Todo ataque de ransomware comienza de la misma forma: un atacante encuentra una manera de entrar. Eso puede ser mediante credenciales robadas, un correo de phishing, una conexión de escritorio remoto expuesta o una vulnerabilidad sin parchar. El TTR empieza a contar en el momento en que ocurre ese acceso y se detiene en el momento en que se despliega el ransomware.

Entre esos dos puntos, los actores de amenazas están ocupados. Pueden moverse lateralmente por la red, escalar privilegios, deshabilitar herramientas de seguridad, extraer credenciales o robar datos antes de activar el payload del ransomware. Según el Informe de ciberamenazas 2026 de Huntress, el TTR promedio en los incidentes de seguridad fue de casi 17 horas, y los grupos de ransomware realizaron en promedio 18 acciones antes de activar el payload del ransomware.

Ese promedio, sin embargo, oculta mucha variación. Algunos atacantes tuvieron un TTR promedio de apenas poco más de cuatro horas después de obtener el acceso inicial, lo que significa que cada minuto cuenta una vez que un actor de amenazas está dentro. El TTR está estrechamente relacionado con un concepto llamado tiempo de permanencia: el tiempo que un atacante permanece en tu entorno antes de ser detectado y eliminado.

La guía federal de la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) y el Centro Multiestatal de Análisis e Intercambio de Información (MS-ISAC), incluida su Guía conjunta #StopRansomware, se enfoca en reducir tanto la probabilidad como el impacto de los incidentes de ransomware y extorsión de datos mediante buenas prácticas de preparación, prevención y respuesta.

Por qué el TTR sigue reduciéndose

No todos los actores de amenazas trabajan de la misma manera, y su TTR lo refleja. Algunos grupos priorizan la velocidad. Entran ya sabiendo qué herramientas y defensas usa el objetivo, despliegan el ransomware rápidamente y luego presionan a la víctima para que pague antes de que el equipo de seguridad pueda reaccionar. Otros grupos adoptan un enfoque más lento y deliberado, y pasan más tiempo dentro de la red para robar datos, deshabilitar copias de seguridad o borrar registros antes de activar el cifrado.

Hay varios factores que están reduciendo el TTR promedio en general:

• Manuales de ataque preconstruidos. Muchos grupos de ransomware siguen métodos probados, lo que reduce las conjeturas y el tiempo necesario para moverse dentro de una red.
• Automatización. Herramientas más rápidas y automatizadas significan menos pasos manuales entre obtener acceso y desplegar el ransomware.
• Evasión de defensas. Algunos actores de amenazas aceleran intencionalmente su cronograma, precisamente porque sospechan que las herramientas de ciberseguridad podrían detectarlos si se quedan demasiado tiempo.
• Ransomware como servicio (RaaS). Los afiliados que usan kits de RaaS suelen seguir procesos estandarizados y ágiles creados por los desarrolladores de ransomware con los que trabajan.