Por qué el ransomware golpea más fuerte en Latinoamérica

La pregunta está mal planteada

Cuando una organización de la región sufre un ransomware, la conversación se va rápido a "¿cómo entraron?". Es la pregunta natural y casi siempre tiene la misma respuesta aburrida: una credencial válida, un acceso remoto expuesto, o un sistema sin parchear que alguien tenía en la lista de pendientes.

La pregunta más útil es otra: ¿por qué tardamos tanto en volver?

En los casos que hemos atendido, el vector de entrada rara vez es exótico. Lo que distingue a una organización que vuelve a operar en dos días de otra que tarda tres semanas no es la sofisticación del atacante. Son cuatro condiciones que se pueden revisar hoy.

Cuatro condiciones que alargan la recuperación

1. Respaldos que comparten destino con la producción

El patrón más repetido: los respaldos están en la misma red, accesibles con las mismas credenciales, montados como una unidad más. El atacante que llega al servidor de archivos llega al respaldo en el mismo movimiento.

La regla clásica —tres copias, dos medios, una fuera de línea— sigue vigente precisamente porque el ransomware la ataca. La copia inmutable o fuera de línea no es un lujo: es la diferencia entre restaurar y negociar.

2. Nadie sabe qué restaurar primero

Cuando todo está cifrado, la pregunta "¿por dónde empezamos?" paraliza. Sin un orden acordado previamente, cada área presiona por lo suyo y se restaura por volumen de quejas, no por impacto en el negocio.

Esto se resuelve con una lista. Literalmente una lista ordenada de sistemas, hecha en frío, con el negocio en la sala. Cuesta una reunión.

3. Dependencias invisibles

El ERP no arranca porque necesita el controlador de dominio. El controlador no arranca porque necesita el DNS. El DNS está en una máquina virtual cuyo hipervisor también está cifrado.

Estas cadenas solo se descubren durante el incidente, cuando cada hora cuesta. Documentarlas es tedioso y es exactamente el trabajo que nadie prioriza hasta que lo necesita.

4. El vacío de la noche y el fin de semana

Los ataques se despliegan cuando hay menos gente mirando. Una organización sin cobertura continua puede tener seis u ocho horas de propagación libre antes de que alguien se dé cuenta.

No siempre significa contratar un SOC. A veces significa que alguien reciba las alertas críticas en el móvil y sepa a quién llamar.

Lo que sí es particular de la región

Dos factores estructurales aparecen con frecuencia en nuestra experiencia:

Infraestructura heredada con soporte vencido. Sistemas que sostienen operación crítica y que ya no reciben parches. Reemplazarlos es caro, y el cálculo de riesgo suele hacerse contra el costo del reemplazo, no contra el costo de dos semanas parados.

Equipos de TI pequeños y polivalentes. La misma persona que administra la red atiende el soporte a usuarios y gestiona los respaldos. No es falta de competencia: es falta de horas. La seguridad compite con lo urgente, y lo urgente siempre gana.

Qué cambiar primero

Si tuviéramos que elegir una sola cosa: probar una restauración completa. No revisar que el respaldo diga "correcto". Restaurar un sistema entero en un entorno aislado y verificar que arranca.

Ese ejercicio descubre, de golpe, las cuatro condiciones de arriba. Y descubrirlas un martes cualquiera cuesta infinitamente menos que descubrirlas durante un incidente.