Las víctimas de ransomware que pagan con la esperanza de que el problema desaparezca a menudo se llevan una decepción. Un estudio global recién publicado, el Informe de Ransomware en la Era de la IA, encuestó a casi 1,000 profesionales de seguridad en 12 mercados y descubrió que pagar un rescate está lejos de ser una solución garantizada. Los hallazgos añaden peso renovado a una advertencia que los investigadores de seguridad han repetido durante años: los pagos de extorsión repetida por ransomware son un riesgo real y creciente, no un caso marginal poco común.

Qué encontró el Informe de Ransomware en la Era de la IA

La encuesta presenta un panorama aleccionador de cómo responden las organizaciones una vez que el ransomware ataca. Más de la mitad de las organizaciones que sufrieron un ataque, el 54%, terminaron pagando un rescate en un esfuerzo por restaurar sus datos sensibles. De quienes pagaron, el 56% sí recuperó el acceso a sus archivos o sistemas. Pero el número más preocupante es lo que ocurrió después: más de un tercio de las víctimas, el 37%, recibió una segunda demanda de extorsión después de ya haber pagado la primera.

Esa estadística por sí sola debería reformar cómo las organizaciones piensan sobre la respuesta al ransomware. Pagar no es una transacción única que cierra el incidente. Para más de un tercio de las víctimas en este estudio, fue simplemente el movimiento inicial en un ciclo más largo y costoso.

Por qué pagar no garantiza seguridad ni recuperación de datos

Vale la pena detenerse en las cifras aquí. Incluso entre las organizaciones que pagaron, casi la mitad no recuperó completamente sus datos de todos modos. Y una gran parte de quienes sí recuperaron sus archivos fueron atacados nuevamente, ya sea por el mismo atacante que exigía más dinero o por un grupo diferente que vio el pago como prueba de que la víctima estaba dispuesta a negociar.

Este patrón coincide con otras investigaciones recientes. Una encuesta de Proofpoint cubierta por vpn.social encontró de manera similar que pagar a las bandas de ransomware a menudo resulta contraproducente, con una porción significativa de víctimas que pagaron enfrentando intentos renovados de extorsión. Una vez que una organización paga, puede terminar en una lista de pagadores confirmados, información que circula entre grupos criminales y hace que esa organización sea un objetivo más atractivo para futuros ataques, no menos atractivo.

Tampoco hay un contrato ejecutable en una negociación de ransomware. Los atacantes no tienen ningún incentivo legal o de reputación para cumplir su parte del trato una vez que el dinero se ha movido. Las claves de descifrado pueden ser incompletas, defectuosas o simplemente nunca entregarse. Los datos que fueron robados y utilizados como palanca aún pueden venderse, filtrarse o mantenerse para una segunda ronda de extorsión, independientemente de lo que se haya prometido.

Las alternativas de prevención: copias de seguridad, cifrado y segmentación de red

Dadas esas probabilidades, la estrategia más resiliente es reducir la posibilidad de que alguna vez tengas que decidir si pagar en primer lugar. Algunas prácticas aparecen consistentemente como defensas efectivas:

  • Mantén copias de seguridad fuera de línea y probadas. Las copias de seguridad desconectadas de la red principal y probadas regularmente para su restauración significan que una organización puede recuperarse sin negociar con un atacante en absoluto.
  • Cifra los datos sensibles en reposo y en tránsito. Incluso si los atacantes exfiltran archivos, un cifrado fuerte limita lo que realmente pueden usar o vender, reduciendo la palanca detrás de una amenaza de fuga de datos.
  • Segmenta las redes. Dividir los sistemas en zonas aisladas limita hasta dónde puede propagarse el ransomware una vez que obtiene un punto de apoyo inicial, conteniendo el daño a una porción más pequeña de la organización.
  • Aplica parches y monitorea de manera consistente. Muchas intrusiones de ransomware todavía explotan vulnerabilidades conocidas sin parchear o credenciales débiles de acceso remoto, por lo que la higiene básica cierra una gran parte de los puntos de entrada.

Ninguna de estas medidas hace que una organización sea inmune a los ataques, pero juntas reducen tanto la probabilidad de una brecha exitosa como la presión de pagar si ocurre una.

Construir un plan de respuesta a incidentes antes de que ocurra un ataque

Las organizaciones que mejor les va después de un incidente de ransomware tienden a ser aquellas que ya habían ensayado su respuesta antes de que ocurriera el ataque. Eso significa tener un plan documentado que especifique quién toma la decisión sobre si pagar, a qué contactos legales y de aplicación de la ley se notifica, cómo se manejan las comunicaciones con empleados y clientes, y cómo se aíslan y restauran los sistemas.

Realizar ejercicios de mesa, donde el personal recorre un escenario de ataque simulado, ayuda a revelar brechas en el plan mientras no hay presión real en juego. También acelera la respuesta real cuando ocurre un incidente, reduciendo la ventana de exposición y disminuyendo la tentación de pagar simplemente porque ninguna otra opción parece estar lista.

Qué significa esto para ti

Para líderes de TI y equipos de seguridad, este informe es un recordatorio de que los pagos de extorsión repetida por ransomware son lo suficientemente comunes como para incluirse en la planificación, no un caso extremo excepcional. Trata un pago de rescate como un último recurso con una probabilidad real de fracaso, no como una póliza de seguro confiable. Presupuesta para la prevención (copias de seguridad, segmentación, monitoreo) de la misma manera en que presupuestarías cualquier otro costo de infraestructura central, porque los números sugieren que es más barato a largo plazo que negociaciones repetidas con atacantes.

Para usuarios individuales y organizaciones más pequeñas sin un equipo de seguridad dedicado, los mismos principios se reducen: mantén una copia fuera de línea de cualquier cosa irreemplazable, usa cifrado donde esté disponible y sabe de antemano a quién llamarías si tus sistemas fueran bloqueados alguna vez.

Conclusiones clave

  • El 54% de las organizaciones encuestadas que sufrieron un ataque de ransomware pagaron el rescate, pero solo el 56% de los pagadores recuperó completamente el acceso a sus datos.
  • El 37% de las organizaciones que pagaron recibieron una segunda demanda de extorsión, lo que demuestra que pagar no termina con el riesgo.
  • Las copias de seguridad fuera de línea, el cifrado y la segmentación de red reducen tanto las probabilidades de un ataque exitoso como la presión de pagar.
  • Un plan de respuesta a incidentes probado, construido antes de que ocurra un ataque, acorta el tiempo de recuperación y reduce la dependencia de los pagos de rescate.
  • Los lectores pueden revisar los hallazgos de la encuesta de Proofpoint para obtener datos corroborantes adicionales sobre con qué frecuencia los pagos de rescate no logran resolver un ataque.