Cómo entra el ransomware a tu empresa: La cadena de ataque completa

Cada mes aparece una cifra nueva: México recibió miles de ataques de ransomware, el país subió de posición en el ranking mundial, las pérdidas se duplicaron. Son datos reales, pero dejan a quien dirige una PyME o un despacho contable exactamente donde empezó: sabe que el riesgo existe, no sabe cómo entra a su empresa ni en qué momento pudo haberlo detenido.

El ransomware no es un evento único. Es una cadena de pasos, y cada eslabón es una oportunidad distinta para cortarla antes de que llegue al cifrado de tus archivos.

Los 6 eslabones de un ataque de ransomware

1. Reconocimiento. El atacante investiga a la empresa antes de tocar un solo sistema: nombres de empleados en LinkedIn, proveedores de software que usa, direcciones de correo públicas. Entre más información corporativa está expuesta, más fácil es diseñar el siguiente paso.

2. Acceso inicial. El punto de entrada más común no es sofisticado: un correo que simula venir de un proveedor real, con un archivo adjunto o un enlace. También es frecuente el acceso por un puerto de escritorio remoto expuesto sin protección, o software de acceso remoto sin actualizar.

3. Movimiento lateral. Con un solo equipo comprometido, el atacante explora la red buscando otros equipos accesibles con las mismas credenciales. Las contraseñas repetidas entre sistemas son, en la práctica, la razón por la que un ataque que empezó en una laptop termina en el servidor de contabilidad.

4. Escalamiento de privilegios. El atacante busca una cuenta con permisos de administrador. Con ella, desactiva antivirus, deshabilita agentes de respaldo y elimina registros que delatarían su presencia.

5. Exfiltración de datos. Antes de cifrar nada, copia la información hacia afuera. Es la base de la “doble extorsión”: aunque la empresa recupere sus archivos desde un respaldo, el atacante amenaza con publicarlos si no se paga.

6. Cifrado y nota de rescate. El último paso, y el único visible para la empresa. Los archivos quedan inaccesibles y aparece la exigencia de pago, casi siempre en criptomoneda y con fecha límite.

Por qué las PyMEs y despachos contables mexicanos son blanco frecuente

No es casualidad ni mala suerte. Las empresas medianas y pequeñas suelen tener menos capas de seguridad que una corporación grande, pero manejan información igual de valiosa: facturación electrónica, nómina, datos fiscales de sus clientes. Un despacho contable es un objetivo particularmente atractivo porque concentra la información de varias empresas en un solo lugar: comprometer un despacho puede significar acceso indirecto a decenas de negocios distintos — la misma información que, por ley, tienes que conservar hasta por 5 años.

Los atacantes también saben que una PyME sin plan de continuidad operativa tiene menos margen para negociar: cada día sin sistemas es un día sin facturar, y eso presiona a pagar rápido.

Dónde cortar la cadena, eslabón por eslabón

• Reconocimiento: capacita al equipo en reconocer ingeniería social; limita qué información corporativa es pública.
• Acceso inicial: filtrado de correo, autenticación de dos factores, cierre de puertos de acceso remoto expuestos.
• Movimiento lateral: una contraseña distinta por sistema, nunca la misma en todos.
• Escalamiento de privilegios: acceso de administrador solo para quien realmente lo necesita.
• Exfiltración: monitoreo de transferencias de datos inusuales hacia fuera de la red.
• Cifrado: aquí es donde un respaldo real —automatizado, con versiones históricas y separado de la red principal— deja de ser un ataque exitoso y se convierte en una interrupción de unas horas.

El respaldo como último eslabón de defensa

Ningún control de los anteriores es infalible por sí solo; por eso importan los seis juntos. Pero el respaldo es el único que sigue funcionando incluso si los otros cinco fallaron: si el atacante ya cifró tus archivos, la pregunta que decide si pagas un rescate o no es una sola: ¿tienes una copia de esa información en un lugar al que el ataque no llegó?

BackApps está diseñado exactamente para ese último eslabón: respaldo automatizado y versionado, con copias que no dependen de que tu red principal esté sana. Y tener un respaldo no es suficiente si nunca lo has probado — aquí te explicamos cómo verificar que tu respaldo realmente restaura. Si quieres saber en qué eslabón de esta cadena está más expuesta tu operación hoy, podemos hacer ese diagnóstico contigo.