Ransomware-as-a-Service: Por Qué Cualquier Pyme Ya Es un Blanco Fácil

El dueño de una distribuidora de repuestos en Cali, con 22 empleados, tenía una teoría tranquilizadora: "nosotros no somos objetivo de nadie, somos muy pequeños para que valga la pena atacarnos". Seis meses después, toda su base de datos de inventario y facturación estaba cifrada, con una nota exigiendo el pago en criptomoneda para recuperar el acceso. El atacante nunca había oído hablar de su empresa específicamente. No hacía falta — no fue una persona la que eligió atacarlo, fue un programa que escaneaba miles de redes buscando la más fácil de entrar.

Esa es la lógica detrás del ransomware-as-a-service, y es la razón por la que "somos muy pequeños para que nos ataquen" dejó de ser un argumento válido hace varios años.

Hace una década, montar un ataque de ransomware exigía habilidades técnicas serias: escribir el malware, entender cómo evadir antivirus, saber cómo moverse dentro de una red sin ser detectado, gestionar la infraestructura de cobro en criptomonedas. Eso limitaba naturalmente quién podía hacerlo.

El modelo ransomware-as-a-service eliminó esa barrera. Hoy existen grupos criminales que desarrollan el software malicioso y lo "alquilan" a otros atacantes — llamados afiliados — a cambio de un porcentaje del rescate cobrado, típicamente entre el 70% y el 80% para el afiliado y el resto para el desarrollador del malware. El afiliado no necesita saber programar nada. Solo necesita encontrar una forma de entrar a una red — a menudo comprando accesos ya comprometidos en foros clandestinos — y el kit se encarga del resto: cifrado, nota de rescate, panel de negociación con la víctima.

Esto convirtió el ransomware en un negocio con una cadena de valor completa, no en la hazaña técnica de un solo actor sofisticado. Y como cualquier negocio que baja su barrera de entrada, el volumen de "operadores" creció exponencialmente.

Es tentador pensar que los grandes ataques mediáticos representan la mayoría del problema, pero la realidad operativa del cibercrimen es distinta: las empresas grandes suelen tener presupuesto de seguridad, equipos dedicados, y capacidad de resistencia ante un ataque. Las pymes, en cambio, con frecuencia no tienen ninguna de las tres cosas — y desde la perspectiva de un afiliado de ransomware-as-a-service que solo busca maximizar el retorno con el menor esfuerzo, eso las convierte en un objetivo más eficiente, no menos atractivo.

El escaneo automatizado tampoco distingue tamaño de empresa al elegir a quién atacar. Busca vulnerabilidades específicas — puertos abiertos, software sin actualizar, credenciales filtradas en brechas anteriores — y ataca donde las encuentra, sin importar si es una multinacional o una distribuidora de repuestos con 22 empleados.

El patrón más común empieza mucho antes de que aparezca la nota de rescate. Un correo de phishing logra que alguien entregue sus credenciales, o una vulnerabilidad sin parchar permite acceso directo. El atacante — o el kit automatizado que compró — se mueve lateralmente dentro de la red, identificando qué sistemas son más críticos, y en muchos casos exfiltra información antes de cifrar nada, preparando el terreno para una doble extorsión. Solo entonces se activa el cifrado, generalmente fuera de horario laboral, cuando hay menos posibilidad de que alguien lo note a tiempo.

No hay una medida única que elimine el problema, pero estas son las que más impactan en la práctica:

Un ataque de ransomware que compromete datos personales activa además obligaciones legales específicas — revisa nuestra guía sobre cuándo es obligatorio reportar un ciberataque en Colombia y sobre lo que dice la Ley 1273 frente al daño informático.