Ransomware en la pyme: cómo se produce y cómo se evita
No hace falta ser un banco para ser un objetivo. Así es, paso a paso, como suele desarrollarse un ataque de ransomware, y qué rompe la cadena en cada fase.
Publicado el 12 de septiembre de 2026
Por qué las pymes son un objetivo prioritario
Durante años se asumió que el ransomware apuntaba sobre todo a grandes corporaciones. La realidad actual es la contraria: los grupos de ransomware operan hoy como negocios, con modelos de "ransomware as a service" que permiten a atacantes con poca experiencia técnica lanzar campañas a gran escala. Su lógica es de volumen: las pymes suelen tener menos capas de defensa que una gran empresa, pero manejan datos e infraestructura igual de valiosos para el negocio que las sostiene. El resultado es un objetivo con mejor relación entre esfuerzo y probabilidad de pago.
La anatomía de un ataque, fase a fase
Acceso inicial
Persistencia y reconocimiento
Movimiento lateral
Neutralización de backups
Exfiltración de datos
Cifrado y rescate
1. Acceso inicial
Casi siempre empieza por uno de tres caminos: un correo de phishing que engaña a un empleado, una credencial filtrada que ya circulaba en la dark web, o una vulnerabilidad conocida y sin parchear en un sistema expuesto a internet (un servidor de correo, un VPN, un escritorio remoto). Rara vez es un ataque "a medida": suele ser automatizado y oportunista.
2. Persistencia y reconocimiento
Una vez dentro, el atacante no cifra nada todavía. Instala mecanismos para no perder el acceso aunque se reinicie el equipo, y empieza a explorar la red: qué servidores hay, dónde están las copias de seguridad, qué privilegios tiene la cuenta comprometida.
3. Movimiento lateral y escalada de privilegios
El objetivo es dejar de ser "un usuario cualquiera" y convertirse en administrador de dominio. Con ese nivel de acceso, el atacante puede llegar a todos los sistemas, no solo al equipo inicial.
4. Neutralización de las copias de seguridad
Este es el paso que marca la diferencia entre un incidente grave y una catástrofe. Los atacantes modernos buscan activamente las copias de seguridad y las eliminan o las cifran también, precisamente para eliminar la opción de restaurar sin pagar.
5. Exfiltración de datos
Antes de cifrar, muchos grupos copian información sensible fuera de la red. Es la base de la "doble extorsión": aunque la empresa restaure desde copia de seguridad y no pague por el descifrado, el atacante amenaza con publicar los datos robados si no se paga igualmente.
6. Cifrado y nota de rescate
El paso final, y el único visible para la mayoría de empleados: los archivos quedan cifrados y aparece una nota exigiendo un pago, normalmente en criptomoneda, con un plazo límite que añade presión.
Por qué "tener un antivirus" ya no es suficiente
Un antivirus tradicional busca firmas de malware ya conocido. El problema es que buena parte de este proceso —phishing, uso de credenciales legítimas, movimiento lateral con herramientas administrativas normales— no activa ninguna firma de virus, porque técnicamente no es "un virus": es un atacante usando accesos válidos. Por eso la defensa moderna se apoya en varias capas independientes, para que el fallo de una no comprometa a toda la empresa.
Los controles que realmente rompen la cadena
- Autenticación multifactor en accesos críticos: corta la vía de entrada más común —una contraseña filtrada— incluso si el atacante ya la tiene.
- Gestión de parches: cierra las vulnerabilidades conocidas antes de que alguien las explote de forma automatizada.
- Detección en el endpoint (EDR): identifica comportamientos anómalos —movimiento lateral, escalada de privilegios— aunque no exista una firma de virus que lo detecte.
- Copias de seguridad aisladas y probadas: si el atacante no puede alcanzar ni cifrar la copia de seguridad, pierde su principal palanca de presión.
- Segmentación de red: limita hasta dónde puede moverse un atacante aunque comprometa un equipo.
- Monitorización 24/7: la diferencia entre detectar el reconocimiento inicial (fase 2) y descubrir el cifrado ya consumado (fase 6) se mide en horas, no en días.
- Formación del equipo: la mayoría de las cadenas de ataque siguen empezando con una persona, no con una máquina.
Si el ataque ya ha ocurrido
Desconecta los sistemas afectados de la red (sin apagarlos, si es posible, para preservar evidencia), no pagues de forma precipitada, y contacta con un equipo especializado en respuesta ante incidentes antes de tomar decisiones. Pagar no garantiza recuperar los datos ni evita la filtración, y en algunos casos puede tener implicaciones legales.
Guías relacionadas
¿Tu empresa resistiría esta cadena de ataque?
El test gratuito de NIS2 te da un nivel de riesgo orientativo en cinco minutos.
Hacer el test gratuito