Noticias
El mito del pago del ransomware, desmontado
15 de enero de 2026
«Solo páguelo y pase página» es el peor consejo más caro de la ciberseguridad. A partir de un año de trabajo de respuesta a incidentes, aquí tiene por qué pagar rara vez es barato, rápido ni silencioso.
Cuando golpea el ransomware, la propuesta de pagar es seductora: entregue el dinero, obtenga la clave, restaure el servicio, contenga la noticia. Suena como la opción pragmática que minimiza el coste. Tras un año de encargos de respuesta a incidentes, podemos decir con franqueza que esa imagen es un mito en todos sus aspectos. Pagar rara vez es barato, rara vez es rápido y casi nunca es silencioso.
Pagar no es barato
El rescate es solo la cifra de partida. En nuestros encargos, las organizaciones que pagaron seguían incurriendo en la mayoría de los costes que esperaban evitar —investigación, reconstrucción de sistemas en los que ya no podían confiar, tiempo de inactividad, gastos legales y de notificación— además del propio pago. La clave de descifrado no deshace la brecha; solo, a veces, desbloquea archivos. Aun así, debe asumir que el atacante tuvo plena libertad de movimiento en su entorno y responder en consecuencia.
Pagar no es rápido
Los descifradores que suministran los atacantes son a menudo lentos, defectuosos e incompletos. Hemos visto recuperaciones mediante un descifrador comprado tardar más de lo que habría tardado una recuperación a partir de copias de seguridad limpias, porque la herramienta procesaba los archivos con lentitud, corrompía algunos y se saltaba otros en silencio. Está confiando la recuperación a un software escrito por las mismas personas que acaban de atacarle.
- Algunos archivos no se descifrarán en absoluto.
- Los conjuntos de datos grandes pueden tardar días en procesarse.
- La «clave» a veces llega parcial, o no llega.
Pagar no es silencioso
La esperanza de que el pago compre silencio rara vez se sostiene. Muchos actores ahora exfiltran datos antes de cifrar y usan la amenaza de publicación como segunda palanca, y pagar una vez le marca como una organización que paga, lo que invita a nuevas visitas. Los deberes regulatorios de notificación pueden aplicarse con independencia de si pagó, de modo que el incidente no se mantiene privado solo porque los archivos hayan vuelto.
En nuestros encargos, las organizaciones que se recuperaron más rápido y más barato fueron casi siempre las que nunca tuvieron que negociar, porque tenían copias de seguridad probadas y sin conexión y un plan ensayado.
El cálculo honesto
Nada de esto pretende moralizar. Existen casos límite genuinos —una clínica sin copias de seguridad viables y con vidas en juego— en los que la decisión es angustiosa y legítima. Pero son excepciones y, aun entonces, el pago compra mucha menos certeza de la que la gente supone.
El punto estratégico es que la decisión de pagar se gana o se pierde mucho antes del incidente. Invierta en copias de seguridad probadas, segmentadas y sin conexión; ensaye su recuperación; y eliminará la palanca que hace que pagar parezca atractivo en primer lugar. El rescate más barato es el que nunca tiene que plantearse.
