Cómo cobran las bandas de ransomware: la economía del rescate

El ransomware no es un problema de hacking con un pago añadido. Es un negocio con un problema de cobro, y el cobro es lo único que importa. Sigue el dinero y las bandas dejan de parecer genios en la sombra y empiezan a parecer lo que son: una franquicia, sus contratistas y una cadena de suministro de blanqueo que las fuerzas del orden y los analistas de blockchain leen cada vez más como un libro de cuentas abierto.

Si alguna vez te enfrentas a la decisión de pagar, la herramienta de legalidad y cobertura del pago de rescates de PlayCISO repasa primero las preguntas sobre sanciones y seguros.

La franquicia: el ransomware como servicio

El ransomware moderno funciona con un modelo de ransomware como servicio (RaaS) que imita las licencias de software legítimas. Un operador central mantiene el malware, el sitio de filtraciones, el portal de negociación y el programa de afiliados. Los afiliados hacen las intrusiones y el despliegue, y reparten las ganancias con el operador. Los rangos que recogen la investigación de los proveedores y los chats filtrados sitúan la parte del afiliado en torno al 70-80 por ciento, y el operador se queda el resto como comisión de plataforma por las herramientas y la infraestructura.

Un tercer papel se sitúa antes en la cadena: el intermediario de acceso inicial (initial access broker, IAB). Los IAB se especializan en conseguir y vender puntos de apoyo (credenciales de VPN válidas, RDP expuesto, dispositivos perimetrales sin parchear) para que un afiliado pueda comprar la entrada en lugar de ganársela. Esta división del trabajo explica la resistencia del ecosistema. Desmantelar a un afiliado no afecta al operador; sancionar a un operador no retira a los afiliados, que simplemente cambian de marca y se afilian a otro.

Conocemos esta economía con un detalle poco habitual gracias a las filtraciones de Conti de 2022, cuando alguien de dentro publicó años de chats internos. Revelaron desarrolladores con sueldo, quejas al estilo de recursos humanos, gestión del rendimiento y objetivos de ingresos: una organización, no una banda. Toma eso como punto de partida del análisis: te enfrentas a una empresa.

Cómo se fija y se negocia la exigencia

Las exigencias de rescate no se sacan de la nada. Los afiliados estudian a las víctimas antes de cifrar, leyendo estados financieros, pólizas de ciberseguro y cifras de ingresos para calibrar un importe que duela pero que parezca pagable. La doble extorsión (cifrar los datos y amenazar con filtrar las copias robadas) les permite exigir el pago incluso a víctimas con buenas copias de seguridad, porque restaurar no deshace el robo de los datos.

La negociación es un proceso con guion. Las víctimas (o las empresas de respuesta a incidentes y de negociación que contratan) entran en un portal de chat y regatean; son habituales descuentos de una buena parte de la cifra inicial, porque esa primera cifra es un ancla de negociación, no una expectativa. Algunas bandas ofrecen a sus afiliados servicios de depósito en garantía y de soporte para arbitrar internamente las disputas por los repartos. Nada de esto cambia la postura defensiva: las empresas de negociación existen para ganar tiempo, evaluar la credibilidad del actor y gestionar la exposición a sanciones, no para garantizar un buen resultado.

Las vías: Bitcoin, Monero y por qué

La mayoría de las exigencias se siguen expresando en Bitcoin, por la misma razón por la que la mayor parte del comercio se expresa en dólares: liquidez y convertibilidad. Pero el libro de cuentas público de Bitcoin es un registro permanente y global de cada transacción, que es justo lo que aprovechan los investigadores. Por eso muchas bandas prefieren Monero, o cobran un recargo si no se paga en él: es una moneda de privacidad que oculta por diseño los importes y las partes. La contrapartida es la fricción: Monero es más difícil de adquirir y de convertir en efectivo a gran escala, así que Bitcoin sigue siendo la opción por defecto pese a su transparencia.

La idea errónea principal que los consejos deberían desaprender es que las criptomonedas son anónimas. Son seudónimas. Las direcciones no son nombres, pero el flujo de fondos entre ellas es público para siempre, y cada punto en el que las criptomonedas tocan el sistema financiero tradicional es una posible identificación.

Cómo se mueve el dinero, y cómo se le sigue la pista

A nivel analítico, blanquear las ganancias del ransomware significa poner distancia entre la dirección del rescate y una cuenta bancaria: los fondos se reparten entre muchos monederos, pasan por servicios de mezcla o de intercambio de monedas, saltan entre cadenas y, al final, se cambian por efectivo mediante exchanges de criptomonedas o intermediarios extrabursátiles (OTC). Este blog no ofrece una guía operativa de nada de eso, y no le hace falta, porque la historia más útil para los defensores es cómo se detecta y se interrumpe cada paso.

Las empresas de análisis de blockchain como Chainalysis y TRM Labs agrupan direcciones, etiquetan los monederos conocidos de delincuentes y de servicios, y rastrean los flujos incluso a través de los mezcladores que se supone que deben romperlos. El historial publicado muestra que funciona una y otra vez:

• Colonial Pipeline (2021). Tras el ataque de DarkSide, el Departamento de Justicia de EE. UU. rastreó y recuperó la mayor parte del rescate en Bitcoin: la prueba de que pagar no es una puerta de un solo sentido una vez que los investigadores siguen la cadena.
• Desmantelamiento de mezcladores. La OFAC sancionó en 2022 el servicio de mezcla Tornado Cash (la designación se levantó en marzo de 2025 después de que un tribunal federal de apelación fallara en contra del Tesoro), y las fuerzas del orden incautaron ChipMixer en 2023, una señal de que la propia infraestructura de blanqueo es un objetivo, no solo las bandas que la usan.
• Puntos de estrangulamiento en los exchanges. Las normas de conocimiento del cliente (KYC) de los exchanges regulados son el punto donde las monedas seudónimas se encuentran con identidades reales. Los exchanges sancionados y las vías de salida especializadas en convertir en efectivo dinero delictivo han sido designados y aislados de la banca corresponsal.

Los informes Crypto Crime de Chainalysis, descritos en términos generales, muestran unos ingresos del ransomware elevados pero volátiles de un año a otro, y una proporción de víctimas que pagan cada vez menor con el tiempo, algo coherente con mejores copias de seguridad, una mayor cautela legal y el efecto disuasorio de las incautaciones.

La capa de sanciones y seguros

Pagar un rescate puede ser ilegal en sí mismo. Los avisos de la OFAC advierten de que, si el actor o su infraestructura figuran en una lista de sanciones, pagar (o facilitar un pago como aseguradora, negociador o banco) puede infringir las sanciones de EE. UU. bajo un régimen de responsabilidad objetiva. Por eso la atribución importa antes de cualquier decisión de pago, y por eso el asesor legal y las fuerzas del orden deben estar en la sala. Las aseguradoras de ciberriesgos han respondido endureciendo los requisitos de controles, examinando con lupa las decisiones de pago y, en algunos casos, excluyendo directamente los pagos a actores sancionados.

Qué significa esto para los defensores y los consejos

El replanteamiento estratégico es este: el ransomware es un negocio, así que hay que atacar su economía.

• Quita la palanca. Unas copias de seguridad probadas, fuera de línea o inmutables, más la segmentación de la red, convierten un suceso que podría acabar con la empresa en una mala semana. Si puedes restaurar, el cifrado pierde su poder; la segmentación limita, para empezar, cuánto puede alcanzar y robar un afiliado.
• Trata el pago como una decisión legal y de sanciones, no técnica. Implica pronto a respuesta a incidentes, al equipo legal y a las fuerzas del orden; comprueba la exposición a la OFAC antes de entablar contacto; y asume que pagar nunca garantiza la recuperación y puede financiar a actores sancionados o vinculados al terrorismo.
• Gestiona la relación con la aseguradora antes del incidente. Conoce lo que exige tu póliza, lo que cubre y lo que excluye: hoy la suscripción da por hecho que la MFA, las copias de seguridad y la segmentación ya están implantadas.
• Apuesta por la transparencia. Los mismos libros de cuentas públicos de los que dependen las bandas son los que permiten a los investigadores recuperar los fondos. Los consejos deberían financiar los controles que hacen que un ataque no sea rentable en lugar de apostar por un pago discreto.

Las bandas cobran a través de una cadena de suministro profesional de operadores, afiliados, intermediarios y blanqueadores. Esa profesionalidad es también su punto débil: cada traspaso deja un registro, y los defensores que ganan son los que consiguen que toda la empresa no merezca el esfuerzo.