Qué hace diferente al ransomware de extorsión múltiple
Durante años, el manual estándar del ransomware era simple: cifrar los archivos de la víctima, exigir un pago por la clave de descifrado y confiar en que la organización no tuviera copias de seguridad fiables. Ese modelo construyó toda una industria alrededor de la resiliencia. Si podía restaurar sus sistemas desde una copia limpia, la ventaja del atacante se desvanecía.
El ransomware de extorsión múltiple rompe esa ecuación. En lugar de depender únicamente del cifrado, ahora los atacantes extraen silenciosamente una copia de los datos confidenciales antes de activar la carga útil de cifrado. La exigencia de rescate se convierte en una segunda amenaza independiente: pague o publicamos o vendemos lo que robamos. Incluso si una víctima restaura todos los sistemas desde una copia de seguridad en cuestión de horas, los datos robados permanecen en los servidores del atacante y la amenaza de exposición sigue totalmente intacta.
Este cambio refleja una transformación más amplia en la forma en que los operadores de ransomware piensan su negocio. Como ha mostrado la información sobre el análisis de Group-IB del modelo de negocio en evolución del ransomware, la economía del ransomware en 2026 ya no se centra en un único punto de fallo, sino en maximizar cada posible fuente de presión contra la víctima. El robo de datos se ha convertido en una fuente de ingresos independiente, no solo en un complemento del cifrado.
Por qué las copias de seguridad por sí solas ya no garantizan la recuperación
El viejo consejo —mantenga buenas copias de seguridad y pruebe sus restauraciones— sigue siendo importante. La recuperación operativa depende de ello. Pero las copias de seguridad solo resuelven la mitad del problema que genera el ransomware de extorsión múltiple. Una copia de seguridad probada y aislada puede hacer que su hospital, gobierno municipal o empresa vuelva a estar en línea rápidamente. No puede impedir que los registros de clientes, los datos de empleados o los contratos confidenciales aparezcan en un sitio de filtraciones.
Esta es precisamente la tendencia señalada por la investigación de Quorum Cyber sobre el giro hacia la extorsión mediante robo de datos, que encontró que los atacantes comprometen cada vez más a las organizaciones por los datos en sí mismos, en lugar de tratar el cifrado como el arma principal. Cuando la recompensa proviene de la información robada, la velocidad de la intrusión también cambia. Informes recientes sobre por qué la velocidad decide ahora la recuperación ante el ransomware señalan que los atacantes pasan del acceso inicial a la exfiltración de datos más rápido de lo que los defensores suelen poder detectar y responder. Para cuando comienza el cifrado, los datos ya pueden haberse ido.
Dónde encajan la segmentación de red y los controles de acceso VPN
Si las copias de seguridad por sí solas ya no neutralizan la amenaza, la defensa más eficaz es impedir que los atacantes lleguen a los datos confidenciales en primer lugar, o al menos limitar cuánto pueden alcanzar en una sola intrusión. Aquí es donde la segmentación de red y el acceso remoto controlado se vuelven centrales y no opcionales.
La segmentación de red divide los sistemas de una organización en zonas aisladas, de modo que una estación de trabajo o servidor comprometido no otorgue automáticamente acceso a cada recurso compartido, base de datos o repositorio de copias de seguridad de la red. Si los atacantes violan un segmento, la segmentación limita hasta dónde pueden moverse lateralmente antes de activar alertas o toparse con un callejón sin salida. Esa contención reduce directamente la cantidad de datos disponibles para ser robados.
Los controles de acceso basados en VPN desempeñan un papel complementario. Exigir conexiones VPN autenticadas y cifradas para el acceso remoto a sistemas confidenciales, combinado con el principio de privilegio mínimo, implica que incluso las credenciales de aspecto legítimo no otorguen un acceso amplio y sin restricciones. El acceso debe ajustarse estrictamente a lo que un usuario o servicio determinado realmente necesita. La autenticación multifactor en los inicios de sesión VPN, la supervisión de sesiones y la revocación inmediata de cuentas no utilizadas o huérfanas reducen el conjunto de puntos de entrada que los atacantes pueden explotar para llegar a datos que valga la pena exfiltrar.
Construir una estrategia por capas
Ningún control por sí solo detiene el ransomware de extorsión múltiple. El objetivo realista es un conjunto de capas: copias de seguridad cifradas e inmutables para la recuperación operativa; segmentación para contener el movimiento lateral; controles de acceso estrictos (incluidas puertas de enlace VPN con MFA) para limitar lo que una única credencial comprometida puede alcanzar; y un plan de respuesta a incidentes ensayado que contemple la exposición de datos, no solo el tiempo de inactividad del sistema.
Ese último punto importa más de lo que muchas organizaciones creen. Como se ha visto en incidentes como el ataque de ransomware al Ministerio de Justicia de Colombia, la interrupción de las operaciones y las preguntas sobre los datos comprometidos suelen llegar juntas, y las organizaciones necesitan planes de respuesta que aborden ambas cosas simultáneamente, no de forma secuencial.
Qué significa esto para usted
Para los equipos de TI y seguridad, la conclusión es que la defensa contra el ransomware de extorsión múltiple no puede detenerse en la estrategia de copias de seguridad. El presupuesto y la atención deben desplazarse hacia la limitación de la exposición de los datos antes de que un atacante llegue siquiera a la fase de cifrado. Para los empleados en general, esta tendencia es un recordatorio de que el phishing sigue siendo un punto de entrada principal; la investigación sobre el papel del phishing en los ataques de ransomware subraya cuánto de este riesgo comienza con un solo clic en un enlace o una credencial introducida en una página de inicio de sesión falsa.
Medidas prácticas
Las organizaciones que enfrentan los desafíos de la defensa contra el ransomware de extorsión múltiple deben priorizar algunos pasos concretos: segmente las redes para que ninguna brecha exponga todo, aplique el principio de privilegio mínimo mediante puertas de enlace VPN con autenticación multifactor, cifre las copias de seguridad y pruebe las restauraciones con regularidad, y elabore planes de respuesta a incidentes que aborden explícitamente el robo de datos junto con el tiempo de inactividad del sistema. Ninguno de estos pasos elimina el riesgo por completo, pero juntos reducen la ventana de oportunidad que tienen los atacantes para robar datos y disminuyen la presión que pueden ejercer una vez que lo hacen.
