El ransomware es una de las formas de ciberataque más destructivas. Arruina a empresas, obliga a hospitales a rechazar a pacientes y paraliza gobiernos. Se ha convertido en la actualidad en una de las ciberamenazas más peligrosas. Solo el año pasado, Estados Unidos sufrió más de 65 000 ataques de ransomware. Esta amenaza es una preocupación para la mayoría de los CISO y se ha convertido en un problema de seguridad nacional. Y lo que es todavía más alarmante, muchas organizaciones se encuentran totalmente desarmadas para hacer frente a un ataque de ransomware. Solo el 13 % de los expertos de TI entrevistados por el Ponemon Institute afirmaron que su empresa es capaz de prevenir un ataque de ransomware. Y más del 68 % se consideran "vulnerables" o "muy vulnerables".

Los mensajes de correo electrónico y la web son los principales vectores de ataque del ransomware. Actualmente, la mayoría de esos ataques se llevan a cabo en varias fases. El correo electrónico o los sitios web comprometidos juegan un papel fundamental en las primeras fases de la cadena de ataque. A menudo, distribuyen una payload (carga útil) en forma de descargador de malware. Esta carga está diseñada para penetrar en el sistema de un usuario, con el fin de robar credenciales de conexión y acceder a la red del usuario. Los operadores de ransomware también practican el robo de credenciales de conexión para acceder a servicios expuestos a Internet. Las tácticas más comunes incluyen los mensajes de correo electrónico de phishing, los ataques por fuerza bruta de contraseñas y los compromisos por descarga desapercibida.

Una vez conseguido el acceso inicial, los responsables del ransomware establecen la persistencia, realizan una misión de reconocimiento y se mueven lateralmente. Desde dentro, los ciberdelincuentes no solo pueden cifrar archivos confidenciales, sino que también pueden filtrar información sensible para utilizar en tácticas de doble extorsión.