La brecha en la preparación contra el ransomware que la mayoría de los planes no evalúan

El ransomware es un software malicioso que cifra los archivos, servidores y sistemas de una organización y luego exige un pago, generalmente en criptomonedas, a cambio de restaurar el acceso. Ha sido una de las categorías de ciberataque más disruptivas de la última década y no se limita a una pantalla: ha paralizado hospitales, oleoductos, gobiernos municipales y líneas de fabricación, a veces durante días o semanas.

Si se pregunta a la mayoría de los equipos de seguridad qué significa "estar preparado para el ransomware", la respuesta es técnica: qué tan rápido podemos restaurar desde una copia de seguridad, qué tan aislados están nuestros sistemas de recuperación y qué tan actualizado está nuestro manual de respuesta ante incidentes. Esas son preguntas reales y son importantes. Pero todas asumen el mismo punto de partida: que el atacante ya está dentro. Dicen poco sobre cómo llegó el atacante allí en primer lugar.

Lo que suele evaluar la preparación contra el ransomware y lo que se pasa por alto

Un programa típico de preparación contra el ransomware se centra en la parte técnica intermedia y final de un ataque: frecuencia de las copias de seguridad, objetivos de punto de recuperación, segmentación de la red y ejercicios de simulación para restaurar las operaciones tras una caída de los sistemas. Estos ejercicios son útiles, pero también incompletos, porque comienzan a contar el tiempo una vez que el acceso ya ha sido obtenido.

El punto de entrada en la mayoría de los incidentes de ransomware no es un escaneo de vulnerabilidades que detecta un servidor sin parches. Cada vez más, se trata de una conversación. Los atacantes que tienen como objetivo a grandes organizaciones han pasado a la intrusión basada en la identidad: convencer a una persona real, generalmente personal de soporte técnico, de que son quienes dicen ser, y lograr que esa persona entregue el acceso voluntariamente.

Los ataques modernos de ransomware rara vez se detienen en el cifrado. La mayoría ahora implica una doble extorsión: los atacantes copian datos confidenciales de la red antes de bloquearla, por lo que pagar por una clave de descifrado no garantiza que los datos robados no salgan a la luz de todos modos. Esa segunda capa aumenta aún más los riesgos de la decisión de acceso inicial, porque para cuando el cifrado es visible, es posible que los datos ya hayan desaparecido.

La llamada de diez minutos que costó 100 millones de dólares

En septiembre de 2023, MGM Resorts reveló un ciberataque que, según la propia presentación de la empresa ante la SEC, costó aproximadamente 100 millones de dólares. El ataque dejó fuera de servicio máquinas tragamonedas, sistemas de tarjetas de acceso a hoteles, plataformas de reserva y sistemas de pago en todas las propiedades de MGM durante días.

El ataque no comenzó con malware. Según los investigadores de seguridad que reconstruyeron el incidente, un miembro del grupo de amenazas rastreado como Scattered Spider encontró el perfil de un empleado real de MGM en LinkedIn, utilizó esa información para suplantar su identidad de manera convincente y llamó al servicio de asistencia técnica de MGM pidiendo ayuda para iniciar sesión. La llamada duró unos diez minutos y terminó con el atacante obteniendo acceso de nivel administrador al sistema de identidad de MGM, lo que permitió al grupo moverse por la red y, finalmente, desplegar el ransomware.

Nada de esa llamada habría aparecido en un escaneo de vulnerabilidades. No fue un fallo técnico, sino un fallo de verificación: un proceso de asistencia técnica diseñado para ser servicial, no para confirmar la identidad bajo presión. La ingeniería social dirigida al servicio de asistencia se ha convertido en uno de los vectores de ataque de ransomware más comunes precisamente porque apunta a un proceso diseñado para conceder acceso rápidamente, no para cuestionarlo.

La brecha entre el acceso y el impacto es cada vez más corta, no más larga

El caso de MGM tiene ya algunos años, pero la táctica que expuso no se ha ralentizado, sino que se ha acelerado. El informe M-Trends 2026 de Mandiant, basado en las investigaciones de respuesta a incidentes de la propia firma, documenta a un actor de amenazas rastreado como UNC6692 suplantando al personal de asistencia técnica a través de Microsoft Teams para obtener acceso inicial, y luego transfiriendo ese acceso a un segundo grupo para el despliegue del ransomware. El tiempo medio entre ese acceso inicial y la transferencia para desplegar el ransomware ha caído de más de ocho horas a tan solo 22 segundos.

Esa cifra es más importante de lo que parece. Un plan de preparación que asume que hay horas entre la intrusión y el impacto, tiempo para detectar actividad inusual y tiempo para aislar una cuenta comprometida, se está probando contra una línea de tiempo que, cada vez más, ya no existe. Cuando la brecha se reduce a segundos, el momento que determina el resultado no es la respuesta después de obtener el acceso, sino si se concede el acceso en primer lugar.

Idea clave: la brecha de preparación está antes de la brecha, no después

La preparación contra el ransomware se ha definido casi por completo en torno a la recuperación: qué tan rápido puede la organización volver a cero una vez que ya ha sido atacada. Eso es necesario, pero trata el momento humano previo a la brecha —la llamada telefónica, el mensaje de Teams, la solicitud que suena lo suficientemente creíble— como algo fuera del alcance de la preparación.

El caso de MGM y el patrón que documenta Mandiant en 2026 sugieren lo contrario. Ambos comienzan en el mismo punto: una persona decidiendo, en tiempo real, si quien está al otro lado de la conversación es quien dice ser. Una estrategia de copia de seguridad probada al minuto sigue estando expuesta si esa decisión nunca se pone a prueba.

Lo que esto significa en la práctica

Un programa de preparación contra el ransomware construido solo en torno a pruebas de copias de seguridad y simulacros de recuperación está probando la mitad del problema. La otra mitad es si el personal de soporte técnico, y los empleados en general, pueden reconocer un intento de suplantación convincente bajo la presión laboral normal, no en un escenario que saben que es una prueba.

Eso requiere el mismo tipo de pruebas realistas y multicanal que hicieron posible el caso de MGM para los atacantes: un escenario que combine un pretexto plausible con un canal específico (teléfono, chat, video) en lugar de un único correo electrónico de phishing genérico. Simular esa combinación, tal como se desarrolla un intento real de ingeniería social a través de los canales, es precisamente el tipo de prueba que la mayoría de los calendarios anuales de concienciación sobre seguridad no incluyen.

Nada de esto reemplaza las pruebas de copias de seguridad, la segmentación de la red o la planificación de respuesta ante incidentes. Cambia lo que significa "estar preparado": no solo qué tan rápido puede recuperarse una organización, sino si la conversación específica que condujo a la brecha de diez minutos de MGM tendría éxito contra su propio servicio de asistencia hoy en día.

El manual técnico del ransomware —cifrar, exigir un pago, negociar o restaurar— se ha mantenido bastante estable durante años. Lo que ha cambiado es la rapidez con la que los atacantes llegan al punto en que comienza ese manual, y lo poco de ese camino que todavía depende del código.

Las organizaciones que ponen a prueba la llamada telefónica, y no solo el plan de recuperación, son las que descubrirán su situación real antes de que lo haga un atacante.