Justo antes del fin de semana festivo de Semana Santa, Marks & Spencer sufrió una de las peores filtraciones de ransomware que el país ha visto en los últimos años. Otros grandes minoristas como Co-op no tardaron en seguirles la pista. El impacto financiero total de estos dos incidentes... es estimado por hasta 440 millones de libras.

Sin embargo, lo cierto es que la mayoría del ransomware no se dirige a organizaciones de alto perfil como estas. En cambio, los actores de amenazas atacan a un mayor número de empresas más pequeñas, muchas de las cuales carecen de los recursos o la experiencia para defenderse adecuadamente. Como demuestra una nueva investigación, esto les está costando caro. Con la nueva legislación sobre ciberseguridad en camino, fortalecer la resiliencia debería ser una prioridad urgente.

Pagando por las narices

El Reino Unido ha sido durante mucho tiempo un objetivo principal para los actores de ransomware, gracias a su relativa riqueza y a su economía altamente digitalizada. Sin embargo, existe una gran diferencia entre sufrir una vulneración de ransomware y que sus datos sean robados o cifrados. Una mejor ciberseguridad y una mejor detección y respuesta pueden contribuir a mitigar significativamente el impacto. Desafortunadamente, esto no parece estar ocurriendo, según un estudio de Sophos.

La pestaña proveedor de seguridad encuestado más de 200 líderes de TI y ciberseguridad en el Reino Unido como parte de un estudio más amplio que abarca las respuestas de 3400 víctimas de ransomware. El estado del ransomware en el Reino Unido en 2025 revela que un asombroso 70% de las víctimas del Reino Unido tenían sus datos cifrados, una cifra mucho mayor que el promedio mundial del 50% y la cifra del 46% reportada por las víctimas del Reino Unido en 2024.

En ambos sentidos, esto es preocupante. Parece demostrar que menos víctimas de ransomware tienen la información necesaria sobre su entorno informático para comprender que han sido atacadas. La diferencia entre Co-op y M&S radica en que la primera invirtió en capacidades de respuesta a incidentes, lo que detectó sospechas de intrusión y le permitió desconectar sus sistemas antes de que pudieran cifrarse. El impacto de la brecha resultante fue posteriormente menos grave.

Quizás como resultado, las víctimas del Reino Unido sintieron que no tenían otra opción que pagar a su extorsionador, un promedio del 103% del rescate exigido, una cifra muy superior al promedio mundial del 85%. Esto es aún más relevante porque la mediana de la demanda de rescate en el Reino Unido fue de 5.4 millones de dólares (3.9 millones de libras) el año pasado, más del doble de los 2.5 millones de dólares (1.9 millones de libras) reportados en la encuesta anterior. Alrededor del 89% de las demandas de rescate fueron de más de 1 millón de dólares, frente al 71% en 2024.

“Mi experiencia sugiere que la tasa de cifrado está estrechamente relacionada con la rapidez con la que se detecta un ataque y, a menudo, con la disponibilidad de ayuda externa de respuesta a incidentes con la suficiente antelación”, explica Chester Wisniewski, CISO de campo global de Sophos, a ISMS.online. “Las organizaciones con monitorización 24/7 y herramientas EDR/XDR suelen tener más éxito a la hora de detener los ataques en curso. Con demasiada frecuencia, las víctimas solo detectan el ataque cuando reciben la nota de rescate, lo cual es demasiado tarde”.

¿Dónde se están equivocando?

Vulnerabilidades explotadas (36%), correos electrónicos maliciosos (20%) y credenciales comprometidas (19%) fueron las principales causas de acceso inicial entre las víctimas de ransomware encuestadas por Sophos. Para abordar estas y otras amenazas, el proveedor de seguridad recomienda un plan de cuatro puntos:

Prevención: Reducir las causas técnicas y operativas más comunes de un ataque desarrollando resiliencia.

Protección: Proteja los puntos de entrada más comunes para los actores de ransomware, como los endpoints y los servidores. Las herramientas antiransomware especializadas ayudarán a bloquear y revertir el cifrado malicioso.

Detección y respuesta: Detenga y contenga un ataque lo antes posible, antes de que cause daños importantes. Las organizaciones que no puedan hacerlo internamente pueden utilizar la detección y respuesta gestionadas (MDR).

Planificación futura: Implemente un plan de respuesta a incidentes para optimizar la recuperación ante un ataque. Las copias de seguridad periódicas, tanto externas como fuera de línea, también acelerarán la recuperación.

Los ciberdelincuentes dirigen empresas altamente eficientes; buscan la mínima producción y el máximo beneficio, por lo que asegurar sus puertas digitales con doble cerrojo funciona como un elemento disuasorio considerable, argumenta Lauren Wilson, directora de tecnología de campo en Splunk. Pero no basta con prevenir; es necesario ser capaz de detectar, responder y recuperarse para mitigar realmente el impacto general del ransomware.

Es hora de alinearse

Los líderes de TI y seguridad del Reino Unido podrían necesitar revisar sus planes de resiliencia frente al ransomware a la luz de la nueva legislación. Nuevo proyecto de ley sobre ciberseguridad y resiliencia is establecido para prohibir Pagos de rescate para proveedores gubernamentales y de infraestructura crítica (CNI). Esto permitirá que nuevas organizaciones (como los MSP) se incorporen al alcance. Además, probablemente exigirá informes de incidentes más rápidos y completos, gestión de riesgos de terceros y una mayor seguridad en la cadena de suministro. Podría imponer multas más elevadas y, sin duda, otorgará más poder a los reguladores del sector. Además, busca una mayor alineación con las normas NIS 2, ISO 27001, ISO 27002 y otras normas y marcos de seguridad.

Esta es una gran oportunidad para quienes ya trabajan en la norma ISO 27001 para anticiparse a estos nuevos requisitos y reforzar su ciberresiliencia de forma rentable y rápida. Wilson declara a ISMS.online que estas normas están «diseñadas para aumentar la madurez cibernética de una manera que beneficie a todos».

Añade: «Algo que tienen en común normas como el NIST o la ISO 27001 es que ayudan a las organizaciones a centrarse en acertar con lo básico: control de acceso, parches periódicos, uso de autenticación multifactor y formación para todos los empleados. Aunque es más fácil decirlo que hacerlo, centrarse en estos aspectos básicos puede contribuir en gran medida a contrarrestar un alto porcentaje de ciberataques».

Wisniewski de Sophos está de acuerdo con el valor de los estándares de mejores prácticas.

“La gran mayoría de los ataques se pueden prevenir con controles básicos implementados de forma consistente en todo el sistema”, argumenta. “Nuestro último informe sobre Adversarios Activos muestra que la mayoría de los casos de ransomware comienzan con credenciales robadas o vulnerabilidades sin parchear, ambas cubiertas por marcos de cumplimiento normativo”.

Sin embargo, el cumplimiento no puede abordarse de forma aislada, concluye Wilson.

“Debe considerarse parte de una estrategia integral de ciberseguridad que abarque a las personas, los procesos y la tecnología”, concluye. “Las organizaciones deben invertir en resiliencia. Esto implica comprender el riesgo, construir defensas y garantizar que, si las operaciones se interrumpen, se minimice el tiempo de inactividad”.