12 ejemplos de ransomware: los ataques que cambiaron la forma en que las empresas se defienden

En resumen: el ransomware es un tipo de malware que bloquea los archivos o sistemas de una organización y exige un pago a cambio de desbloquearlos. Los doce ejemplos de ransomware que se recogen a continuación abarcan desde el caso de WannaCry en 2017 hasta el ataque al proveedor holandés de software hospitalario ChipSoft en 2026, con cinco casos holandeses y uno belga. La forma de acceso suele ser habitual: un correo electrónico de phishing, una contraseña fácil de adivinar, una cuenta sin autenticación multifactorial o un servicio de asistencia técnica que restablece la contraseña de la persona equivocada. El rescate rara vez es el coste real. Lo son, en cambio, las semanas de parálisis y reconstrucción.

Qué es el ransomware y qué nos enseñan estos casos

Para conocer la definición y las variantes, consulta «¿Qué es el ransomware?». Para ver una lista más amplia de incidentes ocurridos en los Países Bajos, consulta «Los mayores ciberataques en los Países Bajos». Hay tres aspectos que destacan en los doce casos:

• Los atacantes suelen iniciar sesión con más frecuencia de lo que logran entrar por la fuerza. Lo habitual es que el primer paso sea una contraseña o un clic.
• Hay un lapso de tiempo entre la introducción de los datos y su cifrado. Nueve días en Change Healthcare y 69 en la Universidad de Maastricht.
• Pagar no lo soluciona. La KNVB pagó y, aun así, no podía estar segura de que sus datos estuvieran a salvo.

Resumen de los 12 ejemplos de ransomware

Los 12 ejemplos de ransomware en detalle

1. WannaCry (2017): el gusano que afectó al NHS

Qué ocurrió: El 12 de mayo de 2017, el virus WannaCry se propagó a través de sistemas Windows que no se habían actualizado. Europol contabilizó más de 200 000 víctimas en al menos 150 países. En Inglaterra, al menos 81 de los 236 consorcios del Servicio Nacional de Salud (NHS) se vieron afectados, según constató la Oficina Nacional de Auditoría.

La lección: ninguna organización del NHS tuvo que pagar. Los sistemas infectados no tenían instalados los parches o ya no contaban con soporte técnico, por lo que actualizar a tiempo sigue siendo la defensa más económica.

2. NotPetya y Maersk (2017): 45 000 ordenadores en diez días

Qué ocurrió: En junio de 2017, NotPetya se propagó a través de una actualización maliciosa de un programa de contabilidad ucraniano. El grupo naviero Maersk sufrió daños colaterales y tuvo que reinstalar 4.000 servidores, 45.000 ordenadores y 2.500 aplicaciones en diez días, según declaró su presidente. Coste: entre 250 y 300 millones de dólares.

La lección: la entrada era una actualización fiable. La segmentación de la red y las copias de seguridad fuera de línea determinan la duración del tiempo de inactividad.

3. Universidad de Maastricht (2019): 69 días desde el correo de phishing hasta la nota de rescate

Qué ocurrió: Los días 15 y 16 de octubre de 2019 se abrieron dos correos electrónicos de phishing en dos puestos de trabajo. El 23 de diciembre, el ransomware Clop cifró 267 servidores Windows. La universidad pagó 30 bitcoins, unos 200 000 €. En 2022, la policía recuperó parte de esa cantidad, que para entonces tenía un valor aproximado de 500 000 €.

La lección: los atacantes estuvieron dentro durante 69 días. Un solo correo electrónico notificado durante ese periodo podría haber cambiado el resultado.

4. Hof van Twente (2020): Welkom2020

Qué ocurrió: La contraseña de administrador de este ayuntamiento neerlandés era «Welkom2020», y un cambio en el cortafuegos realizado en noviembre de 2020 dejó el servidor expuesto a Internet. Los atacantes destruyeron las copias de seguridad. El ayuntamiento no pagó; la recuperación costó unos 4 millones de euros.

La lección: posteriormente, un tribunal consideró responsable al propio ayuntamiento. Una contraseña fácil de adivinar sin una copia de seguridad útil es la combinación más costosa.

5. Colonial Pipeline (2021): una cuenta antigua de VPN

Qué ocurrió: El 7 de mayo de 2021, el grupo DarkSide accedió al sistema del operador estadounidense de oleoductos a través de una antigua cuenta de VPN con una contraseña expuesta y sin autenticación multifactorial. Colonial cerró su oleoducto durante varios días y pagó 4,4 millones de dólares. El Departamento de Justicia de EE. UU. recuperó 2,3 millones de dólares.

La lección: esa cuenta no debía estar en uso. Elimina las cuentas antiguas y exige la autenticación multifactorial (MFA) en cada inicio de sesión remoto.

6. Kaseya (2021): un proveedor, hasta 1.500 víctimas

Qué ocurrió: El 2 de julio de 2021, el grupo REvil aprovechó una vulnerabilidad en el software VSA de Kaseya, que los proveedores de servicios informáticos utilizan para gestionar los sistemas de sus clientes. A través de dichos proveedores, el ransomware afectó a entre 800 y 1.500 empresas. REvil exigió 70 millones de dólares.

La lección: unos investigadores neerlandeses del DIVD ya habían informado a Kaseya de estas vulnerabilidades. Es importante saber qué proveedores tienen acceso de administrador a tus sistemas.

7. VDL Groep (2021): 105 empresas paralizadas

Qué ocurrió: En octubre de 2021, el grupo industrial neerlandés VDL y sus 105 empresas, entre ellas la fábrica de automóviles NedCar, sufrieron un ciberataque. Pasó más de un mes hasta que todas las unidades volvieron a la producción. La policía relacionó el ataque con el malware Conti; en 2024 se detuvo a un sospechoso en Kiev.

La lección: VDL nunca dijo si merecía la pena. Para un fabricante, el coste radica en el tiempo de inactividad, así que ensáñalo.

8. Ciudad de Amberes (2022): hasta 70 millones de euros

Qué ocurrió: En la noche del 5 al 6 de diciembre de 2022, el grupo Play atacó la ciudad de Amberes y robó más de 500 GB de datos. La ciudad afirma que nunca pagó. El ayuntamiento estimó el coste en hasta 70 millones de euros.

La lección: la comisión de supervisión flamenca detectó la falta de actualizaciones de seguridad, un uso insuficiente de la autenticación de dos factores y una segmentación deficiente de la red. La falta de cumplimiento de los aspectos básicos fue la causa del fallo.

9. KNVB (2023): pagar sin tranquilidad

Qué ocurrió: En abril de 2023, el grupo LockBit robó datos personales de la Federación Holandesa de Fútbol (KNVB), al parecer después de que un empleado cayera en la trampa de un correo electrónico de phishing. Según RTL Nieuws, la demanda ascendía a más de un millón de euros. En septiembre, la KNVB confirmó que había pagado, sin revelar la cantidad.

La lección: la asociación afirmó que no podía garantizar que los datos se mantuvieran confidenciales. Un pago no es más que una promesa a los delincuentes.

10. Change Healthcare (2024): no hay autenticación multifactorial (MFA) en un portal

Qué ocurrió: El 12 de febrero de 2024, unos atacantes accedieron a un portal de acceso remoto de Change Healthcare, una empresa estadounidense dedicada al procesamiento de pagos en el sector sanitario, utilizando credenciales robadas. El portal no contaba con autenticación multifactorial. Nueve días después, se lanzó el ransomware ALPHV/BlackCat. La empresa matriz, UnitedHealth, confirmó el pago del rescate y declaró unos costes de 872 millones de dólares para el primer trimestre.

La lección: bastó con que faltara un control. Los datos de 192,7 millones de personas se vieron afectados.

11. Marks & Spencer (2025): un restablecimiento de contraseña a la persona equivocada

Qué ocurrió: El 17 de abril de 2025, unos atacantes se hicieron pasar por un empleado de M&S y lograron que un tercero restableciera una contraseña, según explicó el presidente Archie Norman a los diputados. A continuación, se produjo el ataque del ransomware DragonForce. Los pedidos en línea se interrumpieron durante semanas y los beneficios semestrales cayeron de 391,1 millones de libras a 3,4 millones.

La lección: no hacía falta ningún fallo técnico. Un servicio de asistencia técnica necesita un paso de verificación que ni siquiera una persona que llame de forma convincente pueda eludir.

12. ChipSoft (2026): un ataque de ransomware contra el proveedor de historiales médicos

Qué ocurrió: El 7 de abril de 2026, el centro de seguridad sanitaria Z-CERT confirmó un ataque de ransomware contra ChipSoft, empresa que suministra software de gestión de historiales clínicos a la mayoría de los hospitales neerlandeses. Once hospitales desconectaron el software de ChipSoft. Se sustrajeron datos de pacientes de un número considerable de centros sanitarios; ChipSoft afirmó posteriormente que se había impedido su divulgación.

La lección: los hospitales en sí no eran el objetivo, pero aun así se vieron afectados sus servicios. Hay que prepararse para trabajar sin un proveedor esencial.

Cómo se desarrolla un ataque de ransomware

Todos los casos siguen los mismos cinco pasos. En nuestro artículo sobre las fases de un ciberataque se describen con más detalle.

1. Acceso inicial. Un correo electrónico de phishing, una contraseña robada o adivinada, o un sistema que no se había actualizado.
2. Movimiento lateral. Los atacantes exploran la red y obtienen más privilegios, a menudo durante días o semanas.
3. Exfiltración. Copian datos fuera de la organización.
4. Cifrado. Los archivos, los servidores y las copias de seguridad quedan bloqueados, a menudo por la noche o en torno a un día festivo.
5. Doble extorsión. Pagar por la clave y volver a pagar para que los datos robados no se hagan públicos. En 2025, el grupo Nova robó los datos de pruebas de detección de unas 715 000 mujeres del laboratorio holandés Clinical Diagnostics y exigió 1,1 millones de euros.

Familias de ransomware y ransomware como servicio

Clop, Conti, DarkSide, REvil, LockBit, ALPHV/BlackCat, Play, DragonForce: los nombres que aparecen en estos casos son más marcas que grupos fijos. En el modelo de «ransomware como servicio», los desarrolladores alquilan el software y los afiliados llevan a cabo el ataque a cambio de una parte del rescate. En los Países Bajos y Bélgica, LockBit es el grupo que ha registrado el mayor número de víctimas desde 2020, mientras que Qilin fue el grupo más activo durante el último año, según el Cyber Dreigingsradar 2026.

Lo que tienen en común los 12 casos

• Una forma habitual de acceder al sistema. Phishing en Maastricht, una contraseña débil en Hof van Twente, ausencia de autenticación multifactorial (MFA) en Colonial y Change Healthcare, y el servicio de asistencia técnica de M&S.
• Los proveedores como vía de transmisión. Kaseya, ChipSoft y la actualización de software que provocó el ataque de NotPetya afectaron a clientes que, por su parte, no habían hecho nada malo.
• La paralización cuesta más que el rescate. Maersk, VDL, Amberes y M&S lo demuestran.

Qué pueden hacer los empleados para protegerse del ransomware

En al menos la mitad de los doce casos, el primer paso consistía en introducir un nombre de usuario o una contraseña. Por eso, hay cuatro hábitos que valen más que la mayoría de las herramientas:

• Denuncia inmediatamente cualquier correo electrónico sospechoso o cualquier clic erróneo. La rapidez es más importante que buscar culpables. Nuestra guía sobre los tipos de ataques de phishing te indica en qué debes fijarte.
• Utiliza una contraseña única y la autenticación multifactorial (MFA) en todas tus cuentas de trabajo.
• Comprueba las solicitudes de restablecimiento de contraseña o de acceso remoto, incluso cuando la persona que llama parezca pertenecer al departamento de informática.
• Instala las actualizaciones cuando se te solicite.

Los aspectos técnicos, desde las copias de seguridad hasta la segmentación, se tratan en la sección dedicada a cómo prevenir el ransomware. En la sección sobre los factores de riesgo de los ataques de ransomware se explica qué organizaciones corren mayor riesgo.

Preguntas más frecuentes

¿Cuál es un ejemplo de ataque de ransomware?

WannaCry, en 2017, que afectó a más de 200 000 víctimas en al menos 150 países. Un ejemplo neerlandés es la Universidad de Maastricht, que pagó 30 bitcoins en 2019 después de que se cifraran 267 servidores.

¿Cuáles son algunos ejemplos conocidos de ransomware en los Países Bajos?

La Universidad de Maastricht (2019), el municipio de Hof van Twente (2020), VDL Groep (2021), la KNVB (2023) y ChipSoft (2026). En Bélgica, el ataque contra el Ayuntamiento de Amberes (2022) es el mejor documentado.

¿Cómo se inician la mayoría de los ataques de ransomware?

A través de un correo electrónico de phishing, una contraseña robada o débil en una cuenta sin autenticación multifactorial, o un sistema que no se había actualizado.

¿Deberías pagar el rescate?

Estos casos ilustran ambas opciones. La Universidad de Maastricht y la KNVB pagaron; Hof van Twente y Amberes no lo hicieron y se recuperaron. Pagar no garantiza que los datos se eliminen y, además, financia el siguiente ataque.