Ransomware como servicio (RaaS) es un modelo criminal en el que un grupo desarrolla y mantiene el malware y otras personas (afiliados) lo usan para atacar a víctimas a cambio de un porcentaje del “beneficio”.
Este esquema reduce la barrera de entrada y hace que el ransomware se parezca a una operación “por suscripción”: paneles, guías, soporte y hasta negociación, todo empaquetado para ejecutar campañas con rapidez.
Por qué está creciendo en 2026
El ransomware sigue siendo una de las grandes tendencias de ciberseguridad y se alimenta de un problema paralelo: el robo y reutilización de credenciales (cuentas filtradas, contraseñas repetidas, accesos vendidos).
Además, muchas campañas ya no dependen solo de cifrar archivos: combinan cifrado con robo de datos y extorsión, lo que aumenta el impacto incluso cuando existen copias de seguridad.
Cómo suele ser un ataque (paso a paso)
- Acceso inicial: el atacante entra mediante phishing, credenciales comprometidas o accesos expuestos (por ejemplo, servicios remotos mal asegurados).
- Escalada de privilegios: busca cuentas con permisos altos o configuraciones débiles para ganar control.
- Movimiento lateral: se desplaza por la red hasta encontrar servidores, carpetas compartidas, backups y sistemas críticos.
- Impacto: cifra datos (y a veces también roba información) para presionar con un plazo y una amenaza de publicación.
Checklist de prevención (lo que más reduce el riesgo)
- Activa MFA o passkeys en correo, VPN, herramientas remotas y paneles de administración.
- Aplica mínimo privilegio: reduce cuentas admin, revisa permisos y elimina accesos que ya no se usan.
- Prioriza parches en sistemas expuestos a Internet y en herramientas de acceso remoto.
- Segmenta red y recursos: evita que un equipo de usuario tenga acceso directo a todo el servidor de archivos o a los backups.
- Implementa copias con regla 3-2-1: 3 copias, 2 soportes distintos y 1 fuera; prueba restauraciones de forma regular.
- Mantén una copia aislada o inmutable si tu solución lo permite para evitar que el ransomware borre o cifre también las copias.
- Configura alertas por inicios de sesión anómalos y cambios de permisos (horarios raros, países raros, múltiples fallos).
- Define un plan mínimo de respuesta: quién decide, qué se aisla primero y cómo se comunica internamente.
Si sospechas infección: primeros 30 minutos
Aísla los equipos afectados (desconectar red) y corta sesiones o credenciales que puedan estar comprometidas para frenar la propagación.
Identifica qué sistemas son críticos (correo, ERP, ficheros, backups) y evita acciones impulsivas que borren evidencia antes de entender el alcance.
FAQs
¿Qué significa ransomware como servicio (RaaS)? Es un modelo donde un grupo “provee” el ransomware y afiliados lo ejecutan, compartiendo ganancias.
¿Qué es la regla 3-2-1 y por qué ayuda contra ransomware? Es una estrategia de copias con 3 copias, 2 medios distintos y 1 fuera, pensada para sobrevivir a fallos y ataques.
¿Cómo entra normalmente el ransomware en una pyme? A menudo por robo de credenciales, phishing o accesos remotos mal protegidos.
Otros artículos interesantes
