Pagar a un grupo de ransomware nunca fue garantía de seguridad, pero una nueva investigación pone una cifra concreta a la frecuencia con la que falla esa apuesta. Según hallazgos recientes, el 58 % de las organizaciones del Reino Unido afectadas por ransomware pagaron el rescate exigido, y el 22 % de esos pagadores sufrieron un segundo intento de extorsión. El mensaje para los equipos de TI, y para cualquiera cuyos datos personales circulen por redes corporativas, es que el viejo manual de «pagar y seguir adelante» ya no se sostiene.

La nueva realidad: pagar no pone fin al ataque

El ransomware solía seguir un guion bastante predecible: los atacantes cifran tus archivos, tú pagas, recibes una clave de descifrado y el incidente se cierra. Ese guion ha sido reescrito. El giro hacia la doble extorsión, donde los atacantes roban los datos antes de cifrarlos y amenazan con filtrarlos independientemente del pago, significa que una transacción de rescate no resuelve nada. El 22 % de repetición de extorsión contra organizaciones que ya habían pagado confirma lo que muchos investigadores de seguridad llevan años advirtiendo: una vez que tus datos salen por la puerta, no tienes control real sobre lo que sucede con ellos después. Un grupo criminal que cobró una vez tiene todos los incentivos para volver, ya sea el mismo actor u otro diferente que opere con accesos revendidos.

Para los administradores de Windows en concreto, esto cambia el planteamiento de la respuesta ante incidentes. Restaurar desde copias de seguridad solía considerarse la alternativa a pagar. Ahora debe considerarse la expectativa de base, porque el pago no detiene de forma fiable la hemorragia en el lado del robo de datos. Copias de seguridad probadas y fuera de línea, controles sólidos de seguridad de identidad y un plan de recuperación documentado son lo que realmente rompe el ciclo, no una transferencia bancaria a una billetera anónima.

La IA está potenciando el compromiso inicial

El otro gran tema en esta investigación es el creciente papel de la IA en las primeras etapas de un ataque. El compromiso inicial, el momento en que los atacantes consiguen su primer punto de apoyo en una red, es donde las herramientas de IA están teniendo supuestamente el mayor impacto. Un reconocimiento más rápido, señuelos de phishing más convincentes y una identificación más ágil de vulnerabilidades explotables reducen la ventana de tiempo que los defensores tienen para notar algo extraño antes de que se produzca el daño.

Esto es importante porque la mayoría de las defensas contra ransomware aún se construyen bajo la suposición de que los atacantes necesitan tiempo para moverse por una red antes de causar un daño grave. Si la IA está comprimiendo ese plazo, las organizaciones que dependen únicamente de ciclos periódicos de parcheo y monitorización manual están cada vez más expuestas. Refuerza por qué la seguridad de identidad —la autenticación multifactor, la gestión de accesos privilegiados y la detección rápida de anomalías— se ha vuelto tan importante como la protección de endpoints.

Por qué el robo de datos es la verdadera historia de privacidad

Mientras que los archivos cifrados acaparan la mayoría de los titulares, el modelo de doble extorsión pone el foco en algo que importa más a la gente común: los datos en sí. Cada incidente de ransomware que involucra registros de RR. HH. robados, bases de datos de clientes o archivos de empleados es, en esencia, un incidente de privacidad. Basta considerar cómo la brecha en el sistema de RR. HH. de Statistics South Africa expuso datos de empleados, un caso que ilustra cómo los sistemas internos que almacenan información personal sensible pueden convertirse en el verdadero objetivo, y no solo en un daño colateral de un ataque más amplio. Cuando los grupos de ransomware extraen este tipo de datos antes de bloquear los sistemas, pagar el rescate no deshace el hecho de que nombres, salarios, direcciones o detalles de salud pueden estar ya en un servidor criminal, o ya a la venta.

Esta es la pieza que a menudo falta en la cobertura puramente técnica del ransomware: el segundo intento de extorsión no es solo un dolor de cabeza corporativo, es una segunda ola de exposición para las personas cuyos datos fueron robados en primer lugar. Empleados, clientes y pacientes rara vez tienen voz sobre si su organización paga, y sin embargo cargan con el riesgo continuo de robo de identidad, phishing dirigido o fraude mucho después de que los titulares se desvanezcan.

Lo que esto significa para ti

Si trabajas en TI o seguridad, estos datos son una señal clara para dejar de tratar el pago del rescate como una resolución y empezar a tratarlo como el último recurso en el peor de los casos. Los planes de recuperación, las copias de seguridad inmutables y las defensas centradas en la identidad merecen más presupuesto y tiempo de prueba del que normalmente reciben. Si eres empleado o cliente de una organización que ha revelado un incidente de ransomware, asume que tus datos pueden haber sido copiados incluso si te dicen que los sistemas fueron «restaurados». Supervisa tus cuentas, estate atento a intentos de phishing que hagan referencia a la brecha y considera la supervisión de crédito si hay datos personales o financieros sensibles implicados.

Medidas prácticas

Las organizaciones deben auditar la integridad de las copias de seguridad regularmente y verificar que estas estén realmente aisladas de la red de producción. La autenticación multifactor y el acceso con mínimo privilegio deberían ser innegociables en todos los sistemas, no solo en los críticos. Los planes de respuesta ante incidentes deben abordar explícitamente el escenario de doble extorsión, incluyendo los pasos legales y de comunicación para cuando los datos robados salgan a la luz pública. Las personas afectadas por cualquier divulgación de ransomware deben cambiar contraseñas, activar MFA donde esté disponible y mantenerse alerta ante estafas posteriores. Los datos son claros: la segunda extorsión por ransomware ya no es un caso extremo poco común, se está convirtiendo en una parte estándar del ciclo de vida del ataque, y la preparación es la única defensa real.