Ransomware en PyMEs mexicanas: cómo entra, qué destruye y cómo se detiene
No te atacan porque seas importante. Te atacan porque eres fácil. La cadena completa del ataque y dónde romperla.
Nadie escogió tu empresa. Un programa recorrió internet buscando puertas mal cerradas, encontró la tuya, y hasta ese momento nadie sabía cómo se llamaba tu negocio ni a qué se dedicaba. Esa es la parte que más cuesta aceptar: no fue personal, fue estadística.
Durante años el discurso fue que el ransomware perseguía hospitales, oleoductos y corporativos. Eso vende titulares, pero la realidad operativa del negocio criminal es otra: es más rentable atacar a cien empresas medianas con defensas débiles que a una grande con un equipo de seguridad de veinte personas. Las PyMEs tienen datos valiosos, dependencia total de sus sistemas y, casi siempre, ninguna capacidad de detección.
Este artículo no es una lista de miedos. Es la anatomía del ataque contada como sucede realmente, con los cinco puntos donde la cadena se rompe y una autoevaluación honesta al final para que sepas dónde estás parado.
Sumario
- 01Por qué eres un objetivo rentable
- 02La cadena del ataque, semana por semana
- 03Qué se destruye realmente
- 04Los cinco puntos de corte
- 05La pregunta del rescate
- 06Autoevaluación en diez preguntas
Por qué eres un objetivo rentable
El ransomware dejó de ser obra de individuos hace tiempo. Hoy funciona como una industria con proveedores especializados: unos consiguen los accesos y los venden, otros operan el cifrado, otros negocian el rescate. Cada eslabón busca volumen y bajo esfuerzo.
Una empresa de entre veinte y doscientas personas encaja perfecto en ese modelo por tres razones que no tienen nada que ver con tu giro:
Sin sistemas no facturas, no despachas y no cobras. La urgencia por recuperar es máxima, y la urgencia es exactamente lo que se está vendiendo.
No hay un equipo de seguridad revisando accesos anómalos. Un intruso puede moverse durante semanas sin que nada lo delate.
No lo suficiente para justificar un ataque dirigido a un corporativo, pero sí lo suficiente para que valga la pena repetir la operación cien veces.
En la misma red, con las mismas credenciales de administrador. Es el primer lugar donde buscan, y casi siempre lo encuentran.
El día del cifrado no es el día del ataque. Es el último día. Para cuando aparece la nota de rescate, llevan semanas dentro de tu red, y todo lo que iban a hacer ya lo hicieron.
La cadena del ataque, semana por semana
Los tiempos varían, pero la secuencia se repite con una consistencia notable. Entender el orden es lo que permite ubicar dónde intervenir.
-
1La entrada Día 0
Tres puertas concentran la enorme mayoría de los casos: una contraseña que se filtró en la brecha de otro servicio y que alguien reutilizó en el correo de la empresa; un correo de phishing que alguien abrió; o un servicio de escritorio remoto expuesto directamente a internet «porque era más práctico durante la pandemia». Ninguna requiere sofisticación.
-
2El reconocimiento Días 1 a 10
No pasa nada visible. El intruso mira: qué servidores hay, dónde está la información valiosa, quién tiene privilegios de administrador, qué antivirus corre, dónde viven los respaldos. Trabaja despacio a propósito, porque el ruido es lo único que podría delatarlo.
-
3La escalada y el movimiento Días 10 a 20
Consigue una cuenta con más permisos y desde ahí alcanza el resto de la red. Aquí es donde la red plana cobra su factura: una sola credencial de administrador de dominio suele bastar para llegar a todo, desde la caja de la recepción hasta el servidor de facturación.
-
4La copia de tus datos Días 15 a 25
Antes de cifrar, extraen información: bases de clientes, contratos, nóminas, correos. Es el seguro del atacante. Aunque restaures todo desde respaldos y no pagues un peso, tienen con qué presionar después. Esto se llama doble extorsión y hoy es la norma, no la excepción.
-
5La destrucción de los respaldos Días 20 a 28
El paso decisivo, y el que casi nadie anticipa. Borran o cifran las copias de seguridad primero. Si tus respaldos viven en la misma red y se administran con las mismas credenciales, desaparecen antes de que sepas que existe un problema.
-
6El cifrado Viernes por la noche
Casi siempre en fin de semana o víspera de puente, para maximizar las horas antes de que alguien reaccione. El lunes por la mañana nadie puede entrar a nada y hay un archivo de texto en cada carpeta con instrucciones para negociar.
Qué se destruye realmente
La conversación suele quedarse en «perdimos los archivos». El daño real se reparte en cinco frentes, y solo uno se resuelve restaurando un respaldo.
| Frente | Qué pasa | Cuánto tarda en volver |
|---|---|---|
| Operación | No facturas, no despachas, no cobras. El personal está en la oficina sin poder trabajar. | De 3 días a 3 semanas, según qué tan probados estén los respaldos |
| Datos | Lo que no estaba respaldado se perdió. Lo que estaba, hay que verificar que sirva. | Días, si hay respaldos íntegros. Nunca, si no los hay |
| Dinero | Recuperación técnica, horas extra, asesoría, y la operación detenida. El rescate, si se paga, suele ser la parte menor. | Impacto inmediato en flujo de efectivo |
| Información filtrada | Datos de clientes y empleados en manos de terceros, con obligaciones de notificación asociadas. | No se revierte |
| Confianza | Clientes que preguntan si sus datos estaban ahí. Contratos que piden auditorías que antes no pedían. | Meses o años |
Los cinco puntos de corte
La cadena tiene eslabones, y cada eslabón es una oportunidad. Ninguna de estas cinco medidas es cara ni exótica; están ordenadas por relación entre impacto y esfuerzo.
Segundo factor en todo lo que se ve desde internet
Corta el eslabón de la entrada. Una contraseña robada deja de servir por sí sola. Es, sin discusión, la medida con mejor relación costo-beneficio que existe en seguridad y sigue sin implementarse en la mitad de las empresas.
Correo, VPN, acceso remoto, panel de tu proveedor de nube y banca en línea. En ese orden. Y cierra cualquier escritorio remoto expuesto directo a internet: eso no se protege, se quita de ahí.
Respaldos que el atacante no pueda tocar
Corta el eslabón de la destrucción, que es el que convierte un incidente en una catástrofe. Un respaldo que se borra con las mismas credenciales que administran la red no es un respaldo: es otra copia esperando el mismo destino.
Al menos una copia fuera de la red, con credenciales distintas, y de preferencia inmutable —que no se pueda borrar ni sobrescribir durante un periodo definido, ni siquiera por quien la creó. Y probada: un respaldo que nunca se restauró es una hipótesis, no un plan.
Parches al día en lo que da a la calle
Corta el eslabón de la entrada y el de la escalada. La gran mayoría de los accesos aprovechan fallas conocidas y con corrección publicada desde hace meses. No hace falta parchear todo el mismo día: hace falta un proceso que garantice que lo expuesto a internet no se queda atrás.
Ventana mensual fija para servidores y equipos, actualización automática en estaciones de trabajo, e inventario de qué sistemas ya no reciben soporte del fabricante. Eso último suele ser la sorpresa desagradable.
Separar la red en zonas
Corta el eslabón del movimiento lateral. En una red plana, comprometer un equipo equivale a comprometer la empresa. Con zonas separadas, el intruso se queda encerrado donde entró y tú ganas lo más valioso en un incidente: tiempo.
Servidores, estaciones de trabajo, invitados, dispositivos de red y administración. Cinco zonas con reglas entre ellas ya cambian por completo el resultado de un ataque, y se pueden implementar por etapas sin detener la operación.
Alguien que se dé cuenta
Corta el eslabón del reconocimiento, que dura semanas y es la ventana más larga que vas a tener. De poco sirve tener herramientas si nadie revisa lo que reportan. La detección no es un producto: es un producto más una persona con la responsabilidad de mirarlo.
Accesos fuera de horario, sesiones desde ubicaciones inusuales, cuentas de administrador nuevas, respaldos que empezaron a fallar sin explicación y antivirus deshabilitados en algún equipo. Cualquiera de las cinco merece una llamada, no un correo.
La pregunta del rescate
Tarde o temprano alguien la hace, así que vale la pena responderla con datos y no con moral.
Pagar no garantiza recuperar: en muchos casos la herramienta de descifrado que entregan es lenta, incompleta o falla con archivos grandes. Tampoco garantiza que la información extraída se destruya —no hay forma de verificarlo. Y marca a la empresa como pagadora, lo que aumenta la probabilidad de un segundo intento. Es además una decisión con implicaciones legales y de seguros que debe tomarse con asesoría, no en caliente a las once de la noche.
La conversación útil ocurre antes: si tienes respaldos íntegros, fuera de la red y probados, la pregunta del rescate se vuelve un trámite en lugar de una crisis existencial. Ese es exactamente el punto de la medida número dos.
Autoevaluación en diez preguntas
Respóndelas con honestidad, idealmente junto con quien administra tus sistemas. No es un examen: es un mapa de por dónde empezar.
¿Qué tan expuesta está tu empresa?
Imprimir o guardar como PDF- El correo de la empresa exige segundo factor a todos, sin excepciones para directivos Las excepciones por comodidad son justo las cuentas más atacadas
- No hay ningún escritorio remoto ni panel de administración accesible directo desde internet Si no estás seguro, alguien debe verificarlo esta semana
- Existe al menos una copia de respaldo fuera de la red y con credenciales distintas Misma red y mismas contraseñas significa cero copias efectivas
- Alguien restauró un respaldo completo en los últimos tres meses y funcionó Restaurar un archivo suelto no cuenta como prueba
- Sabes cuánto tiempo tardarías en volver a operar y ese número está escrito Si la respuesta es «no sé», ese es tu mayor riesgo
- Los servidores y equipos reciben parches con una periodicidad definida Y existe una lista de lo que ya no tiene soporte del fabricante
- La red está separada en zonas y no todo alcanza a todo Pregunta si desde una laptop de recepción se puede llegar al servidor de facturación
- Los accesos de personas que ya no trabajan aquí están cerrados Incluye nube, repositorios, VPN y aplicaciones de terceros
- Alguien tiene la responsabilidad explícita de revisar alertas de seguridad Con nombre, no «lo ve el área de sistemas»
- Existe un plan escrito de qué hacer en las primeras dos horas de un incidente A quién se llama, qué se apaga, qué NO se apaga y quién habla con los clientes
Ocho o más: tu exposición es razonable, enfócate en probar lo que ya tienes. Entre cinco y siete: hay huecos concretos y priorizables. Menos de cinco: no es cuestión de si va a pasar, es cuestión de cuándo, y conviene actuar este mes.
Por dónde empezar el lunes
Si de toda esta lista solo pudieras hacer dos cosas, serían estas: activa el segundo factor en el correo de toda la empresa y saca una copia de tus respaldos fuera de la red. Las dos se pueden lograr en una semana, cuestan muy poco y entre ambas eliminan la mayor parte del riesgo que hoy estás cargando.
El resto —parches, segmentación, detección— es trabajo de meses y conviene planearlo. Pero esas dos primeras no requieren proyecto, presupuesto ni junta de consejo. Requieren decidirlo hoy.
La diferencia entre una empresa que sobrevive a un ransomware y una que no rara vez está en el ataque. Está en las decisiones que se tomaron seis meses antes.
¿Cuántas de las diez preguntas contestaste con un «no sé»?
Hacemos la evaluación de riesgo de ransomware por ti: revisamos accesos, exposición a internet, estado de los parches, segmentación y —sobre todo— intentamos restaurar tus respaldos para comprobar si de verdad sirven. Te entregamos un informe con lo que hay que atender primero y cuánto cuesta cada cosa.
- —Evaluación de riesgo y hardening de infraestructura
- —Respaldos inmutables y pruebas de restauración
- —Segmentación de red y control de accesos
- —Monitoreo, alertas y respuesta a incidentes