¿Qué es el ransomware? Guía completa: cómo ataca, cuánto cuesta y qué hacer
Todo lo que un directivo necesita saber del ransomware en 2026: cómo ataca, cuánto cuesta, qué hacer si te atacan y cómo prevenirlo, con infografías y fuentes.
El ransomware es un tipo de malware que cifra los archivos y sistemas de una empresa y exige un pago, el rescate, para devolver el acceso; hoy suele incluir también el robo de los datos para extorsionar. Suele entrar por vulnerabilidades expuestas, credenciales robadas, phishing o proveedores, y se frena con respaldos probados, doble factor, parches y vigilancia continua.
- Qué tan común: 48 % de las brechas del Verizon DBIR 2026.
- Pagar: CISA y el FBI han recomendado no hacerlo; 69 % de las víctimas no pagó.
- Primeras horas: aislar, preservar evidencia, activar el plan y notificar.
- Prevención: respaldos fuera de línea, doble factor, parches y vigilancia.
¿Qué es el ransomware?
El ransomware es malware que cifra los archivos y los sistemas de una empresa para volverlos inutilizables y exigir un pago, el rescate, a cambio de devolver el acceso. Así lo define la CISA. Hoy suele ir acompañado de robo de datos: los atacantes se llevan la información antes de cifrar y amenazan con publicarla.
El efecto en el negocio es inmediato: sistemas detenidos, operación frenada y clientes preguntando qué pasó. Por eso el rescate es solo una parte del costo.
Cómo funciona un ataque de ransomware: las 6 fases
Un ataque no ocurre en un instante. Suele ser una cadena que dura días o semanas antes del cifrado:
- 11 · Acceso inicialEntran por una vulnerabilidad expuesta, una credencial robada, un correo falso o un proveedor.
- 22 · ReconocimientoExploran la red, buscan accesos privilegiados y datos valiosos.
- 33 · Movimiento lateralSe mueven de un equipo a otro y escalan privilegios.
- 44 · Robo de datosCopian información sensible hacia afuera, para la extorsión.
- 55 · CifradoCifran servidores y equipos, y suelen buscar destruir los respaldos.
- 66 · ExtorsiónExigen el pago y amenazan con publicar los datos robados.
Fases descritas de forma general; los avisos de CISA las mapean con el marco MITRE ATT&CK, del acceso inicial a la exfiltración y el impacto (aviso AA24-242A).
Las 6 formas más comunes de entrar
La CISA ordena así los vectores de acceso inicial más comunes:
Sistemas y malas configuraciones visibles desde internet que no se han corregido.
Contraseñas robadas, reutilizadas o filtradas, sin doble factor.
Correos, mensajes o llamadas que engañan para abrir un archivo o entregar claves.
Programas que roban acceso primero y lo venden o lo usan después.
Suplantación de soporte técnico o de directivos, con llamadas y deepfakes.
Un proveedor con acceso a tus sistemas puede ser la puerta.
Fuente: CISA, #StopRansomware Guide. En el Verizon DBIR 2026, la explotación de vulnerabilidades (31 %) superó por primera vez al abuso de credenciales como vía inicial.
Tipos de ransomware: del cifrado a la triple extorsión
La evolución del ataque explica por qué los respaldos ya no bastan:
Cifra archivos y exige el pago para devolver la clave.
Además de cifrar, roban información y amenazan con publicarla (descrita por CISA y el FBI).
Amplía la presión a clientes o socios cuyos datos se robaron; el término es de uso común en la industria.
Los grupos de ransomware como servicio (RaaS) alquilan sus herramientas a afiliados; el aviso AA24-242A de CISA y el FBI describe el caso de RansomHub.
Los números de 2026: qué tan común y qué tan caro
Las cifras más recientes, con su fuente:
Fuentes: Verizon, Sophos (2,158 líderes de TI y seguridad de organizaciones atacadas con ransomware) e IBM. Las cifras son globales.
Ransomware en México: lo que dicen los reportes
Las cifras varían según el método de cada empresa de seguridad, pero coinciden en que México está entre los países más golpeados de la región. SCILabs, citada por la prensa, ubicó a México en segundo lugar de América Latina en el primer semestre de 2026, con cerca de 18 % de los incidentes regionales. GitSecurit, que resume un reporte de ESET WeLiveSecurity, GitSecurit, menciona alrededor de 30 ataques de ransomware en México en el primer trimestre de 2026, con la banca, la manufactura y la logística entre los sectores afectados, y grupos como LockBit y Qilin.
Sophos publicó además un informe específico de México en 2026, con 84 encuestados; no pudimos revisar sus cifras de pago y por eso no las citamos. Ver también: las 5 tendencias de ciberseguridad 2026.
Tres ciberataques que muestran el costo real
Más allá del rescate, el impacto es la operación detenida:
- Jaguar Land Rover (septiembre de 2025): según la prensa especializada, un ciberataque provocó un paro de producción de unas cinco semanas y estimaciones de pérdidas de cerca de 1,900 millones de libras, con miles de empresas de la cadena afectadas (cifras citadas por medios; el estudio original no pudo verificarse).
- Hasbro (marzo de 2026): según TechCrunch, un ciberataque dejó semanas de sistemas caídos, un sitio web inaccesible y una presentación financiera retrasada.
- Change Healthcare (2024): según prensa especializada, los datos de más de 190 millones de personas quedaron afectados en uno de los ataques de ransomware más grandes de la historia.
Si te atacan: qué hacer en las primeras horas
La guía de CISA, el FBI y la NSA ordena las acciones iniciales así:
- 1AíslaDesconecta los sistemas afectados de la red. Si no puedes desconectarlos, apágalos.
- 2PreservaConserva registros, correos y respaldos; no formatees ni borres evidencia.
- 3BuscaInicia la búsqueda de amenazas y de malware precursor para saber qué entró.
- 4Activa tu planReúne a tu equipo de respuesta y contacta a especialistas y a tu aseguradora.
- 5NotificaAvisa a partes interesadas y autoridades; si hay datos personales, revisa la notificación a los titulares.
- 6Recupera con cuidadoRestaura desde respaldos limpios y cierra la puerta por la que entraron.
Fuente: CISA, #StopRansomware Guide (parte 2, lista de verificación de respuesta). Más sobre este servicio: respuesta a incidentes y forense digital.
¿Se debe pagar el rescate?
CISA y el FBI han recomendado no pagar: no hay garantía de recuperar los datos, puede incentivar nuevos ataques y financia actividad ilícita (recomendación recogida de materiales del FBI y de CISA; no aparece textualmente en la guía que consultamos). El DBIR 2026 registra que 69 % de las víctimas no pagó.
Antes de decidir, valora si puedes restaurar desde respaldos y consulta con especialistas y asesoría legal, porque pagar puede tener implicaciones legales y de cumplimiento.
Cómo prevenirlo: 10 medidas priorizadas
Resumen de las medidas que CISA prioriza en su guía:
- Respaldos fuera de línea y cifrados, con pruebas periódicas de restauración.
- Doble factor resistente al phishing en correo, accesos remotos y cuentas privilegiadas.
- Parchar primero lo expuesto a internet y vigilar lo que se explota activamente.
- Desactivar el escritorio remoto (RDP) y los servicios que no se usan.
- Endurecer SMB y segmentar la red.
- Escaneo continuo de vulnerabilidades.
- Protección de equipos con EDR y alguien que atienda sus alertas.
- Arquitectura Zero Trust y mínimo privilegio.
- Capacitación y simulacros de phishing para el personal.
- Plan de respuesta escrito y probado.
Conoce nuestra protección contra ransomware y phishing, el servicio de EDR, XDR y MDR y la guía de Zero Trust.
Descubre qué tan preparada está tu empresa antes de que pase algo.
En una primera evaluación identificamos riesgos visibles, puntos críticos y los primeros pasos para proteger información, operación y clientes. Sin costo inicial.
Preguntas frecuentes
¿Qué es el ransomware?
Es un tipo de malware diseñado para cifrar los archivos de un dispositivo y dejar inutilizables los archivos y sistemas que dependen de ellos, para exigir después un pago, el rescate. Así lo describe la CISA, la agencia de ciberseguridad de EE. UU.
¿Qué es la doble extorsión?
Es cuando los atacantes no solo cifran los datos, sino que antes los roban y amenazan con publicarlos si no se paga. CISA y el FBI la describen en sus avisos sobre grupos de ransomware como servicio, como RansomHub.
¿Cómo entra el ransomware a una empresa?
Según CISA, los vectores más comunes son las vulnerabilidades y malas configuraciones expuestas a internet, las credenciales comprometidas, el phishing, el malware precursor, la ingeniería social avanzada y los proveedores o terceros con acceso. En el Verizon DBIR 2026, la explotación de vulnerabilidades fue la vía de acceso inicial en 31 % de los casos.
¿Qué tan frecuente es el ransomware?
El Verizon DBIR 2026 encontró ransomware en 48 % de las brechas analizadas, frente a 44 % del año anterior.
¿Pagar el rescate garantiza recuperar los datos?
No. CISA y el FBI han recomendado no pagar, porque no hay garantía de recuperar los datos y puede incentivar nuevos ataques. En el DBIR 2026, 69 % de las víctimas no pagó. Evalúa primero si puedes restaurar desde respaldos y consulta a especialistas y asesoría legal.
¿Cuánto cuesta recuperarse de un ataque de ransomware?
Sophos, en su informe de 2026, reporta un costo promedio de recuperación de unos US$1.7 millones, sin contar el rescate, que tuvo una mediana de pago de US$769,000. La brecha promedio cuesta US$4.99 millones a nivel global, según IBM 2026. Son cifras globales: el costo real de tu empresa depende de su tamaño y de qué tan rápido responda.
¿Qué hago en las primeras horas de un ataque?
Según la guía de CISA: aísla los sistemas afectados (si no puedes desconectarlos, apágalos), preserva los registros y la evidencia, inicia la búsqueda de amenazas, activa tu plan de respuesta y notifica a las partes interesadas y a las autoridades. No pagues ni negocies sin asesoría.
¿Hay que avisar a los clientes en México si se filtran sus datos?
Sí, si la vulneración afecta de forma significativa sus derechos patrimoniales o morales: el artículo 19 de la LFPDPPP vigente obliga a informárselos de forma inmediata para que puedan defender sus derechos. Valida cada caso con asesoría legal.
Fuentes y referencias
Consultadas el 8 y 9 de octubre de 2026. Cuando una cifra proviene de una nota que cita un informe original, lo indicamos. Las cifras pueden variar según la fuente y el método de conteo. Las secciones marcadas como criterio editorial reflejan la experiencia de Cyberkust y no una fuente externa.
- CISA: #StopRansomware Guide (página oficial)
- CISA, FBI y NSA: #StopRansomware Guide (PDF)
- CISA y FBI: aviso AA24-242A sobre RansomHub (doble extorsión)
- Verizon DBIR 2026 (página oficial)
- Help Net Security: hallazgos del Verizon DBIR 2026
- IBM: Cost of a Data Breach 2026, resumen de eSecurity Planet
- Sophos: State of Ransomware 2026
- DPL News: ransomware crece 25 % en América Latina; México, 18 % (cita a SCILabs)
- GitSecurit: el ransomware no se detiene en 2026 (cita a ESET WeLiveSecurity)
- TechCrunch: los peores hackeos y brechas de 2026 hasta ahora
- Cámara de Diputados: texto de la LFPDPPP vigente (PDF)