Los ataques de ransomware crecieron un 150% en Latinoamérica durante 2025. México se posicionó como el segundo país más atacado de la región, solo detrás de Brasil. En SITELSEG respondimos a 12 incidentes de ransomware el año pasado, y estos son los patrones que observamos.
Variantes más activas en 2026
- LockBit 4.0: Sigue siendo el grupo más prolífico. Han evolucionado a un modelo de triple extorsión: cifrado + robo de datos + DDoS al negocio
- BlackCat (ALPHV): Escrito en Rust para mayor velocidad de cifrado. Apuntan a infraestructura VMware
- Cl0p: Especializado en explotar vulnerabilidades zero-day en software empresarial (MOVEit, GoAnywhere)
- Akira: Grupo emergente que apunta a VPNs Cisco sin parchar y dispositivos de red
Vectores de entrada más comunes
- Phishing dirigido (spear phishing): Correos que suplantan a proveedores, clientes o directivos (40% de los incidentes)
- RDP expuesto: Puertos 3389 abiertos a Internet con contraseñas débiles (25%)
- Vulnerabilidades sin parchar: Servidores Exchange, VPN appliances, firewalls desactualizados (20%)
- Credenciales robadas: Compradas en la dark web por dumps previos (15%)
Las 7 capas de defensa que recomendamos
Capa 1: Backup inmutable
La última línea de defensa. Con Acronis Cyber Protect configurado con inmutabilidad, incluso si el ransomware cifra tus servidores, tus respaldos permanecen intocables. Implementamos la regla 3-2-1 con copia offsite en Azure Blob Storage.
Capa 2: EDR/XDR (Detección y Respuesta)
SentinelOne con módulo de Rollback permite revertir automáticamente los cambios del ransomware en endpoints. Para empresas más grandes, implementamos un XDR completo que correlaciona eventos de red, endpoints y nube.
Capa 3: Firewall NGFW con inspección SSL
Fortinet FortiGate con las suscripciones de UTM activas: antivirus, IPS, web filtering y sandboxing para detectar archivos maliciosos antes de que lleguen al endpoint.
Capa 4: Protección de correo
El 40% de los ataques entran por email. Microsoft Defender for Office 365 con Safe Links y Safe Attachments analiza cada correo y archivo adjunto en un sandbox antes de entregarlo.
Capa 5: Segmentación de red
Si un endpoint se compromete, la segmentación evita que el ransomware se propague a toda la red. Implementamos VLANs por departamento y microsegmentación con políticas de firewall este-oeste.
Capa 6: Gestión de parches
Automatizamos la aplicación de parches críticos dentro de las primeras 72 horas de publicación. Las vulnerabilidades conocidas sin parchar son el regalo que los atacantes siempre aprovechan.
Capa 7: Cultura de seguridad
Simulaciones de phishing mensuales, capacitación obligatoria trimestral y un canal de reporte de incidentes fácil de usar. La concientización reduce la tasa de clic de phishing del 68% al 12% en 6 meses.
¿Qué hacer si ya fuiste atacado?
1. No pagues el rescate. No hay garantía de que te devuelvan los datos. 2. Aísla los sistemas afectados desconectándolos de la red. 3. Contacta a tu proveedor de seguridad (como SITELSEG) para respuesta a incidentes. 4. Preserva la evidencia para análisis forense.