Ransomware en una empresa pequeña: qué pasa exactamente y qué lo detiene

Hay una creencia cómoda en las empresas pequeñas: que son demasiado chicas para que alguien se moleste en atacarlas. La realidad es lo contrario. Los ataques no se eligen uno por uno, se lanzan de forma automatizada contra quien esté expuesto, y una empresa sin área de TI está más expuesta que una corporación con un equipo de seguridad.

La secuencia real, sin dramatismo

Un ataque típico no es un genio tecleando en la oscuridad. Es una cadena bastante rutinaria:

1. Entrada. Alguien abre un adjunto, reutiliza una contraseña que ya se filtró en otro servicio, o hay un servicio publicado a internet sin actualizar.
2. Reconocimiento. Durante días o semanas el atacante mira qué hay: qué servidores existen, quién tiene permisos de administrador, dónde están los respaldos. Esta etapa es silenciosa y es donde se pierde la oportunidad de detectarlo.
3. Escalada. Consigue credenciales con más privilegios. En muchas empresas pequeñas esto es trivial, porque todos los usuarios son administradores de su equipo.
4. Borrado de respaldos. Primero se van las copias, después se cifra. Es el orden lógico: sin copias no tienes alternativa a pagar.
5. Cifrado y extorsión. Recién acá te enteras, y ya es tarde para prevenir.

Por qué el antivirus solo no alcanza

No porque sea inútil —hace falta y detiene mucho— sino porque en la cadena de arriba el antivirus solo interviene al final. En los pasos 2, 3 y 4 no hay ningún archivo malicioso ejecutándose: hay alguien usando credenciales legítimas para hacer cosas permitidas. Eso no lo bloquea un antivirus, lo bloquea cómo estén configurados los permisos.

Las cuatro cosas que de verdad lo frenan

Copias inmutables

Rompe el paso 4, que es el que hace que pagar parezca la única salida. Si las copias no se pueden borrar durante el plazo que definiste, el ataque pasa de catástrofe a un mal día de trabajo.

Que nadie sea administrador sin necesitarlo

Rompe el paso 3. Si el usuario que abrió el adjunto no puede instalar nada ni tocar otros equipos, el ataque se queda encerrado en una máquina. Es la medida más barata de todas y la que menos se aplica, porque incomoda un poco al día a día.

Segundo factor en los accesos que importan

Rompe el paso 1 en su versión más común, que es la contraseña reutilizada. Correo corporativo, VPN y accesos administrativos: ahí es donde el segundo factor cambia el resultado.

Actualizaciones al día en lo que está expuesto

También rompe el paso 1. La mayoría de las entradas no usan una vulnerabilidad nueva, usan una que tiene parche publicado desde hace meses.

Qué hacer si ya pasó

Dos cosas antes de cualquier otra: desconectar de la red los equipos afectados sin apagarlos, y no borrar nada. La evidencia sirve para saber por dónde entró, y sin eso vas a restaurar sobre el mismo agujero. Después, restaurar desde la copia más reciente que sepas íntegra —que es donde la pregunta de la restauración de prueba deja de ser teórica—.

Las medidas de este artículo son parte de infraestructura y seguridad, y la parte de copias está en backup y continuidad.