Cómo entra el ransomware a una empresa
- hace 5 días
- 8 min de lectura
El cifrado suele ser la primera evidencia visible de un ataque de ransomware, aunque rara vez representa el inicio del incidente. Para llegar a ese punto, el atacante tuvo que conseguir acceso, establecer persistencia, reconocer el entorno, identificar sistemas relevantes y obtener los privilegios necesarios para ampliar el impacto.
Entender cómo entra el ransomware a una empresa requiere analizar esa cadena completa. Un servicio vulnerable publicado en internet, una sesión comprometida, una cuenta de proveedor o un endpoint infectado pueden funcionar como punto de entrada. El alcance final dependerá de la arquitectura que exista detrás: privilegios disponibles, segmentación, rutas administrativas, controles de identidad y protección de los sistemas de recuperación.
Esta perspectiva también cambia la priorización. La existencia de firewall, MFA, EDR, escaneo de vulnerabilidades y respaldos no demuestra por sí misma que las rutas críticas estén cubiertas. La evaluación debe comprobar si esos controles funcionan como un sistema y si pueden contener un acceso antes de que se convierta en una interrupción operativa.
Dato clave: El Data Breach Investigations Report más reciente de Verizon indica que la explotación de vulnerabilidades representa 31% de las brechas analizadas y supera al abuso de credenciales como vía inicial. El ransomware aparece en 48% de las brechas incluidas en el reporte.
El ransomware comienza antes del cifrado
Una operación de ransomware suele avanzar mediante varias fases. La secuencia puede cambiar según el grupo, el objetivo y el entorno comprometido, aunque generalmente incluye:
Acceso inicial.
Persistencia.
Reconocimiento.
Elevación de privilegios.
Movimiento lateral.
Acceso o extracción de información.
Interferencia con mecanismos de seguridad y recuperación.
Cifrado, destrucción o interrupción de servicios.
El acceso inicial es solo una posición dentro del entorno. Para generar un impacto amplio, el atacante necesita convertir esa posición en alcance y control.
Una cuenta de usuario comprometida puede tener poco valor si únicamente accede a una aplicación aislada. La misma cuenta puede convertirse en una ruta crítica cuando tiene permisos administrativos, acceso remoto, sesiones activas en plataformas empresariales o conectividad hacia segmentos sensibles.
Esta diferencia explica por qué dos empresas pueden experimentar resultados completamente distintos ante una técnica de ataque similar. La ruta de entrada puede coincidir; la arquitectura y los límites internos determinan hasta dónde puede avanzar.
Acceso, expansión, control e impacto
Una forma práctica de analizar el escenario consiste en dividirlo en cuatro transiciones:
Acceso: el atacante obtiene una sesión, credencial o capacidad de ejecución.
Expansión: utiliza esa posición para descubrir y alcanzar otros recursos.
Control: obtiene privilegios o influencia sobre identidades, infraestructura y herramientas administrativas.
Impacto: cifra, destruye, extrae información o interrumpe servicios.
Cada transición requiere condiciones distintas y ofrece una oportunidad de contención. Un programa de seguridad no necesita depender exclusivamente de impedir todos los accesos iniciales. También debe dificultar el avance y reducir el alcance cuando una barrera falla.
Rutas de entrada que requieren mayor atención
Explotación de servicios expuestos a internet
VPN, firewalls, gateways, plataformas de transferencia de archivos, aplicaciones web y herramientas de administración remota son objetivos atractivos porque combinan acceso externo con conectividad hacia recursos internos.
El riesgo aumenta cuando el activo:
Está publicado directamente en internet.
Contiene una vulnerabilidad explotada activamente.
Tiene privilegios elevados o acceso administrativo.
Se conecta con sistemas críticos.
No aparece en el inventario o carece de un responsable claro.
Depende de ciclos de actualización lentos.
Un calendario mensual de parchado puede ser insuficiente para vulnerabilidades explotadas activamente. La prioridad debe considerar alcance, exposición y evidencia de explotación, no únicamente la calificación técnica de la vulnerabilidad.
Los equipos de TI también necesitan reconocer que algunos activos perimetrales no reciben la misma cobertura de EDR o monitoreo que un servidor convencional. La detección puede depender de registros, comportamiento de red y telemetría propia del dispositivo.
Abuso de credenciales e identidades
Una credencial comprometida permite al atacante utilizar mecanismos legítimos. Puede acceder a correo, VPN, aplicaciones SaaS, consolas de nube o plataformas administrativas sin necesidad de explotar otra vulnerabilidad.
MFA reduce una parte importante de este riesgo, aunque su eficacia depende del método utilizado y de la cobertura real. Persisten escenarios relacionados con:
Robo de sesiones.
Fatiga de notificaciones.
Métodos de autenticación heredados.
Recuperación de cuentas débil.
Consentimiento malicioso en aplicaciones.
Cuentas de servicio con secretos permanentes.
Identidades privilegiadas sin controles adicionales.
La evaluación no debería detenerse en el porcentaje de usuarios con MFA. Conviene identificar qué cuentas siguen utilizando métodos de menor confianza, qué recursos pueden administrar y qué sucedería si una sesión válida fuera comprometida.
Accesos de proveedores y terceros
Proveedores de soporte, integradores, fabricantes y aplicaciones conectadas pueden conservar acceso después de terminar un proyecto. En algunos casos, estas identidades tienen privilegios amplios porque fueron creadas para facilitar mantenimiento o resolver incidentes.
La relación comercial no reduce el riesgo técnico. Los accesos de terceros deberían contar con:
Alcance mínimo.
Vigencia definida.
Autenticación reforzada.
Aprobación para accesos privilegiados.
Registro de actividad.
Revisión periódica.
Proceso de revocación.
Una cuenta externa con acceso persistente amplía la superficie de ataque. La organización depende de la seguridad del tercero y de la calidad de sus propios controles para limitar lo que esa identidad puede hacer.
Phishing y compromiso de endpoints
El phishing continúa siendo una ruta relevante, aunque atribuir el incidente únicamente al usuario simplifica demasiado el problema.
Un archivo, enlace o aplicación maliciosa necesita encontrar condiciones que le permitan ejecutar, persistir y avanzar. Entre ellas se encuentran:
Privilegios locales excesivos.
Controles de aplicación débiles.
Endpoints sin aislamiento.
Credenciales almacenadas.
Acceso innecesario a segmentos internos.
Falta de telemetría.
Herramientas administrativas disponibles para cualquier equipo.
La capacitación ayuda a reducir la probabilidad de interacción. La arquitectura determina cuánto daño puede generar esa interacción.
Por qué los controles existentes no siempre contienen el ataque
Herramientas que operan con prioridades diferentes
Muchas empresas cuentan con protección de endpoints, gestión de vulnerabilidades, firewall, MFA, monitoreo y respaldo. El problema aparece cuando cada capacidad utiliza un inventario y un modelo de criticidad diferente.
El escáner identifica una vulnerabilidad, pero el ticket no muestra que el activo funciona como entrada administrativa hacia una aplicación crítica. El firewall permite una conexión porque existe una necesidad técnica, aunque nadie evalúa el movimiento lateral que podría habilitar. El respaldo termina correctamente, pero utiliza las mismas identidades administrativas que producción.
La cobertura existe por separado. La ruta completa continúa abierta.
Priorización basada únicamente en severidad
CVSS aporta una referencia técnica, pero no representa por sí solo el riesgo empresarial. Para priorizar una vulnerabilidad también se necesita conocer:
Si el activo es alcanzable.
Si existe explotación activa.
Qué privilegios ofrece.
Qué sistemas pueden alcanzarse después.
Qué proceso depende del activo.
Qué controles compensatorios existen.
Qué tan rápido podría recuperarse la operación.
Una vulnerabilidad moderada en un dispositivo expuesto con acceso privilegiado puede requerir atención antes que una vulnerabilidad crítica localizada en un sistema aislado.
Confianza excesiva en la ubicación de red
Los entornos híbridos dependen de nube pública, SaaS, usuarios remotos, APIs, terceros y múltiples sedes. La ubicación dentro de la red corporativa ya no representa una garantía suficiente.
Una identidad válida puede cruzar distintos servicios sin activar controles diseñados para conexiones externas. Por esa razón, la autorización necesita considerar la identidad, el dispositivo, el contexto, el privilegio requerido y la sensibilidad del recurso.
Producción y recuperación comparten el mismo dominio de administración
Los sistemas de respaldo pueden ser técnicamente independientes y continuar expuestos a las mismas identidades, consolas o rutas de administración que producción.
Cuando un atacante obtiene control sobre el directorio, la virtualización o las cuentas privilegiadas, puede intentar desactivar trabajos, borrar copias, cambiar retenciones o impedir el acceso a las plataformas de recuperación.
La disponibilidad de un backup no demuestra que la empresa conservará capacidad de recuperación durante un ataque. Esa capacidad requiere separación administrativa, protección contra alteración y pruebas de restauración.
Cómo priorizar controles según exposición e impacto
La cantidad de hallazgos puede dificultar la decisión. Una priorización útil comienza con las rutas que podrían generar un impacto material.
Identificar la exposición externa real
El inventario debe incluir:
Activos conocidos y no autorizados.
Dominios y subdominios.
Aplicaciones antiguas.
Servicios desplegados en nube.
Portales de proveedores.
Dispositivos perimetrales.
Sistemas adquiridos mediante fusiones o proyectos anteriores.
El objetivo es relacionar cada activo con un responsable, un proceso y una criticidad. Sin ese contexto, el hallazgo técnico permanece aislado.
Relacionar identidades con capacidad administrativa
Conviene identificar qué cuentas pueden administrar:
Directorio e identidad.
Endpoints.
Redes.
Nube.
Virtualización.
Almacenamiento.
Respaldos.
Herramientas de seguridad.
La revisión debe considerar privilegios permanentes, cuentas de servicio, accesos de emergencia, sesiones activas y credenciales almacenadas. Reducir el número de identidades con alcance amplio disminuye las rutas disponibles para el atacante.
Limitar el movimiento lateral
La segmentación debe responder a dependencias reales. Una VLAN distinta no ofrece aislamiento suficiente si las reglas permiten comunicación amplia entre segmentos.
Los equipos de usuario no deberían alcanzar libremente consolas de virtualización, repositorios de respaldo o interfaces administrativas. Estas rutas deben ser explícitas, restringidas y observables.
Proteger la recuperación como un entorno sensible
Las copias críticas requieren controles proporcionales a su función:
Inmutabilidad o protección contra modificación.
Credenciales separadas.
Acceso mínimo.
Monitoreo.
Copias aisladas.
Capacidad suficiente para restaurar.
Pruebas completas.
La prueba debe recuperar un servicio utilizable, no solamente confirmar que un archivo puede restaurarse.
Preparar decisiones de contención
Durante un incidente, alguien debe tener autoridad para:
Aislar segmentos.
Suspender accesos.
Bloquear identidades.
Activar apoyo externo.
Proteger respaldos.
Priorizar procesos.
Aprobar recursos de emergencia.
Una capacidad técnica que depende de una autorización improvisada puede llegar demasiado tarde.
Preguntas que revelan rutas de ataque críticas
Una revisión de ransomware puede comenzar con preguntas concretas:
¿Qué activos expuestos soportan procesos críticos?
¿Cuánto tarda la empresa en corregir una vulnerabilidad explotada activamente?
¿Qué cuentas externas conservan acceso?
¿Una sola identidad puede administrar producción y respaldos?
¿Qué segmentos contendrían un endpoint comprometido?
¿Qué registros permitirían identificar persistencia?
¿Cuándo se realizó la última restauración completa?
¿Qué servicios podrían mantenerse mientras se recupera el entorno?
Las respuestas deberían producir evidencia: inventarios, mapas de privilegios, reglas de red, resultados de restauración y tiempos reales de remediación. Declarar que existe un control no demuestra que funcionará en las condiciones de un incidente.
Indicadores que muestran reducción real del riesgo
Las métricas de actividad son útiles para operar, aunque no siempre muestran reducción de exposición.
Conviene observar indicadores como:
Porcentaje de activos expuestos con responsable y criticidad.
Tiempo para mitigar vulnerabilidades explotadas activamente.
Porcentaje de identidades privilegiadas permanentes.
Cobertura de autenticación resistente al phishing.
Rutas administrativas que cruzan segmentos.
Cobertura y retención de telemetría.
Antigüedad de la última restauración completa.
Tiempo medido para recuperar un servicio crítico.
Separación entre credenciales de producción y recuperación.
Estas métricas ayudan a identificar supuestos todavía no comprobados. También permiten comparar iniciativas diferentes según el riesgo que reducen.
Cómo puede Ceico evaluar el riesgo de ransomware
Una evaluación consultiva debe conectar superficie de ataque, identidades, segmentación, endpoints, infraestructura y recuperación con los procesos que sostienen la operación.
El punto de partida no debería ser un producto. En Ceico, primero se identifican rutas alcanzables, dependencias críticas, privilegios y controles existentes. Después se determina qué acciones reducen más riesgo: corregir una exposición, retirar privilegios, rediseñar acceso remoto, segmentar, ampliar telemetría o fortalecer la recuperación.
El resultado debe ser una priorización defendible, con responsables, dependencias y criterios de validación. La tecnología se define a partir de las necesidades de arquitectura y operación.
Decidir por rutas de riesgo, no por cantidad de herramientas
El ransomware aprovecha vulnerabilidades, identidades, terceros y endpoints, pero necesita una arquitectura que le permita convertir el acceso en control.
La preparación mejora cuando la organización puede responder cuatro preguntas: qué puede alcanzarse, qué privilegios están disponibles, qué procesos podrían afectarse y qué tan confiable sería la recuperación.
Ese análisis permite invertir de forma más precisa. También evita asumir que agregar otra herramienta corregirá una ruta que permanece abierta por diseño, privilegios o falta de gobierno.
