privada.
4. Reventa. Se pague o no, los datos suelen terminar circulando entre otros grupos, que los usan para el próximo fraude: ahora escriben desde una dirección parecida a la suya, citando una factura real.

Pagar el rescate le compra una promesa de delincuentes. El backup le devuelve la operación; nada le devuelve la confidencialidad.

Lo que se rompe cuando la información se publica

Es la parte que casi nunca está en el plan de contingencia, y es la que deja secuelas más largas:

• Obligaciones legales. Si en esos archivos hay datos personales de clientes o empleados —y siempre los hay—, su empresa es responsable frente a la Ley 25.326 y ante la Agencia de Acceso a la Información Pública. La filtración se transforma en un expediente, con notificaciones y plazos.
• Contratos y confidencialidad. Los acuerdos de confidencialidad que firmó con sus clientes grandes no distinguen entre “filtré” y “me filtraron”. Se activan cláusulas, auditorías y, en algunos casos, la salida de un proveedor homologado.
• Su competencia leyendo su estructura de costos. Listas de precios, márgenes, condiciones especiales por cliente y salarios quedan disponibles para cualquiera que sepa buscar.
• Fraude dirigido, meses después. Con sus correos internos en la mano, el próximo intento de estafa a un cliente suyo va a ser muy convincente.
• La confianza. Es lo más caro y lo que más tarda en volver. Un cliente perdona una semana sin sistemas; perdona bastante menos que su documentación aparezca publicada.

Qué hacer, en orden de impacto

Ninguna de estas medidas es exótica ni cara. La diferencia entre las empresas que aparecen en ese listado y las que no, casi nunca es el presupuesto: es que alguien se ocupó.

1. Doble factor en todo lo que se accede desde afuera. Correo, VPN, escritorio remoto, sistema de gestión. Empiece por las cuentas de administrador.
2. Cerrar la exposición a internet. Nada de escritorio remoto publicado. Firewall y VPN con soporte vigente y actualizaciones al día, con una revisión mensual de lo que está expuesto.
3. Backups que el atacante no pueda borrar. Una copia fuera del dominio, inmutable, y probada con una restauración real. Si su respaldo se administra con el mismo usuario que administra los servidores, considérelo perdido.
4. Detección, no solo antivirus. Lo que salva es que alguien vea el movimiento raro del martes a la madrugada, cuando el atacante ya está adentro pero todavía no cifró. Ahí es donde un monitoreo con respuesta corta el ataque a tiempo.
5. Separar la red. Que la notebook de administración no vea la planta ni los servidores críticos. Segmentar es barato y limita el radio del daño.
6. Ensayar el peor día. Quién decide, a quién se llama, qué se le dice a los clientes, cómo se sigue facturando sin sistemas. Media jornada de ejercicio hoy ahorra tres días de improvisación después.
7. Formar a las personas. Diez minutos por mes sobre correos y contraseñas rinden más que cualquier equipo nuevo.

Artículos relacionados: Cómo saber si su backup realmente funciona · Qué es el doble factor de autenticación · Seguridad OT: por qué la red de su planta es hackeable