Ransomware: qué es, cómo funciona y cómo protegerse en 2026

El ransomware es el tipo de malware que más daño económico ha causado en el mundo en los últimos cinco años. Empresas de todos los tamaños, hospitales, administraciones públicas, infraestructuras críticas y usuarios particulares han pagado cientos de millones de dólares a grupos criminales organizados para recuperar el acceso a sus propios datos. Y en 2026, lejos de remitir, el problema se ha sofisticado con el uso de inteligencia artificial en la construcción de los ataques y con el modelo de "ransomware como servicio" (RaaS) que ha democratizado estas herramientas entre delincuentes con escasos conocimientos técnicos.

Cómo funciona el ransomware

El proceso de un ataque de ransomware sigue generalmente estas fases:

1. Infección inicial. El ransomware necesita llegar a tu sistema. Los vectores más comunes son: un adjunto malicioso en un correo electrónico (un documento Word o PDF que contiene una macro maliciosa), un enlace de phishing que descarga el malware, una vulnerabilidad sin parchear en el sistema operativo o en algún software, credenciales robadas que permiten el acceso por RDP (protocolo de escritorio remoto) o, cada vez más frecuentemente, la cadena de suministro (infectando a un proveedor de software para llegar a sus clientes).

2. Propagación lateral. Una vez dentro del sistema, el ransomware moderno no cifra inmediatamente: se mueve por la red interna buscando acceso a más sistemas, servidores de archivos y copias de seguridad. Esta fase puede durar días o semanas antes de que el ataque se active.

3. Exfiltración de datos. Los grupos de ransomware más sofisticados copian los datos antes de cifrarlos. Esto les da un segundo vector de extorsión: "si no pagas, publicamos tus datos". Esta técnica se conoce como "doble extorsión".

4. Cifrado. El malware cifra todos los archivos a los que tiene acceso usando algoritmos de cifrado asimétrico (generalmente AES + RSA). Sin la clave privada que tiene el atacante, descifrar los archivos es computacionalmente imposible.

5. Rescate. Aparece el mensaje de rescate, generalmente en criptomonedas (Bitcoin o Monero), con instrucciones para el pago y un contador de tiempo tras el cual el precio sube o los datos se publican.

Las familias de ransomware más activas en 2026

El ecosistema del ransomware está dominado por grupos organizados con nombres que han aparecido en las noticias de todo el mundo:

LockBit, BlackCat/ALPHV, Cl0p. Grupos que operan bajo el modelo RaaS: desarrollan el ransomware y lo "alquilan" a afiliados que realizan los ataques a cambio de un porcentaje del rescate. Este modelo ha multiplicado el número de ataques porque separa el desarrollo técnico de la ejecución.

Grupos de ataque a infraestructuras críticas. Hospitales, centrales eléctricas, sistemas de agua y transporte son objetivos de alta prioridad porque la presión para pagar es máxima cuando lo que está en juego es la seguridad de personas.

Las PYMES son también objetivos frecuentes precisamente porque suelen tener defensas más débiles. Para entender cómo pueden reducir su exposición, el artículo sobre cómo las PYMES pueden mitigar los ataques basados en archivos ofrece estrategias concretas y adaptadas a recursos limitados.

Cómo prevenir un ataque de ransomware

La buena noticia es que la gran mayoría de los ataques de ransomware son prevenibles con medidas que no requieren grandes inversiones:

Copias de seguridad siguiendo la regla 3-2-1. Tres copias de los datos, en dos tipos de soporte diferentes, con una copia fuera de línea (offline) o fuera del sitio. El ransomware cifra los datos accesibles desde la red: una copia completamente desconectada es la única garantía real de recuperación sin pagar el rescate. Esta es, con diferencia, la medida más importante.

Actualizaciones al día. La mayoría de los ataques de ransomware exitosos explotan vulnerabilidades conocidas para las que ya existe un parche. Mantener el sistema operativo, los navegadores, el software ofimático y los plugins actualizados cierra la mayor parte de esas puertas.

Desactivar macros en documentos Office. Los documentos Word y Excel con macros maliciosas son uno de los vectores de infección más comunes. La mayoría de los usuarios nunca necesitan usar macros: desactivarlas por defecto elimina ese vector de ataque.

Segmentar la red. Si el ransomware llega a un equipo, la segmentación de red impide que se propague lateralmente a otros sistemas. Especialmente importante en entornos empresariales.

Principio de mínimo privilegio. Los usuarios y aplicaciones solo deben tener acceso a los recursos que necesitan para su función. Si el ransomware se ejecuta con los privilegios de un usuario estándar, su capacidad de daño es mucho menor que si lo hace con privilegios de administrador.

Formación del personal. El 90% de los ataques comienzan con un error humano (abrir un adjunto, hacer clic en un enlace de phishing). La formación periódica en identificación de amenazas es la inversión de seguridad con mayor retorno posible.

Qué hacer si ya has sido víctima de un ransomware

No pagues. Pagar el rescate financia a los grupos criminales, no garantiza que recuperes los datos (muchas víctimas pagan y no reciben la clave) y te convierte en un objetivo repetible (los atacantes saben que pagas).

Desconecta el equipo infectado de la red inmediatamente. Para evitar que el ransomware se propague a otros sistemas. Apaga el WiFi y desconecta los cables de red.

No apagues ni reinicies el equipo todavía. En algunos casos, la clave de cifrado todavía está en la memoria RAM del sistema. Los investigadores forenses pueden recuperarla si el equipo no se ha reiniciado.

Identifica la variante de ransomware. El sitio web No More Ransom (nomoreransom.org), proyecto conjunto de Europol, la Policía Nacional Holandesa y empresas de ciberseguridad, tiene herramientas de identificación de variantes y, en muchos casos, descifradoras gratuitas para familias de ransomware cuyos grupos han sido desmantelados.

Denuncia a las autoridades. En España, el INCIBE-CERT (Instituto Nacional de Ciberseguridad) y la Unidad de Investigación Tecnológica de la Policía Nacional son los organismos de referencia para reportar este tipo de incidentes.

Restaura desde backup. Si tienes copias de seguridad offline, el proceso de recuperación es relativamente directo. Si no las tienes, la experiencia es significativamente más dolorosa y cara.

Conclusión

El ransomware es una amenaza real, creciente y muy lucrativa para los atacantes. Pero también es una amenaza con contramedidas claras y accesibles. Las copias de seguridad offline, las actualizaciones al día y la formación del equipo son el trío de medidas que bloquean la abrumadora mayoría de los ataques. No hay excusa para no implementarlas.