Ransomware en empresas dominicanas: cómo funciona y cómo protegerse

Qué es el ransomware y por qué le importa a tu empresa en RD

Ransomware es un tipo de programa malicioso que cifra los archivos de tu empresa — documentos, bases de datos, correos, todo — y luego exige un pago para devolverte el acceso. Es básicamente un secuestro digital.

Lo que hace años era un problema casi exclusivo de grandes corporaciones y gobiernos, ahora afecta a pymes de 10, 20, 30 empleados en todo el mundo. Y en República Dominicana no es la excepción.

El motivo es directo: los atacantes han automatizado sus herramientas. Ya no necesitan apuntar manualmente a cada víctima — sus sistemas escanean miles de empresas en busca de vulnerabilidades conocidas y atacan las que las tienen. Una pyme en Santo Domingo con el servidor desactualizado, sin segmentación de red y sin backup verificado es exactamente el tipo de objetivo que buscan.

Por qué las pymes dominicanas son el blanco preferido

Hay tres razones principales que hacen a las empresas medianas y pequeñas de RD más vulnerables que las grandes.

Primero, menos inversión en seguridad. Una empresa grande tiene un equipo de ciberseguridad, políticas formales y herramientas de detección activa. Una pyme de 25 empleados en Santo Domingo tiene, en el mejor caso, un antivirus instalado. Los atacantes lo saben.

Segundo, mayor probabilidad de pagar. Una empresa pequeña no tiene semanas para recuperar sus sistemas desde cero. Si pierde acceso a su información, puede perder contratos, clientes y reputación. Esa presión hace más probable que pague el rescate — que suele estar entre USD$2,000 y USD$15,000 en el rango de pymes.

Tercero, superficies de ataque sin gestionar. Equipos sin actualizar, contraseñas débiles o reutilizadas, empleados con acceso a sistemas que no necesitan, sin VPN para trabajo remoto, servidores con puertos expuestos directamente a internet. Cada uno de esos puntos es una puerta.

Cómo entra el ransomware en una empresa dominicana

El vector más común no es un hacker sofisticado que explota código oscuro. Es mucho más ordinario que eso.

Un empleado recibe un correo que parece de un proveedor o del banco, hace clic en un enlace, descarga un archivo. Ese archivo instala un programa que durante días o semanas se mueve silenciosamente por la red, identifica dónde están los datos más importantes, y cuando está listo — cifra todo.

Otro vector frecuente en el mercado local: acceso remoto (RDP) con credenciales débiles. Muchas empresas en RD tienen el escritorio remoto de Windows abierto directamente a internet para que los empleados puedan conectarse desde casa. Si la contraseña es débil o fue parte de una filtración previa, los atacantes entran sin necesitar ningún engaño.

Un caso que vimos hace meses: una empresa de servicios profesionales en Santo Domingo con 18 empleados. Un archivo adjunto en un correo aparentemente de su banco. El ransomware cifró el servidor de archivos y las copias de seguridad locales — que estaban conectadas en red — en menos de cuatro horas. Perdieron acceso a tres años de contratos y documentación de clientes. El backup externo que tenían estaba desactualizado en seis meses.

Las tres capas de protección que marcan la diferencia

No existe la seguridad perfecta. Lo que sí existe es hacer que un ataque sea más difícil de ejecutar y más fácil de recuperar cuando ocurre.

EDR (Endpoint Detection and Response). No es lo mismo que un antivirus tradicional. Un antivirus detecta amenazas conocidas por firma — si el malware es nuevo o está modificado, no lo ve. Un EDR analiza el comportamiento del programa en tiempo real: si algo empieza a cifrar archivos masivamente, lo detecta y lo detiene antes de que complete el daño. Herramientas como CrowdStrike, SentinelOne o Microsoft Defender for Business hacen esto. El costo para una pyme puede estar entre USD$5 y USD$15 por equipo al mes — menos que una hora de daño.

Backup externo verificado y desconectado. Este es el punto más importante. Un backup que está conectado a la misma red que los equipos puede ser cifrado junto con todo lo demás. El backup que salva a una empresa es el que está fuera de la red — en la nube, en un disco que se desconecta después de hacer la copia, o en ambos. Y más importante: que alguien haya probado restaurarlo recientemente.

Segmentación de red. Si todos los equipos de tu empresa están en la misma red plana, cuando el ransomware entra desde el equipo de un empleado puede moverse libremente hasta el servidor. La segmentación divide la red: los equipos de usuarios en una VLAN, los servidores en otra, los dispositivos IoT en otra. Así el movimiento lateral del atacante se limita. Implementarlo en una red pequeña puede tomarse uno o dos días de trabajo técnico — y cambia significativamente el radio de daño de un ataque.

Qué hacer si ya te atacaron

Si el ransomware ya se activó en tu empresa: desconecta inmediatamente los equipos afectados de la red. No apagues el servidor — solo desconéctalo físicamente de la red. Llama a un técnico de seguridad antes de intentar cualquier cosa por tu cuenta. No pagues el rescate sin consultar — en algunos casos hay herramientas de descifrado disponibles, y pagar no garantiza que devolverán acceso.

La recuperación depende casi completamente de lo que tenías preparado antes. Empresas con backup externo actualizado se recuperan en horas o días. Las que no lo tienen, en semanas — o no se recuperan.

Si quieres evaluar la postura de seguridad actual de tu empresa, conoce el servicio de ciberseguridad para pymes de Support IT — EDR, segmentación de red y backup verificado gestionados por nuestro equipo local.

¿Quieres saber si tu empresa necesita este servicio? Support IT ofrece un diagnóstico gratuito en Santo Domingo. Agenda aquí o escríbenos por WhatsApp.