Prevención de ataques de ransomware: estrategia práctica de defensa por capas

Para prevenir un ataque de ransomware, las organizaciones necesitan combinar varias medidas de seguridad en lugar de depender de una sola solución. Los atacantes suelen iniciar sus operaciones mediante phishing, credenciales robadas o servicios desprotegidos. El ataque puede avanzar en varias etapas: obtener más privilegios, desplazarse por la red, robar información confidencial, sabotear las copias de seguridad y, por último, cifrar archivos. 

Si falla una capa de seguridad, la siguiente debe ralentizar el ataque, generar alertas y dificultar el avance de los atacantes. Así se reduce el impacto general en la organización, porque el ransomware puede propagarse con rapidez. 

En esta guía repasamos las principales fases de un ataque y las medidas que pueden interrumpirlo. 

Cómo prevenir el ransomware: modelo de defensa por capas

Construye la defensa frente al ransomware en torno a estos controles básicos: 

• Usa seguridad de correo electrónico para bloquear los intentos de phishing. 
• Implementa MFA resistente al phishing para impedir que se utilicen contraseñas robadas. 
• Limita los accesos a lo estrictamente necesario para reducir el riesgo de control no autorizado. 
• Segmenta la red para evitar que un dispositivo comprometido llegue a datos confidenciales. 
• Forma al personal en ciberseguridad para que pueda reconocer las amenazas y responder ante ellas. 
• Prepara un plan de respuesta a incidentes para mitigar rápidamente los incidentes de seguridad. 
• Supervisa la actividad de la red, los endpoints, las cuentas y las aplicaciones para detectar comportamientos sospechosos que puedan indicar una brecha de seguridad. 

Los controles se solapan de forma deliberada. Cada capa ofrece otra oportunidad para detener, detectar o contener al atacante antes de que el cifrado o la extorsión se conviertan en un problema para la empresa. 

Detén el ransomware en el acceso inicial

Protege el correo electrónico frente al phishing, los archivos adjuntos maliciosos y las URL peligrosas

El correo electrónico sigue siendo una de las vías de entrada más utilizadas porque sitúa al atacante directamente frente a una persona usuaria. 

En entornos Microsoft 365, el filtrado avanzado del correo debe ir más allá del spam básico y de las firmas de malware. El análisis de archivos adjuntos, el sandboxing, la inspección de URL y la respuesta posterior a la entrega pueden detectar amenazas que los filtros básicos de spam y malware basados en firmas no identifican. 

Reduce el robo de credenciales con MFA resistente al phishing

Las contraseñas son útiles, pero los atacantes llevan años perfeccionando las técnicas para robarlas, reutilizarlas y obtenerlas mediante ingeniería social. La guía #StopRansomware de CISA recomienda usar MFA resistente al phishing en servicios como el correo electrónico y las VPN. También recomienda proteger el acceso a los sistemas críticos y señala las opciones sin contraseña como una posibilidad cuando sean viables. 

• Empieza por las cuentas de administración y las áreas de mayor riesgo; después, amplía la medida a toda la organización. 
• Usa MFA junto con políticas de Conditional Access. 
• Elimina los métodos de autenticación obsoletos y vigila los inicios de sesión sospechosos. 
• Valora opciones resistentes al phishing, como las claves FIDO2 o las passkeys, para depender menos de las contraseñas. 

Aplica parches y refuerza los sistemas expuestos a Internet

Aplicar parches no es lo más vistoso, pero posponer medidas básicas puede convertir un problema manejable en uno mucho mayor. Es esencial priorizar las vulnerabilidades críticas de los sistemas expuestos a Internet, retirar el software sin soporte, desactivar los servicios innecesarios y reforzar las configuraciones de acceso remoto. 

Este proceso debe ser continuo: los proyectos trimestrales de aplicación de parches son demasiado lentos para los activos accesibles directamente desde Internet, sobre todo ahora que la IA permite encontrar vulnerabilidades a gran escala. 

Contén una brecha antes de que se convierta en un ataque de ransomware

Aplica el principio de mínimo privilegio y protege las cuentas de administración

Si se compromete una cuenta con pocos privilegios, el ataque debería seguir resultando difícil, no convertirse en una vía de acceso sencilla a todo el sistema. Utiliza cuentas separadas para las tareas administrativas, limita el número de personas con derechos de administración y revisa las cuentas de servicio, los permisos antiguos y las contraseñas compartidas. Las tareas habituales no deben realizarse con privilegios amplios que se apliquen a todo el dominio o tenant. 

Aquí es donde el principio de mínimo privilegio demuestra su utilidad. Si un atacante roba una cuenta pero no puede extraer credenciales de inmediato, desactivar las herramientas de seguridad ni administrar los sistemas de copia de seguridad, el incidente sigue siendo grave, pero su alcance es menor. Los incidentes de menor alcance son más fáciles de detectar, aislar y resolver. 

Limita el movimiento lateral

Cuando entran en una red, los atacantes suelen dirigirse a sistemas importantes, como la gestión de identidades, los servidores de archivos, las máquinas virtuales y los sistemas de copia de seguridad. Para proteger estos recursos críticos, es esencial separar las redes y los sistemas según su función empresarial. Limita las comunicaciones innecesarias entre dispositivos y controla cuidadosamente el acceso administrativo. 

La segmentación no debería convertirse en un diagrama de red abstracto que nadie pueda interpretar unos meses después. Debe estar vinculada a los sistemas esenciales para la empresa, como la gestión de identidades, las finanzas, la producción, los datos de clientes, la virtualización y las copias de seguridad y la recuperación. 

Detecta las primeras señales y responde

El cifrado suele producirse al final del ataque. Microsoft define el ransomware operado por personas como un ataque en el que los hackers primero establecen el control, evitan ser detectados, se desplazan por los sistemas, roban credenciales y copian datos antes de causar daños evidentes. Microsoft Incident Response también señala que pueden desactivar las herramientas de seguridad y atacar las copias de seguridad antes de exigir un rescate.

Hay que cambiar la forma de gestionar las alertas: 

• Un intento de phishing, una detección de malware, un inicio de sesión sospechoso, una actividad administrativa inusual o la manipulación de la solución de detección y respuesta en endpoints (EDR) pueden ser hechos aislados o el comienzo de un problema mayor. 
• Recopila todos los datos pertinentes de los endpoints, las identidades, los correos electrónicos y las redes. 
• Define los pasos para escalar los problemas y asigna a alguien la responsabilidad de decidir si se investigan. 
• Establece procedimientos claros de escalado para investigar las actividades sospechosas antes de que el atacante obtenga más acceso. 

Incluye el factor humano en la prevención de ataques de ransomware

La formación en concienciación sobre seguridad no debe tratarse como una medida puntual que se configura y luego se olvida. Los atacantes suelen aprovechar comportamientos habituales: hacer clic en un enlace de un mensaje urgente, confiar en una página de inicio de sesión familiar, aprobar con prisa una solicitud de MFA o abrir un archivo adjunto que parece proceder de un proveedor legítimo. 

Por eso, las iniciativas de concienciación deben centrarse en los comportamientos concretos que aprovechan los atacantes, en lugar de depender únicamente de presentaciones genéricas de higiene digital que se imparten una vez al año. 

Como parte de una estrategia más amplia para Microsoft 365, 365 Total Protection de Hornetsecurity puede combinar capacidades de seguridad del correo electrónico con opciones adicionales, como copias de seguridad, concienciación sobre seguridad, gestión de permisos y funciones de cumplimiento, según el plan elegido. Esta cobertura más amplia resulta útil, pero debe integrarse en un modelo de seguridad por capas que también incluya controles para endpoints, identidades, redes y respuesta a incidentes. 

Incluye la recuperación en la estrategia de prevención

Protege las copias de seguridad frente a los atacantes

Las copias de seguridad no solo sirven para recuperarse: también son un objetivo del ransomware. Tanto CISA como Microsoft destacan la importancia de protegerlas. Microsoft también advierte de que los atacantes pueden buscar la documentación de recuperación. 

Haz copias de seguridad periódicas de los sistemas críticos de la empresa y de identidad, y guarda las copias de recuperación separadas de las rutas administrativas habituales. Según tus necesidades de recuperación, protégelas con almacenamiento inmutable, copias sin conexión o almacenamiento externo. Protege el acceso a la administración de copias con autenticación sólida y asigna privilegios separados. 

Si se usa la misma cuenta para administrar producción, herramientas de seguridad y copias de seguridad, un único conjunto de credenciales puede provocar varios problemas de seguridad. 

Prueba las restauraciones, no solo las copias de seguridad

Un indicador verde de que la copia se ha completado correctamente no garantiza que puedas recuperar los datos. Es fundamental verificar la integridad de las copias y realizar pruebas de restauración habituales. Microsoft recomienda probar periódicamente las estrategias de continuidad empresarial y recuperación ante desastres para cumplir los objetivos definidos de RTO y RPO. 

Las pruebas de restauración revelan dependencias que a menudo no detecta la supervisión habitual de las copias de seguridad, como: 

• gestión de identidades; 
• DNS; 
• redes; 
• acceso administrativo; 
• licencias en la nube; 
• secuencia de las aplicaciones; y 
• flujos de datos ocultos. 

Un proceso de restauración que solo funciona cuando la plataforma de identidad original está disponible no constituye un plan eficaz de recuperación frente al ransomware, sobre todo si esa plataforma es uno de los sistemas comprometidos. 

Prepara el plan de respuesta a incidentes de ransomware

Deja por escrito quién puede aislar sistemas, desactivar cuentas, contactar con asesoría jurídica, aseguradoras y especialistas forenses, aprobar cambios de emergencia y comunicarse con el personal, los clientes o las autoridades reguladoras. Mantén un canal alternativo para contactar con las personas clave y acceder a la información de recuperación si el correo electrónico, Teams o la plataforma de identidad habitual no están disponibles. 

Practica el plan de respuesta al ransomware mediante ejercicios de simulación y pruebas técnicas de recuperación. Los ejercicios de simulación ayudan al equipo a tomar decisiones; las pruebas técnicas comprueban si es posible restaurar los sistemas.

También hay que establecer quién tiene autoridad para aceptar o rechazar el pago de un rescate y cuáles son los pasos del proceso. No conviene tener que decidirlo bajo la enorme presión de un ataque real. 

Consideraciones especiales para sanidad y otros entornos de gran impacto

Las organizaciones sanitarias pueden aplicar las mismas defensas por capas frente al ransomware, pero las interrupciones de los sistemas críticos pueden tener consecuencias más graves. Los entornos clínicos, de fabricación, logística, servicios públicos y otros sectores críticos para la seguridad quizá deban mantener los servicios esenciales mientras aíslan o restauran sistemas. Por eso son especialmente importantes la segmentación, la protección de identidades, las pruebas de recuperación y los procedimientos claros para operar durante una interrupción. 

La pregunta práctica no es solo «¿podemos impedir el cifrado? », sino también «¿podemos seguir prestando de forma segura el servicio más crítico si un sistema esencial deja de estar disponible? ». 

---

Refuerza primero las capas que ataca el ransomware

Consulta el último Ransomware Report de Hornetsecurity para conocer mejor las amenazas de ransomware y su posible impacto en las empresas.

Para prevenir el ransomware de forma eficaz, las organizaciones deben implantar varias medidas de seguridad que los atacantes tengan que superar antes de acceder a los datos críticos.

Refuerza las defensas de correo electrónico y Microsoft 365 con Advanced Threat Protection y 365 Total Protection de Hornetsecurity.

¿Quieres revisar por dónde podría entrar el ransomware en tu entorno Microsoft 365? Descubre Advanced Threat Protection y 365 Total Protection de Hornetsecurity, o solicita una demo para ver cómo pueden integrarse las capas de correo electrónico y Microsoft 365 en una estrategia de defensa más amplia frente al ransomware.

---

Conclusión: prevén antes, contén más rápido y recupera con fiabilidad

Prevenir ataques de ransomware es una forma de trabajar, no solo una cuestión de comprar un producto. El objetivo es dificultar la entrada de los atacantes para que, si se compromete una persona o un dispositivo, el problema no afecte a toda la organización. También es importante contar con un plan de recuperación fiable por si fallan las capas de prevención. 

Conviene comparar el coste de un ataque de ransomware con el de las medidas de prevención. No existe un ROI fijo que sirva para todas las organizaciones. En su lugar, evalúa el coste de implantar las medidas de seguridad y probarlas periódicamente. Considera también los riesgos de que los sistemas y datos críticos no estén disponibles, incluidos los problemas operativos, de recuperación, legales y de reputación.