Las empresas, ante la nueva era del ransomware: “En la extorsión pura gana quien detecta antes, contiene mejor y puede explicar con precisión qué ha pasado”

Entrevistamos a David López, especialista en Ciberseguridad, para que nos dé su visión sobre cómo ha evolucionado el ransomware hacia la extorsión directa, abriendo las puertas a un nuevo contexto en el que las copias de seguridad ya no bastan. Descubre a lo largo de esta conversación qué capacidades necesitan hoy las empresas para anticipar y contener amenazas cada vez más silenciosas y sofisticadas.

¿Qué ha impulsado el paso del ransomware con cifrado a la “extorsión pura”?

Una amenaza como el ransomware ha tenido que evolucionar a medida que también ha cambiado el nivel de protección de las empresas. Muchas ya cuentan con mejores copias de seguridad, planes de continuidad y han mejorado su capacidad de resiliencia. De esta forma, se reduce el poder del cifrado como herramienta de presión, es decir, el chantaje de los ciberdelincuentes pierde fuerza, si la organización puede restaurar sus sistemas. 

Al mismo tiempo, para el atacante resulta más eficiente robar datos que bloquear infraestructuras completas, y la exfiltración suele requerir menos tiempo dentro de la red y genera menos ruido que un cifrado masivo. Además, cifrar deja una huella clara y provoca una reacción inmediata, desde un punto de vista técnico, mediático y policial. En cambio, cuando el delincuente solo “tiene” los datos, juega con la ambigüedad y prolonga la negociación.

A esto se suma la profesionalización del ecosistema criminal. Existen intermediarios que venden accesos, credenciales robadas y vulnerabilidades explotables casi en tiempo real. En ese contexto, la monetización vía filtración es rápida, escalable y cada vez más habitual. El resultado es un modelo donde el activo principal no es el sistema, sino la información.

¿Cómo cambia el impacto cuando el ataque se basa en filtración de datos y no en interrupción operativa?

Cuando hay cifrado, el daño es inmediato y visible, provoca una crisis operativa, en forma de parada de sistemas y, por tanto, paralización de las operaciones, lo que provoca unas pérdidas directas. 

Cuando hay filtración, la organización puede seguir funcionando, pero la crisis se desplaza al terreno legal, reputacional y estratégico. La empresa debe evaluar si existe brecha de datos personales y, en su caso, notificar en plazos muy exigentes. Se pone en juego la confianza de clientes, empleados y socios. Puede haber fuga de propiedad intelectual, estrategias comerciales o información sensible que afecte a la competitividad.

Además, el impacto es más prolongado. No hablamos solo de recuperación técnica, sino de auditorías, investigaciones forenses, comunicación pública, posibles litigios y revisiones regulatorias. Es una crisis menos visible al principio, pero más transversal y duradera.

¿Están preparadas las empresas españolas para un escenario donde la copia de seguridad ya no es suficiente?

Las copias de seguridad nunca han sido suficientes, si bien es cierto que da cierta tranquilidad. No todas las compañías están en la misma situación. Por un lado, están las grandes organizaciones y las que operan en sectores regulados, que han avanzado mucho en detección, respuesta y gobierno de la ciberseguridad. Sin embargo, una parte importante del tejido empresarial, especialmente pequeñas y medianas empresas, sigue teniendo visibilidad limitada, dependencia de terceros y poca preparación específica para escenarios de filtración de datos.

Las empresas han invertido en ciberseguridad pero en el ámbito de la protección y respuesta ante incidentes perno todavía queda mucho camino por recorrer en el área del gobierno y protección del dato. 

Una solución como un DSPM (Data Security Posture Management) tiene un papel clave en la fase de prevención, visibilidad y análisis de los datos. Aunque no suele ser el mecanismo principal de bloqueo en tiempo real durante una exfiltración masiva, su valor está en la detección temprana para poder alertar ante una exfiltración y poder activar los mecanismos de contención. Además, nos aporta información muy valiosa, como es el saber qué datos se han comprometido y dónde estaban.

¿Qué papel juegan RGPD, NIS2 y las obligaciones de notificación en la estrategia de los extorsionadores?

Indudablemente, la regulación introduce un elemento crítico: el reloj. El RGPD obliga a notificar determinadas brechas en un plazo máximo de 72 horas desde que se tiene constancia. NIS2 añade esquemas de notificación temprana aún más exigentes para incidentes importantes.

Los grupos de extorsión conocen perfectamente estos plazos y los utilizan como herramienta de presión. Saben que la organización tiene poco tiempo para entender qué ha ocurrido y tomar decisiones. La regulación es necesaria, pero se convierte en una variable que los atacantes explotan para acelerar el pago y amplificar el miedo al impacto público.

¿Qué capacidades son críticas para anticipar y contener este modelo de amenaza?

Si el objetivo del atacante es sacar datos, la defensa debe centrarse en la identidad, la visibilidad y el control del movimiento de información. La mayoría de las exfiltraciones comienzan con el abuso de credenciales legítimas. Por eso, es clave reforzar la identidad con autenticación robusta y control estricto de privilegios. A partir de ahí, se necesita telemetría suficiente para saber qué se ejecuta, desde dónde y qué volumen de información se mueve. Sin visibilidad, no hay respuesta eficaz.

También es fundamental controlar los canales de salida y el uso de servicios en la nube, porque actualmente gran parte de la fuga de datos ocurre en entornos colaborativos y SaaS. Y, por supuesto, mantener copias de seguridad protegidas e inmutables para cubrir la dimensión de disponibilidad.

En el plano organizativo, la diferencia la marca la preparación. Un plan de respuesta específico para escenarios de extorsión, capacidad forense desde el primer momento, coordinación real entre tecnología, legal y comunicación, y ejercicios periódicos que simulen filtraciones, no solo cifrados.

En la extorsión pura no gana quien restaura más rápido, sino quien detecta antes, contiene mejor y puede explicar con precisión qué ha pasado. La clave ya no es solo recuperar sistemas, sino proteger y demostrar el control sobre el dato.