Doble extorsión: por qué el ransomware moderno cifra y roba tus datos

¿Qué es exactamente la doble extorsión?

Durante años, el plan contra el ransomware cabía en una frase: "ten buenos respaldos y nunca pagarás". Te cifraban los archivos, restaurabas de un backup y seguías operando.

Los atacantes cambiaron la jugada. Hoy, antes de cifrar nada, se llevan una copia de tu información sensible: datos de clientes, contratos, nóminas, propiedad intelectual. Entonces, aunque restaures todo, te dicen: "Recupera tu operación… pero tengo tus datos y los publico si no pagas". Ese segundo candado es la doble extorsión. Nació en 2019 con el grupo Maze, el primero en publicar los datos robados de una víctima que se negó a pagar. En meses, casi todas las operaciones de ransomware copiaron la táctica.

¿Qué tan común es realmente? (los datos)

No es teórico ni de nicho. Es el patrón estándar actual:

• El robo de datos es rutinario. Según BlackFog, el 96% de los ataques de ransomware en el Q3 2025 involucraron exfiltración. Mandiant confirma la misma tendencia: en su reporte M-Trends 2025, el 35% de las intrusiones investigadas tuvo motivación financiera, y el ransomware estuvo presente en el 21% de esos casos.
• Las pymes son blanco frecuente: el DBIR 2025 de Verizon encontró ransomware en el 88% de las brechas de pequeñas y medianas empresas.

Lectura para TI: si tu empresa sufre ransomware hoy, lo más probable es que también sea una fuga de datos. Son dos problemas, no uno.

¿Por qué ya no me salva solo tener respaldos?

Porque el respaldo resuelve el cifrado, no el robo. Recuperas tu operación, sí, pero la información ya salió. Y ahí empiezan los daños que un backup no toca: daño reputacional, multas regulatorias por exposición de datos personales y pérdida de confianza de clientes.

Peor aún: la extorsión "solo datos" (sin cifrado) pasó del 2% al 22% de los casos de respuesta a incidentes en un solo año, según Arctic Wolf. Algunos grupos ya ni cifran: solo roban y amenazan con filtrar. Contra eso, un backup no hace nada.

¿Cómo me defiendo de las dos amenazas a la vez?

No hay una sola herramienta. Se defiende por capas:

Respaldo inmutable y ciberbóveda con air-gap virtual

Copias que nadie puede modificar ni borrar, ni un administrador con credenciales robadas, aisladas de la red. Tu garantía contra el cifrado (no contra la filtración; por eso no va solo).

EDR/XDR con detección de comportamiento anómalo

Detecta conductas raras (un usuario que descarga gigas a medianoche) y corta el ataque antes de que robe. El reporte de Unit 42, Palo Alto Networks (2025) encontró que el cuartil más rápido de atacantes exfiltra en apenas 72 minutos, frente a los 285 minutos del año anterior.

El CrowdStrike 2026 Global Threat Report suma otra señal de velocidad: el 82% de las detecciones en 2025 fueron “malware-free” (el atacante entró con credenciales robadas y herramientas legítimas, no con un virus), y la exfiltración empezó en cuestión de minutos tras el acceso inicial. Una aclaración importante: los reportes de fabricantes de EDR/XDR (Unit 42, CrowdStrike) miden qué tan rápido ataca el adversario; los reportes de respuesta a incidentes (Mandiant, IBM) miden el impacto y el costo después del hecho. Son métricas distintas y complementarias, no deben mezclarse como si fueran el mismo dato.

Plan de respuesta probado con RTO y RPO medidos

Saber cuánto tardas en volver y cuántos datos puedes perder, y haberlo ensayado, no improvisarlo el día del incidente.

A esto se suma reducir la puerta de entrada: la mayoría de los ataques empiezan por phishing o credenciales robadas.

Preguntas frecuentes

¿Debo pagar el rescate en un ataque de doble extorsión?

Es una decisión de negocio y legal, no solo técnica. Pagar no garantiza que borren tus datos ni que no vuelvan: el 93% de las víctimas que pagaron sufrió robo de datos de todas formas, y el 83% fue atacada de nuevo. La mejor posición es no necesitar pagar: respaldo inmutable más un plan de respuesta probado. Ver CrowdStrike, 2025 State of Ransomware Survey

¿Qué industrias son más atacadas con doble extorsión?

Manufactura, salud, servicios financieros, gobierno y TI. La manufactura es la más golpeada porque un paro de producción genera presión para pagar rápido.

¿Cuánto tiempo pasa entre el robo y el cifrado?

Varía. Históricamente los atacantes permanecían días o semanas, pero los más rápidos hoy exfiltran en minutos. Por eso la detección en tiempo real es clave.

¿Afecta a las pequeñas empresas o solo a las grandes?

A ambas. Las pymes son blanco frecuente porque suelen tener controles más débiles y parches más lentos. El tamaño no protege; la preparación sí.

Tu siguiente paso

En ISA Sistemas Avanzados evaluamos tu exposición real al ransomware de doble extorsión y diseñamos la defensa por capas que tu operación necesita. Empieza con el ISA Security Check: diagnóstico de 2 horas, alineado a NIST CSF 2.0 e ISO/IEC 27001, sin agentes, sin impacto a producción y sin costo. Reporte ejecutivo y plan priorizado en 5 días hábiles.