El ransomware solía tener un manual simple, aunque brutal: los atacantes cifraban archivos y exigían un pago por la clave de descifrado. Pagabas y la pesadilla terminaba. Ese modelo ha cambiado. Los grupos de ransomware modernos roban cada vez más una copia de tus datos antes de activar siquiera la rutina de cifrado, y luego amenazan con publicarlos independientemente de si se paga el rescate. Los investigadores de seguridad llaman a esto doble extorsión, y significa que la recuperación ya no consiste solo en restaurar archivos. Consiste en asumir que tus datos ya salieron del edificio.

Por qué el ransomware moderno roba datos antes de cifrarlos

El cifrado por sí solo perdió su poder de presión una vez que las organizaciones se tomaron en serio las copias de seguridad. Si una víctima puede simplemente restaurar desde una copia de seguridad offline, pagar un rescate por una clave de descifrado deja de tener sentido. Los atacantes se adaptaron añadiendo un segundo punto de presión: exfiltrar primero los archivos sensibles. Incluso una empresa con copias de seguridad impecables ahora enfrenta la amenaza de que registros de clientes, documentos financieros o datos de salud robados sean publicados o vendidos a otros grupos criminales.

Este cambio ha sido especialmente visible en el sector sanitario y en los servicios financieros, donde los datos en sí, y no solo la disponibilidad de los sistemas, son el verdadero botín. Incidentes como la exposición de datos sanitarios de ChipSoft, la brecha de DentaQuest que afectó a millones de pacientes y la brecha de McKesson vinculada al grupo de extorsión ShinyHunters ilustran cómo los atacantes ahora tratan los registros robados como una moneda de cambio separada del cifrado en sí. Pagar para desbloquear archivos ya no garantiza que los datos no aparezcan después.

5 pasos forenses que debes dar en la primera hora tras un ataque

Cuando se descubre un ransomware, los primeros sesenta minutos importan más que casi cualquier otra etapa del incidente. Las acciones impulsadas por el pánico, como apagar inmediatamente todas las máquinas, pueden destruir las pruebas necesarias para entender qué ocurrió realmente. En su lugar:

  1. Aísla, no apagues. Desconecta los dispositivos afectados de la red (desenchufa el ethernet, desactiva el Wi-Fi) en lugar de apagarlos. Apagarlos puede borrar la memoria volátil que contiene pistas sobre cómo entraron los atacantes y a qué accedieron.
  2. Preserva los registros de inmediato. Los registros del firewall, los registros de acceso VPN y los registros de detección de endpoints suelen ser lo primero que los atacantes intentan borrar. Exporta o respalda estos registros antes de hacer cualquier otra cosa.
  3. Identifica el punto de entrada. Busca señales de correos de phishing, puertos de escritorio remoto expuestos o credenciales comprometidas. Conocer el vector de acceso inicial determina cada decisión posterior.
  4. Determina a qué datos se accedió, no solo qué se cifró. Busca transferencias salientes de datos inusuales en las horas o días previos al inicio del cifrado. Las transferencias grandes de archivos a direcciones IP externas desconocidas son una fuerte señal de que se produjo exfiltración.
  5. Involucra cuanto antes a un especialista forense o a un equipo de respuesta a incidentes. Incluso para pequeñas empresas, un profesional que pueda documentar la cronología adecuadamente es fundamental por motivos legales, regulatorios y de seguros.

Actuar metódicamente en esta ventana no solo ayuda a la contención. Determina si más adelante puedes demostrar qué se robó y qué no, algo de enorme importancia para las obligaciones de notificación y las declaraciones públicas.

Cómo detectar qué tipo de robo de datos se produjo

No todos los incidentes de ransomware implican robo de datos, y no todos los robos de datos implican cifrado. Distinguir entre ellos requiere examinar pruebas específicas:

  • Los ataques solo de cifrado dejan los archivos bloqueados pero no muestran señales de grandes transferencias salientes en los registros de red. La nota de rescate normalmente solo menciona el descifrado, no la publicación.
  • Los ataques de doble extorsión muestran tanto archivos cifrados como pruebas de preparación de datos, como archivos comprimidos creados poco antes del ataque, o autenticaciones inusuales desde herramientas de exfiltración. La nota de rescate suele amenazar con filtrar datos en un sitio de filtraciones dedicado.
  • El robo puro de datos (sin cifrado) es cada vez más común por sí solo, especialmente contra bases de datos en la nube y plataformas SaaS. Aquí, los sistemas siguen funcionando con normalidad, pero los atacantes copian registros silenciosamente y luego exigen un pago para impedir su publicación. La filtración de 700 GB en la dark web que afectó al Bank of Baroda y la brecha de Veradigm reivindicada por el grupo de ransomware Gentlemen muestran cómo pueden surgir afirmaciones de robo incluso cuando la interrupción operativa es mínima.

Distinguir entre estos escenarios a tiempo ayuda a las organizaciones a calibrar su respuesta, desde los plazos de notificación de brechas hasta cómo se comunican con los clientes afectados.

Capas defensivas que reducen la exposición: cifrado, VPN y monitorización

Dado que el ransomware de doble extorsión asume que los datos quedarán expuestos sin importar qué, la defensa más eficaz es reducir lo que puede exponerse en primer lugar. Cifrar los datos sensibles en reposo significa que, incluso si los atacantes exfiltran archivos, el contenido sigue siendo ilegible sin claves separadas. Usar una VPN para el acceso remoto cierra uno de los puntos de entrada más comunes, las puertas de enlace de escritorio remoto y VPN expuestas con credenciales débiles o reutilizadas, que los atacantes escanean y explotan sistemáticamente. La monitorización continua de la red que señala volúmenes inusuales de datos salientes también puede detectar la exfiltración en curso, antes incluso de que comience el cifrado.

Qué significa esto para ti

Si diriges una pequeña empresa o gestionas la TI de una, la respuesta al ransomware de doble extorsión no puede empezar cuando aparece la nota de rescate. Empieza con una higiene básica: copias de seguridad cifradas almacenadas offline, acceso VPN monitorizado en lugar de puertos de escritorio remoto expuestos y un plan de incidentes por escrito que especifique quién llama a quién en la primera hora. Para los consumidores cuyos datos están en manos de proveedores sanitarios, bancos o administradores de prestaciones, la conclusión práctica es la vigilancia tras una notificación de brecha, ya que los datos robados pueden aparecer incluso cuando una empresa insiste en que la situación del rescate se resolvió.

Conclusiones prácticas

  • Asume que cualquier incidente de ransomware puede implicar robo de datos, no solo cifrado, hasta que las pruebas forenses demuestren lo contrario.
  • En la primera hora, aísla los sistemas sin apagarlos y preserva los registros antes de que puedan ser alterados o eliminados.
  • Cifra los datos sensibles en reposo para que los archivos exfiltrados tengan menos valor para los atacantes incluso si son robados.
  • Protege el acceso remoto con una VPN correctamente configurada en lugar de protocolos de escritorio remoto expuestos.
  • Estate atento a las notificaciones de brechas de los proveedores que utilizas y tómalas en serio incluso si la organización afirma que la situación del rescate está contenida.

La doble extorsión ha remodelado lo que significa "recuperarse" de un ransomware. Pagar no garantiza que tus datos sigan siendo privados, y negarte a pagar tampoco significa que desaparezcan. Las organizaciones y las personas mejor posicionadas para resistir estos ataques son las que trataron la protección de datos como un hábito diario mucho antes de que un atacante llegara a entrar.