El negocio de hackear empresas para cobrarles el rescate

El ransomware negocio cibercrimen es hoy una de las industrias ilegales más rentables del planeta. No hablamos de hackers solitarios en habitaciones oscuras, sino de organizaciones con estructura de empresa, recursos humanos, soporte técnico y hasta políticas de «atención al cliente». Si alguien te dijera que hay grupos criminales que ofrecen devolución del dinero si el descifrador no funciona bien, probablemente no te lo creerías. Pero ocurre. Y ocurre con una frecuencia que debería hacernos pensar en cómo hemos llegado hasta aquí.

Qué es el ransomware y por qué se convirtió en un negocio

El ransomware es un tipo de software malicioso que cifra los archivos de una víctima y exige un pago, normalmente en criptomonedas, a cambio de la clave que permite recuperarlos. La mecánica es sencilla de entender: entras, bloqueas, cobras. Lo que no es tan sencillo es la escala a la que esto opera hoy en día.

El primer caso documentado data de 1989. Un biólogo llamado Joseph Popp distribuyó veinte mil disquetes infectados entre asistentes a una conferencia sobre el SIDA. El malware bloqueaba el sistema y pedía dinero a una dirección postal en Panamá. Fue torpe, fue primitivo, pero fue el primer ensayo de una idea que treinta años después mueve miles de millones de dólares al año.

Lo que transformó el ransomware en un negocio real fue la aparición de las criptomonedas. Bitcoin y sus derivados permitieron cobrar rescates de forma casi anónima y difícilmente rastreable. De repente, el mayor problema logístico del crimen organizado digital, cómo cobrar sin que te pillen, quedó resuelto. Las criptomonedas fueron el combustible que convirtió una amenaza menor en una industria global.

A esto se sumó la profesionalización. Los grupos dejaron de actuar por su cuenta y empezaron a construir estructuras. Hoy existen organizaciones con departamentos diferenciados: unos desarrollan el malware, otros lo distribuyen, otros negocian con las víctimas y otros se encargan de blanquear el dinero. Igual que una empresa de tecnología, pero al otro lado de la ley.

El modelo Ransomware como Servicio: cuando el crimen se franquicia

Uno de los fenómenos más inquietantes de la última década es lo que se conoce como Ransomware as a Service, o RaaS. El concepto es exactamente lo que parece: los creadores del malware lo alquilan a terceros, que lo usan para atacar víctimas y luego comparten un porcentaje de los beneficios con los desarrolladores.

El modelo de negocio replica el de cualquier franquicia. El desarrollador aporta el producto, la infraestructura y el soporte. El afiliado aporta el acceso a las víctimas. La comisión habitual oscila entre el 20 y el 30 por ciento para el creador, dejando el resto para quien ejecuta el ataque. Esto ha democratizado el cibercrimen de una manera que hubiera sido impensable hace dos décadas: ahora no hace falta saber programar para lanzar un ataque de ransomware.

Grupos como LockBit, BlackCat o Conti operaron, y algunos siguen operando, exactamente bajo este esquema. Conti llegó a tener más de cien empleados con salarios regulares, vacaciones pagadas e incluso evaluaciones de rendimiento. Sus conversaciones internas, filtradas tras la invasión rusa de Ucrania en 2022, revelaron una organización que parecía más una startup tecnológica que una banda criminal. La filtración de Conti fue un espejo incómodo para la industria de la ciberseguridad.

Esto encaja con algo que ya se ve en otros ámbitos digitales: cuando falsificar o manipular internet se convierte en un negocio estructurado, las reglas del mercado empiezan a aplicarse también al crimen. La eficiencia escala, los costes bajan, los beneficios suben.

Cuánto dinero mueve el ransomware

Las cifras son difíciles de precisar porque muchas víctimas no denuncian los ataques, ya sea por vergüenza, por miedo al daño reputacional o porque prefieren pagar y olvidar. Pero las estimaciones disponibles son elocuentes.

Según Chainalysis, empresa especializada en análisis de blockchain, en 2023 los pagos verificados por ransomware superaron los mil cien millones de dólares. Y eso es solo lo rastreable en la cadena de bloques. La cifra real, incluyendo pagos no detectados o realizados fuera de blockchain, podría ser significativamente mayor.

El ataque al oleoducto Colonial Pipeline en 2021 obligó a pagar cuatro millones y medio de dólares en bitcoin en cuestión de horas. Ese mismo año, el ataque a JBS, el mayor procesador de carne del mundo, costó once millones de dólares en rescate. Hospitales, ayuntamientos, universidades, aseguradoras… ningún sector ha quedado al margen.

Y aquí es donde el debate se complica: atacar infraestructuras críticas como hospitales no solo tiene consecuencias económicas. Hay casos documentados en los que sistemas médicos bloqueados por ransomware retrasaron tratamientos urgentes. La línea entre el cibercrimen y algo mucho más grave se vuelve borrosa.

Cómo entran: el talón de Aquiles que nadie quiere mirar

La pregunta que más se hace cualquier persona cuando oye hablar de estos ataques es: ¿cómo es posible que accedan a sistemas tan importantes? La respuesta, casi siempre, es incómoda: la mayoría de los ataques empiezan por un error humano.

Un correo de phishing bien diseñado. Un empleado que usa la misma contraseña en su cuenta personal y en la del trabajo. Un software sin actualizar desde hace meses. Una conexión a escritorio remoto mal configurada. Los atacantes no necesitan exploits sofisticados cuando las puertas están abiertas.

Existe también un mercado secundario de accesos comprometidos. En foros de la dark web se venden credenciales robadas de empresas, accesos a redes corporativas, cuentas de administrador con privilegios elevados. Es el equivalente criminal a un mercado inmobiliario: alguien consigue la llave, la vende, y otro decide qué hacer con ella. El robo de identidad digital ya no siempre empieza con tu contraseña: a veces empieza con tu biometría, tu comportamiento o datos que ni siquiera sabías que habías compartido.

Otra vía de entrada, menos conocida pero creciente, son los propios proveedores de software. Si un atacante compromete una empresa que distribuye actualizaciones a miles de clientes, puede infectar a todos ellos de golpe. Es lo que ocurrió con el ataque a SolarWinds en 2020, que afectó a agencias gubernamentales de Estados Unidos y a cientos de empresas privadas. Un solo punto débil en la cadena de suministro puede convertirse en una puerta de entrada masiva.

La negociación: así se paga un rescate

Cuando una empresa descubre que sus sistemas han sido cifrados, lo primero que aparece en pantalla es una nota de rescate. El texto varía, pero el mensaje es siempre el mismo: tienes un plazo, si no pagas perdemos la clave y tus datos son irrecuperables. Algunos grupos añaden una presión extra: amenazan con publicar los datos robados si no se paga. Es la llamada «doble extorsión».

Lo que mucha gente no sabe es que después de ese primer mensaje suele comenzar una negociación. Las grandes organizaciones criminales tienen equipos dedicados a negociar. Hablan por chat, responden con rapidez, a veces hacen descuentos, ofrecen extensiones del plazo. Han aprendido que una víctima que puede pagar pero no sabe cómo es dinero perdido, así que también explican paso a paso cómo comprar bitcoin.

Han surgido empresas legales especializadas en gestionar estas negociaciones. Se llaman «mediadores de ransomware» y cobran una comisión por conseguir mejores condiciones o verificar que el descifrador funciona antes de pagar. Es un nicho de negocio que no existía hace diez años y que hoy factura millones. El cibercrimen ha generado su propio ecosistema de servicios legales.

Pagar o no pagar es la pregunta que toda víctima se hace. Las autoridades, en general, recomiendan no pagar: porque alimenta el negocio, porque no garantiza recuperar los datos y porque, en algunos casos, pagar a ciertos grupos puede ser ilegal si están sancionados internacionalmente. Pero cuando una empresa tiene sus sistemas bloqueados y su supervivencia en juego, la teoría choca con la realidad.

Quién está detrás y dónde operan

Identificar a los responsables es extraordinariamente difícil, pero no imposible. Las investigaciones de las fuerzas de seguridad han señalado repetidamente a Rusia, Europa del Este y algunos países de Asia Central como bases de operaciones. No porque los gobiernos de esos países organicen los ataques, sino porque ofrecen un entorno en el que los criminales pueden operar con relativa impunidad.

Existe una especie de regla no escrita en algunos de estos grupos: no atacar a empresas o instituciones de países de la Comunidad de Estados Independientes, el bloque de repúblicas exsoviéticas. Muchos programas maliciosos comprueban el idioma del sistema antes de activarse y se detienen si detectan ruso o ucraniano. Es una forma de mantener una relación implícita de tolerancia con las autoridades locales.

Las operaciones de desmantelamiento existen y a veces tienen éxito. En 2021, las autoridades estadounidenses recuperaron parte del rescate pagado por Colonial Pipeline. En 2022, Europol coordinó arrestos de afiliados de REvil en varios países. En 2024, una operación internacional golpeó la infraestructura de LockBit. Pero los grupos se reconstituyen, cambian de nombre y vuelven. La historia del malware más destructivo es, en parte, la historia de una guerra de desgaste en la que los atacantes siempre pueden reagruparse.

El papel de los seguros y el debate que incomoda a la industria

Uno de los factores que más ha contribuido al crecimiento del ransomware es, paradójicamente, el seguro cibernético. Las empresas contratan pólizas que cubren el pago de rescates. Los atacantes lo saben. Y lo tienen en cuenta a la hora de fijar el precio.

Se ha documentado que algunos grupos investigan si la víctima tiene seguro antes de negociar. Si la tienen, el rescate sube. Es una lógica de mercado perfectamente racional desde su perspectiva: el asegurado puede pagar más, así que se le cobra más. El seguro, diseñado para proteger, puede haber inflado los precios del rescate y, con ello, incentivado más ataques.

Este debate tiene consecuencias regulatorias. Algunos países y estados están considerando prohibir o limitar los pagos de rescate, o al menos exigir que se notifiquen. El argumento es que si nadie paga, el negocio desaparece. El contraargumento es que muchas organizaciones, especialmente las pequeñas, sencillamente no sobrevivirían a perder sus datos sin posibilidad de recuperarlos. No hay una respuesta fácil. Igual que ocurre con los sistemas automatizados que toman decisiones que nos afectan sin que podamos cuestionarlos, aquí también la tecnología ha creado dilemas para los que la regulación va muy por detrás.

Inteligencia artificial y ransomware: lo que viene

Si el panorama actual ya es preocupante, las tendencias apuntan a que puede complicarse más. La inteligencia artificial está siendo utilizada por grupos criminales para automatizar y personalizar los ataques. Los correos de phishing generados por IA son significativamente más convincentes que los anteriores: sin errores ortográficos, con contexto específico de la empresa objetivo, con un tono que imita a un compañero real.

También se está usando IA para descubrir vulnerabilidades en software de forma más rápida y escalar los ataques. Lo que antes requería semanas de trabajo manual puede hacerse en horas. La automatización del cibercrimen reduce el coste de atacar y aumenta el número potencial de víctimas.

Por el lado defensivo, la IA también se usa para detectar comportamientos anómalos en redes, identificar patrones de cifrado masivo antes de que se complete y responder más rápido a incidentes. Pero existe una asimetría fundamental: los atacantes solo necesitan tener éxito una vez. Los defensores necesitan tener éxito siempre. Esa ecuación no cambia con la IA, solo se acelera.

En este contexto, la privacidad de los datos cobra otra dimensión. Lo que las grandes plataformas saben de nosotros no es solo una cuestión de privacidad comercial: esos datos, si caen en manos equivocadas, son también un mapa detallado de vulnerabilidades personales y corporativas. Y cuantos más datos circulan, mayor es la superficie de ataque.

¿Estamos pagando el precio de haber construido un mundo demasiado conectado sin pensar en las consecuencias?

El ransomware no es una anomalía. Es el síntoma de algo más profundo: hemos construido una infraestructura digital global sobre fundamentos de seguridad frágiles, hemos conectado todo sin preguntar si debíamos, y hemos creado incentivos económicos que favorecen la velocidad sobre la solidez. El cibercrimen prospera en los huecos que dejamos cuando priorizamos el crecimiento sobre la responsabilidad.

No es solo un problema técnico. Es un problema de diseño, de regulación, de cultura organizacional y de incentivos económicos mal alineados. Las empresas que no invierten en seguridad porque «nunca nos ha pasado nada» están apostando a que la suerte dure para siempre. Y las instituciones que siguen usando sistemas obsoletos porque actualizarlos es caro están acumulando una deuda que, tarde o temprano, alguien cobrará.

La pregunta que queda en el aire no es técnica: es hasta qué punto estamos dispuestos a exigir que la seguridad digital sea tratada con la misma seriedad que la seguridad física. Porque cuando un hospital queda bloqueado por ransomware y un paciente no recibe su tratamiento a tiempo, ya no estamos hablando de dinero. Estamos hablando de algo mucho más difícil de recuperar. Y eso debería cambiar la conversación.

Preguntas frecuentes