Cómo prevenir el ransomware: una guía práctica para empresas

El ransomware es una de las amenazas más devastadoras a las que se enfrentan las organizaciones en la actualidad. Un ataque exitoso puede impedirle el acceso a sus propios sistemas en cuestión de minutos, paralizar las operaciones durante días o semanas y dejarle ante la disyuntiva de pagar un rescate o reconstruir todo desde cero. La buena noticia es que la mayoría de los ataques de ransomware se pueden prevenir, no mediante herramientas de seguridad sofisticadas, sino mediante la aplicación sistemática de medidas que cualquier organización puede poner en práctica. Esta guía explica cómo prevenir el ransomware, cuáles son los pasos más eficaces y qué papel desempeña el factor humano en todo ello.

¿Qué es el ransomware? Un breve resumen

El ransomware es un tipo de malware que cifra archivos o sistemas y exige un pago, normalmente en criptomonedas, a cambio de la clave de descifrado. Los ataques modernos de ransomware suelen ir un paso más allá: los atacantes extraen los datos antes de cifrarlos y amenazan con publicarlos si no se paga el rescate, una técnica conocida como «doble extorsión».

El ransomware llega a las organizaciones a través de un número limitado de vías: correos electrónicos de phishing que engañan a un empleado para que ejecute malware, el aprovechamiento de vulnerabilidades sin parchear, conexiones de escritorio remoto comprometidas y software o componentes de la cadena de suministro infectados. Comprender los puntos de entrada es fundamental para la prevención, ya que solo se puede bloquear aquello que se sabe que hay que buscar.

Si quieres conocer con más detalle cómo funciona el ransomware, consulta nuestro artículo sobre el significado y el funcionamiento del ransomware.

Cómo prevenir el ransomware: el aspecto técnico

La prevención del ransomware empieza por cerrar las puertas que los atacantes suelen utilizar. Estas medidas técnicas constituyen la base; sin ellas, ninguna formación en materia de concienciación puede compensar la vulnerabilidad:

• Mantén el software y los sistemas actualizados. La mayoría de los programas de ransomware aprovechan vulnerabilidades conocidas para las que ya existen parches. Un proceso coherente de gestión de parches, aplicado a servidores, dispositivos finales, equipos de red y aplicaciones de terceros, elimina uno de los puntos de entrada más habituales.
• Activa la autenticación multifactorial (MFA). Las credenciales robadas son una de las principales vías de acceso del ransomware, sobre todo a través del escritorio remoto (RDP) y el correo electrónico. La MFA hace que las contraseñas robadas por sí solas no basten para obtener acceso.
• Restringe el acceso remoto. Desactiva el RDP cuando no sea necesario. Cuando sea necesario, utiliza una VPN con autenticación multifactorial (MFA), restringe el acceso por rangos de IP y supervisa si se producen horas o ubicaciones de inicio de sesión inusuales.
• Segmenta tu red. Si el ransomware logra colarse, la segmentación de la red limita su capacidad de propagación. Los sistemas críticos y los datos confidenciales deben aislarse de las redes generales de la oficina.
• Mantén copias de seguridad fuera de línea o inmutables. Un ataque de ransomware que afecte a tu sistema de copias de seguridad frustra el propósito mismo de tenerlas. Las copias de seguridad deben almacenarse fuera de línea o en un formato inmutable, someterse a pruebas periódicas y mantenerse separadas de los sistemas de producción.
• Implementa una solución de detección y respuesta en los puntos finales (EDR). Las herramientas modernas de EDR detectan comportamientos propios del ransomware, el cifrado masivo de archivos y el movimiento lateral, y pueden detener un ataque en curso antes de que cause daños irreparables.
• Filtra los archivos adjuntos y los enlaces de los correos electrónicos. Dado que el phishing es el principal método de distribución de ransomware, las herramientas de seguridad del correo electrónico que analizan los archivos adjuntos, bloquean los enlaces maliciosos y señalan a los remitentes sospechosos reducen considerablemente la superficie de ataque.

Prevención del ransomware en tu organización: el papel del entorno de oficina

Los controles técnicos se centran en los sistemas y el software. Sin embargo, el entorno de oficina presenta factores de riesgo adicionales que van más allá de la infraestructura informática: dispositivos compartidos, acceso de visitantes a la red, dispositivos personales conectados a la red Wi-Fi de la empresa, memorias USB traídas del exterior y empleados sometidos a la presión del tiempo que toman decisiones rápidas sin pararse a verificarlas.

Prevenir el ransomware en el ámbito de la oficina o la empresa implica establecer políticas claras en torno a estos factores de riesgo y asegurarse de que los empleados comprendan por qué existen:

• Separación de la red de invitados. Los visitantes y los dispositivos personales nunca deben estar en el mismo segmento de red que los sistemas y los datos de la empresa.
• Política sobre dispositivos USB y soportes extraíbles. Las memorias USB infectadas siguen siendo un vector real de ransomware, especialmente en entornos de fabricación y logística. Una política que restrinja o bloquee el uso de dispositivos USB en los equipos de trabajo elimina este canal.
• Procedimientos de escalado claros. Los empleados que sospechen que algo va mal —un correo electrónico inusual, una ventana emergente inesperada o un comportamiento extraño del sistema— deben saber exactamente a quién deben dirigirse y que se les anima a hacerlo, en lugar de castigarse. La notificación temprana puede detener un incidente antes de que se convierta en un ataque a gran escala.
• Revisión del acceso de proveedores y terceros. Muchos ataques de ransomware se producen a través de un proveedor o un proveedor de servicios gestionados que dispone de acceso privilegiado a los sistemas de la empresa afectada. Revisa quién tiene acceso externo, limítalo a lo estrictamente necesario y exige a los proveedores que cumplan unas normas mínimas de seguridad.

El ransomware no distingue entre organizaciones en función de su tamaño. Las pequeñas empresas y oficinas suelen ser el blanco de estos ataques precisamente porque se da por hecho que cuentan con menos medidas de seguridad, y esa suposición suele ser acertada.

El factor humano: por qué la formación en concienciación sobre seguridad es esencial para la prevención del ransomware

Los controles técnicos reducen la superficie de ataque, pero no pueden eliminar el riesgo humano. El phishing es el principal método de distribución de ransomware, y tiene éxito no porque los filtros técnicos fallen, sino porque una persona toma una decisión en un momento de distracción, bajo presión de tiempo o por una confianza mal depositada.

Un empleado que abre un archivo adjunto malicioso, introduce sus credenciales en una página de inicio de sesión falsificada o devuelve la llamada al «equipo de seguridad del banco» no es tonto. Simplemente está haciendo lo que cualquiera haría al actuar con información incompleta y bajo presión. La cuestión es cómo dotar a las personas de la capacidad de reconocer patrones para que se detengan y comprueben la situación antes de actuar, y eso solo se consigue con la práctica.

La formación en concienciación sobre seguridad fomenta esa práctica mediante sesiones breves y periódicas, así como simulaciones realistas de phishing. Los empleados que han visto un correo electrónico de phishing convincente en el contexto de una simulación están mejor preparados para detectarlo en la vida real. Las organizaciones que llevan a cabo programas de concienciación de forma continua registran sistemáticamente menores índices de clics en mensajes de phishing, lo que se traduce directamente en un menor número de puntos de entrada para el ransomware.

La formación en sensibilización también cambia la forma en que se actúa tras recibir un correo electrónico sospechoso. Los empleados que han recibido esta formación son más propensos a informar de ello que a hacer clic. Ese cambio, de ser un objetivo pasivo a convertirse en un informador activo, es una de las medidas de reducción de riesgos más significativas que puede adoptar una organización, a un coste relativamente bajo y sin necesidad de infraestructura adicional.

Lista de comprobación para la prevención del ransomware: ¿en qué situación se encuentra tu organización?

Utiliza esta lista de comprobación para evaluar en qué medida está protegida actualmente tu organización frente a un ataque de ransomware:

• Todos los sistemas operativos, aplicaciones y firmware se actualizan dentro de un plazo determinado.
• La autenticación MFA está habilitada en el correo electrónico, el acceso remoto y los sistemas críticos
• El RDP está desactivado o protegido mediante una VPN con autenticación multifactorial (MFA)
• Existen copias de seguridad fuera de línea o inmutables, que se comprueban periódicamente
• La segmentación de la red separa los sistemas críticos de las redes generales de la oficina
• Se ha implementado EDR o una solución equivalente en todos los dispositivos finales
• El filtro de correo electrónico está configurado para bloquear archivos adjuntos y enlaces maliciosos
• Los empleados reciben periódicamente simulaciones de phishing y formación en materia de seguridad.
• Existe un proceso claro de escalado y notificación de incidentes, y todo el personal lo conoce.
• Se revisa el acceso de terceros y proveedores y se limita a lo estrictamente necesario

Si faltan o no están claros más de dos o tres de estos aspectos, tu organización está expuesta de forma significativa a un ataque de ransomware, y esas carencias se pueden subsanar.