El ransomware es un malware que cifra los sistemas de una víctima y exige un pago a cambio de la clave de descifrado. Durante años, las copias de seguridad fueron la defensa principal: restaurabas tus sistemas y seguías adelante sin pagar.

Eso dejó de funcionar cuando los atacantes comenzaron a robar datos antes de cifrarlos. Esta táctica se llama doble extorsión.

La doble extorsión es un tipo de ataque de ransomware que golpea a las organizaciones con dos problemas a la vez: datos robados y sistemas bloqueados. Los atacantes primero roban información confidencial y luego implementan ransomware para extorsionar un pago.

Incluso las organizaciones que recuperan sus sistemas a partir de copias de seguridad siguen expuestas. Los datos robados corren el riesgo de ser publicados, vendidos o usados para más extorsión, sin importar si la organización paga el rescate. El grupo de ransomware Maze fue pionero en este enfoque en 2019, al filtrar públicamente datos de víctimas que se negaron a pagar.

La táctica se propagó rápido porque funciona. Las copias de seguridad ya no neutralizan la amenaza, así que más víctimas terminan pagando. Hoy, la doble extorsión se ha convertido en el modelo de ataque de ransomware dominante. Según el Informe de Ransomware T3 2025 de BlackFog, el 96% de los ataques de ransomware involucran doble extorsión.

Cómo se desarrollan los ataques de doble extorsión, desde el acceso hasta la exfiltración

Los ataques de doble extorsión suelen seguir un patrón similar, y hay varios puntos donde se pueden detectar antes de que ocurra el cifrado.

La mayoría de los ataques comienzan con correos de phishing, credenciales robadas o vulnerabilidades explotadas. Una vez dentro, los atacantes realizan reconocimiento para mapear la red y detectar información valiosa, como registros financieros o propiedad intelectual.

Después viene la preparación y exfiltración de datos. Los atacantes comprimen y transfieren datos a almacenamiento externo con herramientas como Rclone, presente en el 57% de los incidentes de exfiltración de ransomware, según una investigación de ReliaQuest.

Una vez que tienen los datos en sus manos, los cibercriminales los cifran y pasan a las tácticas de extorsión. Ahora cuentan con dos formas de presión, y el reloj corre.

Ransomware de extorsión múltiple y triple extorsión: una amenaza en escalada

Algunos atacantes van incluso más lejos. El ransomware de triple extorsión se basa en el modelo de doble extorsión, típicamente amenazando con lanzar ataques DDoS que interrumpen la red de la víctima, contactar directamente a clientes o socios cuyos datos fueron robados, o reportar la brecha a los reguladores antes de que la víctima pueda hacerlo. El objetivo es hacer que negarse a pagar sea aún más doloroso que ceder.

Ransomware as a service (RaaS) ha hecho estas tácticas más viables. Grupos como DragonForce y Akira les facilitan a los atacantes ejecutar ataques complejos sin construir su propia infraestructura.

Reducir el impacto del ransomware significa detectar la actividad del atacante lo antes posible y responder rápido. En Huntress Managed EDR, Process Insights monitorea el comportamiento sospechoso de procesos en los endpoints, Ransomware Canaries ayuda a detectar actividad de cifrado malicioso, y Aislamiento del Host puede restringir la actividad de red en endpoints infectados mientras el Huntress SOC investiga y responde.

El acceso masivo a archivos es uno de los indicadores tempranos más claros de exfiltración de datos: cuando una cuenta o proceso lee de repente muchos más archivos de lo normal, ese patrón resalta. Las transferencias salientes grandes hacia un servicio en la cloud como Dropbox son otra señal de alerta, en particular cuando una herramienta como Rclone está presente en el entorno.

Los actores de amenazas dependen de credenciales robadas para moverse lateralmente entre sistemas y acceder a datos sensibles. Luego escalan privilegios para acceder a sistemas financieros, plataformas de RR. HH. y bases de datos de clientes. Los patrones de autenticación inusuales y los intentos de acceso repetidos entre sistemas apuntan a una intrusión activa.

Para los líderes de TI y tecnología, el riesgo no termina cuando los sistemas vuelven a estar en línea. Los datos robados generan una responsabilidad que va más allá del ataque. Un requisito de notificación de brecha no desaparece solo porque restauraste desde las copias de seguridad. Tampoco desaparecen una investigación regulatoria, una demanda colectiva, ni el daño a tu reputación tras un anuncio público. Aquí te mostramos algunas formas en que estos ataques afectan a las empresas.

Consecuencias regulatorias y legales del robo de datos

Cuando se trata de datos regulados, la exfiltración confirmada activa obligaciones de generación de informes obligatorias. Según el Reglamento General de Protección de Datos (GDPR), las organizaciones en la UE generalmente tienen 72 horas para notificar a las autoridades de supervisión después de tomar conocimiento de una brecha de datos personales que lo amerite. De lo contrario, enfrentan multas de hasta €20 millones o el 4% de los ingresos anuales de la empresa.

Para las brechas que involucran datos médicos, la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) exige notificar al Departamento de Salud y Servicios Humanos de EE. UU. dentro de los 60 días. No informar genera multas, generación de informes obligatoria en medios y daño reputacional.

Los reguladores evalúan las sanciones según si la organización contaba con los controles y la gobernanza adecuados, no según si pagó el rescate o recuperó los datos. La responsabilidad legal sigue la misma lógica. Las demandas colectivas vinculadas a brechas de datos ocurren cada vez con más frecuencia, con acuerdos que llegan a los millones.

Pagar el rescate tampoco elimina esta exposición. No hay garantía de que los actores de amenazas vayan a eliminar lo que robaron, y pagar el rescate no borra el deber de la empresa de informar la brecha.

A continuación, algunos casos de estudio que muestran las consecuencias negativas de los ataques de doble extorsión.

Change Healthcare: pagar el rescate no fue suficiente

A principios de 2024, ALPHV/BlackCat usó credenciales comprometidas para acceder a un portal de acceso remoto de Change Healthcare sin autenticación multifactor (MFA). Días después, implementaron ransomware. Andrew Witty, director ejecutivo de UnitedHealth Group, declaró ante el Congreso que la organización pagó un rescate de $22 millones. A pesar de ese pago, los datos robados reaparecieron después con RansomHub, un grupo de RaaS, que los usó para un segundo intento de extorsión. Según registros públicos, el costo total asciende a miles de millones de dólares.

Las credenciales robadas dieron a los atacantes acceso autenticado a información médica personal, registros de seguros y datos financieros. Los patrones de autenticación inusuales y el movimiento lateral durante el período de permanencia fueron señales de advertencia, pero sin visibilidad de endpoints las 24 horas, los 7 días de la semana, pasaron desapercibidos hasta que se ejecutó el cifrado.

Qilin y Synnovis: cuando los datos de salud se convierten en una herramienta de presión

El 3 de junio de 2024, el grupo de ransomware Qilin atacó a Synnovis, un proveedor de servicios de patología para varios hospitales del NHS en Londres. Según Bleeping Computer, Qilin obtuvo credenciales de administrador, se movió por la red y robó datos antes de cifrarlos.

Synnovis se negó a pagar el rescate de $50 millones, y Qilin publicó 400 GB de datos robados. Más de 1.100 cirugías electivas se cancelaron en las primeras dos semanas, y la interrupción se ha vinculado desde entonces con al menos una muerte de un paciente.

El abuso de credenciales y el movimiento lateral fueron las señales de advertencia durante la fase previa al cifrado. Los investigadores forenses confirmaron que los atacantes se movieron por el entorno, pero no pudieron determinar cómo obtuvieron esas credenciales en primer lugar.

Las organizaciones que sufren un ataque deben tomar medidas para responder con rapidez y cumpliendo la normativa:

• Aísla los sistemas afectados de inmediato: Desconecta los dispositivos comprometidos para detener el movimiento y cortar el robo activo de datos.
• Preserva los registros antes de que se borren: Los actores de amenazas suelen eliminar evidencia. Asegurar los registros a tiempo ayuda a tu equipo de respuesta a incidentes a identificar qué datos se robaron. Con esta información, pueden cumplir con los plazos de los requisitos de generación de informes y descubrir cómo los actores de amenazas entraron a tus sistemas.
• Desarrolla procedimientos de respuesta: La Guía de ransomware de CISA ofrece procedimientos de respuesta paso a paso que vale la pena tener listos antes de que ocurra un ataque.
• Piensa bien antes de pagar: Como demostró el caso de Change Healthcare, pagar no garantiza la eliminación de los datos y puede provocar más extorsión.

Para cuando se despliega el ransomware, ya perdiste los datos. La verdadera oportunidad para detener un ataque de doble extorsión es antes, cuando los actores de amenazas todavía se están moviendo por tu entorno buscando qué vale la pena robar.

Ahí es donde entra Huntress Managed Endpoint Detection and Response (EDR). En lugar de esperar firmas de malware conocidas, los analistas del Huntress Security Operations Center (SOC) monitorean la telemetría de endpoints de las funciones de Managed EDR, como Process Insights, ransomware canaries, Aislamiento del Host y detecciones enfocadas en movimiento lateral, para identificar y contener amenazas activas.

Cuando aparecen esos patrones, el SOC de Huntress, disponible 24/7 y asistido por IA, se encarga.

Para las organizaciones sin un equipo de seguridad dedicado, esa velocidad de respuesta es la diferencia entre detener un ataque durante el período de latencia y descubrirlo por una nota de rescate.

Las copias de seguridad resuelven un problema: restauran el acceso. Pero no hacen nada por los datos que ya se filtraron o vendieron. Las multas regulatorias, la responsabilidad legal y el daño a la reputación no desaparecen cuando los sistemas vuelven a funcionar. La única defensa que realmente importa es detectar el ataque antes de que se ejecute el cifrado.

Para una cobertura más amplia, el Huntress Managed Security Platform también incluye Managed ITDR for Microsoft 365 and Google Workspace, Managed SIEM, Managed Security Awareness Training, Managed ISPM y Managed ESPM.

Explora Managed EDR de Huntress para ver cómo la detección puede detener a los atacantes a tiempo.