El ransomware como servicio (RaaS) es un modelo de negocio criminal en el que los desarrolladores de ransomware alquilan su malware e infraestructura a «afiliados», que ejecutan los ataques a cambio de una parte del rescate.
Cómo funciona el RaaS
Los operadores crean y mantienen toda la infraestructura:
- el cifrador y el descifrador;
- el portal de pago y el chat de negociación;
- el sitio de filtraciones.
Los afiliados entran en las redes de las víctimas y despliegan el ransomware. A menudo compran el acceso a intermediarios de acceso inicial o usan credenciales robadas por infostealers.
El rescate se reparte y, normalmente, el afiliado se queda con el 70–80 %. Algunos programas tienen anuncios de reclutamiento, equipos de soporte y reglas, como la prohibición de atacar ciertos países o sectores.
Por qué el RaaS es importante
El RaaS convirtió el ransomware en una industria. Los desarrolladores más capaces ya no necesitan hackear a nadie, y afiliados de nivel medio obtienen herramientas profesionales. Programas conocidos son REvil, DarkSide, Conti, LockBit y BlackCat (ALPHV). Cuando se desmantela una marca, los afiliados se pasan a otra y el número de ataques apenas baja.
Las fuerzas del orden han logrado éxitos notables:
- en febrero de 2024, la operación Cronos incautó la infraestructura y el sitio de filtraciones de LockBit y publicó claves de descifrado;
- BlackCat desapareció con una estafa de salida («exit scam») tras cobrar, según se informó, un rescate de 22 millones de dólares de Change Healthcare.
Como los afiliados usan distintas vías de entrada, los ataques bajo una misma marca pueden ser muy diferentes.
Cómo protegerse
- Cierre los puntos de entrada habituales: RDP y VPN expuestos, dispositivos perimetrales sin parchear y credenciales robadas.
- Busque señales de intrusión manual antes del cifrado: nuevas cuentas de administrador, herramientas de acceso remoto, transferencias masivas de datos.
- Mantenga copias de seguridad aisladas y un contrato con un equipo de respuesta a incidentes.
- Denuncie los ataques a la policía: la infraestructura incautada a veces proporciona descifradores gratuitos.
