El ransomware busca dejarte sin acceso a tus datos y cobrar por recuperarlos. Pero el problema ya no termina en un archivo cifrado: algunos grupos también roban información y amenazan con publicarla. Tener una copia que puedas restaurar vale mucho más que cualquier promesa del atacante.
Cómo funciona un ataque
La entrada puede ser un adjunto, una descarga engañosa, una contraseña comprometida o un servicio expuesto sin actualizar. Después, el atacante intenta obtener permisos, alcanzar otras máquinas y localizar respaldos. La fase de cifrado suele ser lo más visible, aunque el acceso inicial puede haber ocurrido bastante antes.
Del acceso inicial al bloqueo
- Entrada: cuenta robada, descarga o vulnerabilidad
- Acceso a archivos y, en algunos casos, robo de datos
- Cifrado o extorsión: aislar, investigar y recuperar
Cifrado, robo de datos y doble extorsión
- Crypto-ransomware: cifra documentos y otros archivos. Cambiarles la extensión no revierte el cifrado.
- Bloqueadores: impiden usar el sistema o muestran una pantalla de rescate. No todos cifran el contenido.
- Doble extorsión: combina la interrupción con la amenaza de divulgar datos. Restaurar un backup resuelve una parte del incidente, no la filtración.
Qué enseñó WannaCry
El brote de mayo de 2017 combinó ransomware y propagación automática por SMB. Ilustra por qué una máquina sin parches puede afectar a otras de la red. No todos los ataques actuales usan esa técnica. Podés ampliar el caso en nuestra ficha histórica de WannaCry.
Qué hacer primero
- Desconectá el equipo afectado de Ethernet y Wi-Fi; no enchufes el disco de backup para “ver si funciona”. Si es de una empresa, avisá al equipo de respuesta.
- Conservá la nota de rescate, el nombre de la extensión y una muestra no sensible del archivo afectado. No ejecutes supuestos descifradores de anuncios o mensajes privados.
- Identificá la familia antes de intentar una recuperación. Un decryptor sirve para casos concretos; no existe uno universal.
- Comprobá las copias desde un entorno limpio. Restaurar sin cerrar la vía de entrada puede terminar en otro cifrado.
Un respaldo que resista el problema
Mantené varias copias, incluida una desconectada o con protección contra modificaciones. Probá la restauración de algunos archivos y protegé con MFA las cuentas que administran esas copias. Actualizá sistema y aplicaciones; evitá exponer RDP o servicios de archivos directamente a Internet. En una red, limitá qué usuarios pueden escribir en cada carpeta.
Si necesitás una mano
En ForoSpyware podés contar qué ocurrió, qué sistema usás y qué detectó el análisis. Adjuntá el informe después de revisar que no incluya correos, nombres de usuario o rutas personales. No subas contraseñas, cookies ni archivos sospechosos al hilo.
Una fase visible no cuenta todo el incidente
El cifrado puede llegar después de un loader, una cuenta comprometida o una backdoor. Si restaurás los archivos sin corregir la entrada, el entorno puede seguir expuesto. No todos los ataques incluyen robo de datos ni todos requieren el mismo plan de recuperación: separá las acciones observadas de las que todavía hay que investigar.
