¿Qué es la doble extorsión?
Durante años, un ataque de ransomware era conceptualmente simple: cifraban tus archivos y pedían dinero para devolvértelos. La doble extorsión le añadió una segunda amenaza que lo cambia todo. Antes de cifrar nada, los atacantes roban una copia de tus datos sensibles y se la llevan; recién entonces cifran tus sistemas. Eso les da dos palancas para forzar el pago: por un lado, no podrás operar hasta recuperar el acceso; por otro, amenazan con publicar o vender la información robada si no pagas. La consecuencia es incómoda: aunque restaures todo desde tus respaldos y vuelvas a trabajar esa misma tarde, los delincuentes siguen teniendo tu información. Lo que empezó como un problema de «no puedo acceder a mis archivos» se convierte también en uno de «mis datos confidenciales pueden acabar en internet». Y no es una rareza: para 2024, alrededor del 96% de los incidentes de ransomware ya incluían exfiltración de datos, así que hoy es prácticamente la norma.
¿Por qué surgió? De cifrar a robar
La razón es puro cálculo criminal. A medida que más empresas adoptaron buenos respaldos, descubrieron que podían restaurar y negarse a pagar, y los grupos de ransomware vieron caer sus ingresos. Necesitaban una palanca que los respaldos no neutralizaran, y la encontraron en el robo de datos. El grupo Maze fue el pionero de la doble extorsión de alto perfil en 2019, y dio un paso clave: creó el primer «sitio de filtración», un muro digital de la vergüenza donde publicaba los nombres de las víctimas que no cooperaban, muestras de los datos robados y cuentas regresivas. Convirtió así un ataque técnico en una crisis de reputación pública. Otros grupos —REvil, Clop, LockBit— copiaron rápidamente la táctica con sus propios sitios. Y la escalada no se detuvo: apareció la triple extorsión, que suma aún más presión, como ataques de denegación de servicio o el contacto directo con tus clientes, socios o las autoridades. El objetivo, en todas sus variantes, es el mismo: encarecer al máximo la decisión de no pagar.
Por qué cambia todo: respaldo no es confidencialidad
Aquí está la idea que más cuesta asimilar a quien confiaba en sus copias. Un respaldo protege la disponibilidad: gracias a él puedes restaurar tus sistemas y reanudar la operación sin pagar el rescate. Pero un respaldo no protege la confidencialidad: no puede deshacer el hecho de que una copia de tus datos ya salió por la puerta. Esa distinción es la que vuelve tan peligrosa a la doble extorsión, porque ataca justo el flanco que las copias no cubren. Y las consecuencias de la fuga son serias: exposición de datos de clientes y empleados, posibles sanciones según la normativa de protección de datos, demandas, y un daño reputacional difícil de revertir. Pagar tampoco resuelve esta mitad: estás confiando en que un delincuente borre lo que se llevó, sin ninguna garantía de que lo haga; bien podría conservarlo, venderlo o publicarlo más adelante. Es la misma trampa que analizamos en ¿pagar o no el rescate de ransomware?: el pago compra una promesa, no un resultado.
¿Cómo se desarrolla el ataque?
Entender la secuencia ayuda a defenderse, porque deja claro dónde se puede cortar. Un ataque de doble extorsión rara vez es instantáneo. Primero, el atacante obtiene acceso a la red —por un correo de phishing, una credencial robada, una vulnerabilidad sin parchear—. Luego se mueve lateralmente y se mantiene oculto, a veces durante semanas o meses, estudiando dónde están los datos valiosos. Durante ese tiempo los exfiltra en silencio, copiándolos al exterior con herramientas legítimas de transferencia para no levantar alarmas. Y solo al final, cuando ya tiene lo que quería, cifra los sistemas y deja la nota de rescate con las dos amenazas. Esa permanencia prolongada es justo lo que hace tan dañina la táctica: en 2024, el 56% de las organizaciones no detectó el ataque hasta pasados entre 3 y 12 meses. Cuanto antes se detecte ese movimiento sospechoso, menos datos alcanzan a salir, y por eso cómo se actúa en la primera hora tras un ransomware marca una enorme diferencia.
Cómo defenderse de las dos mitades
Como el ataque tiene dos frentes, la defensa también debe tenerlos. Para la disponibilidad, la respuesta es la de siempre, reforzada: copias de seguridad probadas y, sobre todo, una copia inmutable que el atacante no pueda cifrar ni borrar, de modo que siempre puedas restaurar sin pagar. Para la confidencialidad, hay que atacar la exfiltración antes de que se complete: segmentar la red para frenar el movimiento lateral, vigilar las transferencias salientes y las herramientas inusuales, aplicar el mínimo privilegio y la autenticación de varios factores, y contar con detección continua que dé la voz de alarma cuando algo se mueve raro. Y, llegado el incidente, tratarlo como lo que es —una brecha de datos—: con análisis forense para determinar qué se filtró y el cumplimiento de las obligaciones de notificación que correspondan. La defensa contra la mitad del cifrado se compra con respaldos; la defensa contra la mitad de la fuga se gana evitando que el robo ocurra.
El dato que ya salió no vuelve
Si algo deja claro la doble extorsión es que la prevención dejó de ser opcional. Una copia inmutable te devolverá la operación, pero ninguna tecnología puede «des-filtrar» un dato que ya está en manos ajenas; por eso el verdadero escudo es no dejar que salga. En Data Recovery Panama abordamos estos casos en sus dos dimensiones: recuperamos la información por vías técnicas para que vuelvas a operar, y preservamos la evidencia para entender el alcance de la fuga y sostener lo que venga después. Y como el riesgo es especialmente agudo en el tejido empresarial local, lo contextualizamos en ransomware en Panamá y las pymes. La conclusión es directa: ante un atacante que roba antes de cifrar, ganar tiempo y visibilidad es tan importante como tener buenas copias. Porque el laboratorio que recupera también protege.
Preguntas frecuentes
Es la táctica de robar una copia de los datos sensibles antes de cifrarlos. Así, el atacante tiene dos palancas: no podrás operar hasta descifrar, y amenazará con publicar o vender lo robado si no pagas. Aunque restaures desde tus respaldos, la información ya está en sus manos. Para 2024, alrededor del 96% de los ataques de ransomware incluían exfiltración de datos.
No del todo. Los respaldos protegen la disponibilidad: te permiten restaurar y volver a operar. Pero no protegen la confidencialidad: los datos que se llevaron siguen en poder del atacante y pagar no garantiza que los borren. Por eso un ataque moderno hay que tratarlo como una brecha de datos, no solo como una caída de sistemas.
El atacante entra en la red, se mueve lateralmente y permanece oculto, a veces semanas o meses. Durante ese tiempo identifica y exfiltra los datos valiosos en silencio. Solo entonces cifra los sistemas y deja la nota de rescate con ambas amenazas. De hecho, en 2024 el 56% de las organizaciones no detectó el ataque hasta pasados entre 3 y 12 meses.
Es una vuelta de tuerca: además de cifrar y amenazar con publicar los datos, los atacantes suman más presión, como ataques de denegación de servicio (DDoS) o contactar directamente a tus clientes, socios o a las autoridades. El objetivo es siempre el mismo: aumentar el coste de no pagar.
Con dos frentes. Para la disponibilidad, copias inmutables y probadas que permitan restaurar sin pagar. Para la confidencialidad, evitar y detectar la exfiltración: segmentar la red, vigilar las transferencias salientes, aplicar el mínimo privilegio y MFA, y contar con detección continua. Y tratar el incidente como una brecha, con análisis forense para saber qué se filtró.