El ransomware ha evolucionado mucho más allá del simple cifrado de archivos. Los ataques más dañinos de hoy en día siguen un ciclo de vida predecible que termina no con una, sino con dos demandas de rescate. Comprender cómo se desarrolla este proceso, y dónde fallan defensas comunes como las VPN, es el primer paso para construir una postura de seguridad que pueda realmente resistirlo.

El ciclo de vida del ataque de ransomware, paso a paso

Las campañas modernas de ransomware rara vez comienzan con el cifrado. Ese es el acto final, no la jugada inicial. En casos avanzados, los atacantes primero obtienen acceso a una red, a menudo mediante credenciales robadas, phishing o una vulnerabilidad expuesta. Una vez dentro, exploran silenciosamente el entorno, escalan privilegios e identifican los datos más sensibles o valiosos que puedan encontrar.

Aquí está la parte crítica: antes de bloquear cualquier archivo, los atacantes filtran esos datos sensibles a servidores que controlan. Este paso, a veces pasado por alto en descripciones más antiguas del ransomware, es ahora una práctica estándar entre los grupos sofisticados. Solo después de que los datos han sido copiados y extraídos, el malware procede a cifrar los archivos en los sistemas de la víctima, volviéndolos inaccesibles en un estallido rápido y a menudo automatizado.

Con ambos puntos de presión asegurados —sistemas cifrados y datos robados—, los atacantes presentan su demanda de rescate. Aquí es donde entra en juego la "doble extorsión". Las víctimas son presionadas a pagar no solo por una clave de descifrado para restaurar sus sistemas, sino también para evitar la divulgación pública o la venta de información confidencial. Negarse a pagar ya no solo conlleva el riesgo de una pérdida permanente de datos; conlleva el riesgo de una filtración pública de registros de clientes, datos financieros o propiedad intelectual.

Esta campaña de presión de doble vertiente se ha vuelto tan común que algunos actores de amenazas ahora omiten el cifrado por completo y dependen exclusivamente de la amenaza de exposición de datos. Campañas recientes de extorsión vinculadas a grupos como Clop han mostrado este cambio claramente, como se vio en la ola de extorsión de Clop a sistemas PLM que afecta a PTC Windchill y la campaña de ransomware de Clop contra PTC Windchill y FlexPLM, donde los datos robados se convirtieron en la principal palanca.

Por qué una VPN no te protegerá por completo

Una VPN cifra tu conexión a internet y puede proteger tu tráfico de ser interceptado o tu ubicación de ser rastreada. Eso es valioso, pero aborda una porción muy limitada de la superficie de riesgo. Una VPN no hace nada para detener a un atacante que ya ha obtenido credenciales válidas, ha explotado una falla de software o ha convencido a un empleado para que haga clic en un enlace malicioso. Una vez dentro de una red, los operadores de ransomware se mueven lateralmente por los sistemas internos, filtran datos y despliegan cargas de cifrado de forma totalmente independiente a cómo alguien se conectó a internet en primer lugar.

En otras palabras, una VPN protege el túnel, no el destino. No puede inspeccionar lo que ocurre dentro de tu red, detectar transferencias de datos inusuales o detener la ejecución de malware una vez que ha conseguido un punto de apoyo. Tratar una VPN como una defensa completa contra el ransomware crea un peligroso punto ciego, especialmente a medida que los ataques se vuelven más automatizados. Investigadores de seguridad han documentado incluso casos de ataques de ransomware totalmente autónomos impulsados por IA, donde un agente de IA manejó el reconocimiento, la explotación y la extorsión sin que un operador humano dirigiera cada paso. Amenazas como esta se mueven más rápido de lo que el alcance de una VPN fue diseñado para abordar.

Por qué pagar no garantiza la seguridad

Incluso las organizaciones que pagan un rescate a menudo descubren que el problema no ha terminado. Investigaciones recientes sobre víctimas de ransomware en el Reino Unido revelaron que una proporción significativa de las organizaciones que pagaron enfrentaron una segunda ronda de extorsión, ya sea a través de nuevas demandas, filtraciones adicionales o ataques completamente nuevos. Esos datos refuerzan una dura verdad: la doble extorsión no termina después de que las víctimas pagan. Pagar puede comprar tiempo, pero no borra el hecho de que tus datos fueron robados ni restaura la confianza en que la brecha ha sido completamente contenida.

Lo que esto significa para ti

Ya sea que administres la red de una pequeña empresa o simplemente quieras entender los riesgos vinculados a los sistemas de los que dependes, el ciclo de vida del ataque de ransomware debería reformular tu manera de pensar sobre la protección. La prevención debe ocurrir mucho antes de que se produzca el cifrado, porque para cuando los archivos están bloqueados, los datos sensibles generalmente ya han salido del edificio.

Esto significa que las defensas en capas importan mucho más que cualquier herramienta individual. Las copias de seguridad regulares y probadas, almacenadas fuera de línea o en entornos aislados, reducen la influencia que el cifrado da a los atacantes. La segmentación de la red limita hasta dónde puede moverse un intruso una vez que obtiene acceso inicial. La monitorización continua de transferencias de datos inusuales puede detectar la exfiltración antes de que se convierta en un evento de extorsión en toda regla. La autenticación multifactor y la aplicación rápida de parches cierran muchos de los puntos de acceso inicial en los que confían los atacantes.

Conclusiones prácticas

Comienza asumiendo que cualquier capa de seguridad individual, incluida una VPN, puede ser burlada. Haz copias de seguridad de los datos críticos con una frecuencia que realmente pruebes, no solo que asumas que funciona. Segmenta tu red para que una sola cuenta comprometida no pueda alcanzarlo todo. Monitoriza los flujos de datos salientes en busca de anomalías, ya que la exfiltración suele preceder al cifrado por horas o días. Y elabora un plan de respuesta a incidentes ahora, antes de que lo necesites, para que las decisiones sobre las demandas de rescate no se tomen bajo presión. Entender el ciclo de vida completo del ataque de ransomware, no solo el momento en que se bloquean los archivos, es lo que separa a las organizaciones que se recuperan rápidamente de las que no.