Comprender RaaS y prevenir ataques de ransomware

Puntos Clave

• RaaS es un modelo de afiliación: los operadores construyen y mantienen la infraestructura de ransomware y de pago, los afiliados ejecutan las intrusiones y ambas partes se reparten cada rescate, generalmente en una proporción de entre 70/30 y 80/20 a favor del afiliado.
• Los intermediarios de acceso inicial (IAB, por sus siglas en inglés) desempeñan una función especializada independiente que vende credenciales robadas o puntos de acceso a la red a afiliados de RaaS, acortando así el tiempo entre la vulneración de la seguridad y el cifrado.
• La doble extorsión, que consiste en cifrar los datos y robar una copia para amenazar con una filtración pública, es ahora la táctica habitual en el ámbito del RaaS (Research as a Service); algunas campañas añaden un tercer punto de presión, como una amenaza de ataque DDoS o contactar directamente con los clientes de la víctima (triple extorsión).
• RansomHub, una de las marcas de RaaS (Ransom as a Service) más activas entre 2024 y principios de 2025, dejó de operar el 1 de abril de 2025; según se informa, sus afiliados se trasladaron a Qilin y otros grupos reclamaron partes de su infraestructura.
• Akira, Qilin y Medusa figuraron entre las operaciones de ransomware como servicio (RaaS) más activas registradas hasta 2025, representando en conjunto la mayoría de los incidentes de ransomware observados, mientras que LockBit sigue afectado pero no eliminado tras la Operación Cronos de las fuerzas del orden en febrero de 2024.
• El informe de Verizon de 2025 sobre investigaciones de filtraciones de datos reveló que el ransomware estuvo presente en el 44 % de las filtraciones en general y en el 88 % de las filtraciones en pequeñas y medianas empresas, incluso cuando los pagos de rescate promedio y medianos reportados disminuyeron en 2025.

Publicado: julio de 2023. Actualizado: agosto de 2026. Revisado por el equipo de seguridad de Encryption Consulting.

¿Qué es el ransomware como servicio (RaaS) y cómo funciona el modelo de afiliados?

El ransomware como servicio (RaaS) es un modelo de negocio delictivo en el que un grupo de desarrolladores, a menudo llamados operadores, crea y mantiene un ransomware, un portal de negociación y pago, y un sitio web para la filtración de datos. Posteriormente, alquila este conjunto de herramientas a afiliados a cambio de una comisión por cada rescate recaudado. Es la contraparte maliciosa del software como servicio: en lugar de suscribirse a un software de productividad, un afiliado se suscribe a un kit de ransomware funcional y a la infraestructura necesaria para ejecutarlo, sin tener que escribir ni una sola línea de código malicioso.

La cadena de suministro de RaaS (Ransomware as a Service) generalmente involucra tres roles distintos. Los operadores desarrollan la carga útil de cifrado, administran el panel de afiliados, alojan el sitio de filtración utilizado para presionar a las víctimas que no pagan y, a menudo, gestionan las negociaciones del rescate. Los afiliados son los atacantes que realmente irrumpen en la red de una víctima, se mueven lateralmente, desactivan las copias de seguridad y despliegan la carga útil; se quedan con la mayor parte de cada rescate, comúnmente reportado en un rango de 70/30 a 80/20 a su favor, ya que el afiliado asume la mayor parte del riesgo operativo. Los agentes de acceso inicial (IAB, por sus siglas en inglés) son una especialidad aparte: comprometen redes a través de phishing, protocolo de escritorio remoto (RDP) expuesto, dispositivos VPN vulnerables o herramientas de monitoreo y administración remota (RMM) expuestas, luego venden ese acceso a los afiliados en mercados criminales, lo que acorta el tiempo entre un compromiso de red y el despliegue de ransomware.

Esta división del trabajo es lo que hace peligroso el RaaS: un afiliado con poca experiencia que jamás podría escribir un ransomware funcional puede lanzar un ataque de doble extorsión técnicamente sofisticado contra una organización bien protegida, porque el trabajo de ingeniería ya se ha realizado y se vende como un servicio. Casi todas las operaciones actuales de RaaS utilizan la doble extorsión , cifrando los archivos de la víctima y extrayendo una copia de los datos confidenciales, para luego amenazar con publicar esos datos en un sitio de filtraciones si no se paga el rescate, lo que anula la antigua defensa de simplemente restaurar desde una copia de seguridad. Algunas campañas escalan a la triple extorsión , añadiendo un tercer punto de presión, como una amenaza de denegación de servicio distribuido (DDoS) contra los sistemas públicos de la víctima o el contacto directo con sus clientes, empleados o reguladores.

El ransomware distribuido mediante RaaS es solo una variante de una categoría más amplia que también incluye scareware (alertas falsas de malware que engañan al usuario para que pague por una supuesta solución fraudulenta), bloqueadores de pantalla (que bloquean el acceso al dispositivo en lugar de cifrar archivos) y cryptoware independiente creado y ejecutado por un solo grupo. RaaS se distingue de los tres porque es un modelo de negocio y un canal de distribución, no un tipo de carga útil: la misma plataforma RaaS puede utilizarse para implementar cifrado, robo de datos o ambos, según qué afiliado esté ejecutando el ataque.

¿Cómo ha evolucionado RaaS como modelo de negocio criminal? Una cronología.

El ransomware como servicio (RaaS) no surgió de la noche a la mañana; evolucionó desde el ransomware de un solo operador hasta convertirse en una economía criminal especializada y multipartita a lo largo de aproximadamente una década, y cada gran disrupción ha ido transformando qué grupos dominarán a continuación.

• 2016: Cerber es una de las primeras familias de ransomware ampliamente documentadas que se comercializa explícitamente como un servicio, permitiendo a los afiliados alquilar la carga útil y la infraestructura a cambio de una parte de los ingresos.
• 2018 a 2019: GandCrab se convirtió en una de las operaciones RaaS más prolíficas de su época; sus operadores anunciaron públicamente su retiro en 2019, y posteriormente los investigadores de seguridad vincularon gran parte de la red de afiliados y el linaje del código de GandCrab con el grupo RaaS que llegó a ser conocido como REvil (Sodinokibi).
• 2020 a 2021: REvil y DarkSide popularizaron la extorsión doble como práctica habitual en el modelo RaaS (Research Access Service). El ataque de DarkSide contra Colonial Pipeline en mayo de 2021 impulsó el RaaS, pasando de ser un tema de seguridad marginal a ocupar un lugar central en la atención de la seguridad nacional.
• Julio 2021: Los afiliados de REvil explotan una vulnerabilidad de día cero en Kaseya VSA, una herramienta de monitoreo y administración remota, para propagar ransomware a aproximadamente 60 proveedores de servicios administrados y hasta 1,500 empresas derivadas en un solo ataque a la cadena de suministro; consulte Encryption Consulting. Estudio de caso sobre el ataque al sistema VSA de Kaseya para ver la cronología completa verificada.
• 2022: Tras la postura de Conti sobre la guerra entre Rusia y Ucrania, se filtraron públicamente los registros de chats internos del grupo Conti RaaS, exponiendo la economía interna de las filiales, las herramientas y la estructura de gestión de una importante operación RaaS con un nivel de detalle sin precedentes.
• Febrero 2024: Una coalición internacional de fuerzas del orden, liderada por la Agencia Nacional contra el Crimen del Reino Unido y denominada Operación Cronos, se incautó de la infraestructura, el panel de afiliados y las claves de descifrado de LockBit, interrumpiendo la que había sido la marca RaaS más activa en ese momento; algunos elementos del grupo continuaron con una actividad limitada posteriormente.
• Abril 1, 2025: RansomHub, una de las marcas de RaaS más activas hasta 2024 y principios de 2025, desaparece; según se informa, sus afiliados se trasladan a Qilin, mientras que otros grupos afirman haber absorbido partes de su infraestructura.
• De 2025 a 2026: Akira, Qilin y Medusa se perfilan como algunas de las operaciones de ransomware como servicio (RaaS) más activas, vinculadas en conjunto a más de la mitad de los incidentes de ransomware observados en 2025, incluso cuando los pagos de rescate promedio y medianos reportados disminuyen con respecto a los niveles de 2024.

¿Qué tecnologías y sistemas suelen utilizar las empresas afiliadas a RaaS?

Los afiliados de RaaS se dirigen a lo que les proporciona el camino más rápido hacia un acceso amplio y privilegiado, generalmente a la infraestructura de acceso remoto y los sistemas de identidad expuestos a Internet, en lugar de a los puntos finales individuales. Los objetivos comunes incluyen dispositivos RDP y VPN expuestos, herramientas de monitoreo y administración remota (RMM) utilizadas por proveedores de servicios administrados, Active Directory y otra infraestructura de identidad, sistemas de copia de seguridad y instantáneas (deshabilitados o eliminados primero para eliminar la ruta de recuperación gratuita), almacenamiento en la nube y datos SaaS utilizados para la exfiltración en el lado de la doble extorsión, y certificados y claves de firma de código, que los atacantes roban u obtienen fraudulentamente para hacer que una carga útil o actualización maliciosa parezca firmada legítimamente, como se documenta en la cobertura de Encryption Consulting sobre el robo de claves de firma de código MSI de 2023.

¿Cuál es el impacto empresarial real de un ataque RaaS?

El coste de un ataque RaaS va mucho más allá de la propia exigencia de rescate, abarcando el tiempo de inactividad, la mano de obra para la recuperación, la exposición legal y el daño a la reputación. Los datos actuales muestran que tanto la frecuencia como la forma financiera de ese impacto cambian año tras año.

• El informe de Verizon de 2025 sobre investigaciones de filtraciones de datos reveló que el ransomware estuvo presente en el 44 % de las filtraciones en general, lo que supone un aumento del 37 % con respecto al año anterior, y en el 88 % de las filtraciones que afectaron específicamente a pequeñas y medianas empresas, frente al 39 % en las organizaciones más grandes.
• Sophos informó que el pago promedio de rescate en 2025 fue de aproximadamente 1 millón de dólares, una disminución del 50% con respecto al promedio de aproximadamente 2 millones de dólares reportado en 2024, mientras que la investigación de Palo Alto Networks para 2025 situó el pago medio de rescate en 267,500 dólares.
• En general, el volumen de ataques de ransomware siguió aumentando hasta 2025, incluso cuando los montos de los pagos disminuyeron, lo que los investigadores de amenazas generalmente atribuyen a que más organizaciones se niegan a pagar, junto con el crecimiento continuo en el número de afiliados y grupos RaaS activos.
• Más allá del pago directo, las organizaciones absorben los costos derivados de la respuesta a incidentes, la reconstrucción del sistema, la notificación a los organismos reguladores, la pérdida de clientes y, en casos de doble extorsión, el riesgo constante de que los datos filtrados se reutilicen en fraudes posteriores o en un segundo intento de extorsión.

¿Cuáles son las señales de alerta temprana de un ataque RaaS en curso?

La mayoría de las intrusiones en RaaS dejan señales detectables mucho antes de que comience el cifrado, y detectarlas en esta etapa es mucho más económico que la recuperación posterior al incidente. Los equipos de seguridad deben tratar cada uno de los siguientes indicadores como de alta prioridad, no como ruido rutinario:

• Instalación o uso inesperado de herramientas legítimas de acceso remoto o RMM que no fueron implementadas por el departamento de TI.
• Cuentas administrativas nuevas o modificadas, o eventos de escalada de privilegios fuera de un período de cambio.
• Herramientas de seguridad, agentes EDR o agentes de copia de seguridad deshabilitados, desinstalados o manipulados.
• Transferencias de datos salientes inusuales o conexiones a puntos finales de almacenamiento en la nube desconocidos, compatibles con datos preparados para su exfiltración antes del cifrado.
• Un aumento repentino en los intentos de autenticación fallidos, seguido de un movimiento lateral exitoso entre sistemas.
• Un certificado de firma de código inesperado o emitido recientemente, o una clave de firma utilizada desde una ubicación o sistema desconocido.
• Los archivos de prueba se renombran o se cifran parcialmente en un pequeño número de sistemas, lo que suele ser la última señal visible antes de un despliegue a gran escala.

¿Cómo pueden las organizaciones prevenir y remediar los ataques RaaS? Una lista de verificación numerada.

Ningún control por sí solo detiene todas las variantes de RaaS, ya que los afiliados eligen la vía de acceso más sencilla contra un objetivo determinado. Los siguientes pasos subsanan las deficiencias específicas en las que más confían los afiliados de RaaS y los intermediarios de acceso inicial, basándose en la guía general de Encryption Consulting sobre ransomware y cómo prevenir los ataques de ransomware.

1. Implemente la autenticación multifactor (MFA) en todas las vías de acceso remoto, incluidas las consolas RDP, VPN y RMM, y elimine la exposición directa a Internet de las interfaces de administración siempre que sea posible.
2. Aplique controles de acceso con privilegios mínimos y segmente la red para que una sola cuenta o inquilino comprometido no pueda acceder a todos los demás sistemas.
3. Mantenga copias de seguridad sin conexión o inmutables y pruebe la restauración completa con regularidad; una copia de seguridad que nunca se haya restaurado en un simulacro no es una ruta de recuperación verificada.
4. Supervise e inventaríe los certificados de firma de código y las claves privadas, y trate un certificado de firma inesperado o de reciente emisión como un posible indicador de compromiso, en lugar de una actividad rutinaria.
5. Mantenga actualizados los parches de RMM, VPN y la infraestructura perimetral mediante un acuerdo de nivel de servicio real vinculado a los avisos del proveedor, ya que estas son las herramientas a las que se dirigen en primer lugar los afiliados de RaaS y los IAB.
6. Implemente la detección y respuesta de punto final (EDR) o la detección y respuesta extendida (XDR) configuradas para detectar comandos de eliminación de copias de seguridad, cambios masivos de nombre de archivos y agentes de seguridad deshabilitados.
7. Realice simulaciones de phishing y capacitaciones sobre seguridad de forma regular, ya que el phishing sigue siendo uno de los puntos de entrada más comunes que utilizan las empresas de seguridad de la información para obtener las credenciales que luego venden.
8. Utilice pasarelas web seguras para identificar anuncios maliciosos y sitios de descarga automática que dirigen a los usuarios hacia programas de instalación de ransomware.
9. Programe evaluaciones de vulnerabilidad y pruebas de penetración periódicas en los sistemas conectados a Internet para subsanar las vulnerabilidades que detectan los analistas de seguridad de la información.
10. Elabore y ensaye un plan de respuesta ante incidentes antes de un ataque, que incluya cómo aislar los sistemas afectados, desactivar las puertas traseras identificadas y notificar a los reguladores y clientes dentro de los plazos requeridos.

Registro de actualización

Esta publicación se publicó originalmente en julio de 2023 como una explicación general de los tipos de ransomware y los conceptos básicos de RaaS. A partir de agosto de 2026, se ha reescrito sustancialmente: ahora comienza con una respuesta directa, agrega una línea de tiempo de fuente primaria de la evolución de RaaS como modelo de negocio, una evaluación de impacto basada en datos de pagos y brechas de 2025, una sección de acciones de detección, una lista de verificación de remediación numerada, una tabla de decisiones sobre el estado actual de grupos de RaaS notables, una sección de limitaciones, una pregunta frecuente y marcado de esquema actualizado. Los nombres y el estado de los grupos se han actualizado para reflejar el panorama de amenazas actual a finales de 2025 y mediados de 2026, incluido el cierre de RansomHub en abril de 2025 y la interrupción continua de LockBit después de la Operación Cronos, reemplazando el marco obsoleto de la era de 2021. Esta publicación es la explicación general de cómo funciona el modelo de negocio RaaS; Para obtener una retrospectiva detallada sobre un incidente real en la cadena de suministro relacionado con RaaS, consulte el estudio de caso de Kaseya VSA de Encryption Consulting.

Grupos RaaS destacados: situación a finales de 2025 y mediados de 2026

Grupo RaaS	Estado (Informes verificados más recientes)	Notas
BloqueoBit	Interrumpida, no eliminada	La infraestructura y el panel de afiliados fueron incautados en la Operación Cronos de las fuerzas del orden en febrero de 2024; desde entonces, la actividad limitada bajo el nombre de LockBit ha continuado.
RansomHub	Se oscureció	Una de las marcas de RaaS más activas desde 2024 hasta principios de 2025; sus operaciones cesaron el 1 de abril de 2025, y según se informa, sus filiales se trasladaron a Qilin y otros grupos.
Qilin	Activo, de alto volumen	Su relevancia aumentó notablemente tras el colapso de RansomHub en abril de 2025 y se situó entre las operaciones de RaaS (Ransom as a Service) más activas registradas hasta 2025.
Akira	Activo, de alto volumen	Se ha mantenido constantemente entre las operaciones de RaaS más activas por volumen de incidentes hasta 2025.
Medusa	Activo	Figura entre las operaciones de RaaS más activas registradas en los informes de amenazas de 2025.

Limitaciones

Los nombres, afiliaciones y estado operativo de los grupos RaaS cambian rápidamente: los grupos cambian de marca, se dividen tras disputas internas o reaparecen con nuevos nombres tras una intervención policial. Por lo tanto, el estado que se muestra arriba refleja la información pública verificada más reciente disponible al momento de esta actualización y no se garantiza que esté vigente cuando el lector acceda a esta página. Los porcentajes de reparto de ingresos entre operadores y afiliados tampoco están estandarizados en el sector; el rango de 70/30 a 80/20 citado aquí es el que suelen reportar los investigadores de seguridad, no una cifra revelada por ningún grupo. Los promedios y las medianas de los pagos de rescate varían significativamente según la fuente de datos, el sector y el tamaño de la organización, por lo que las cifras anteriores deben interpretarse como tendencias generales en lugar de puntos de referencia universales precisos. Los lectores que evalúen el riesgo actual deben confirmar el estado del grupo con una fuente de inteligencia de amenazas en tiempo real, como los avisos #StopRansomware de CISA, en lugar de basarse únicamente en este artículo.

¿Qué recomendaría Encryption Consulting?

Los ataques RaaS tienen éxito al combinar el acceso robado con el abuso de la confianza, ya sea que esta resida en una herramienta de acceso remoto, un sistema de identidad o un certificado de firma de código. Encryption Consulting trabaja con organizaciones para cerrar precisamente esas brechas:

• HSM como servicio Mantiene las claves de cifrado y de respaldo en hardware validado por FIPS 140-3, lo que proporciona a las organizaciones una ruta de recuperación y respaldo de claves resiliente contra la destrucción de datos provocada por ransomware, en lugar de un único punto de falla al que pueda acceder un afiliado.
• PKI como servicio y Administrador de CertSecure Proporcionar a los equipos de seguridad visibilidad continua de cada certificado en el entorno, de modo que un certificado no autorizado o anómalo utilizado para firmar una carga útil maliciosa se detecte en lugar de considerarse de confianza.
• CodeSign seguro Centraliza las claves de firma de código y exige la verificación antes de que se ejecute el código, lo que ayuda a bloquear cargas útiles maliciosas que dependen de una identidad de firma robada u obtenida fraudulentamente.
• Aviso sobre cifrado Nuestros servicios ayudan a las organizaciones a crear los manuales de segmentación, acceso con privilegios mínimos y respuesta a incidentes que requiere esta lista de verificación, respaldados por nuestras prácticas de prestación de servicios certificadas según las normas ISO/IEC 27001:2022 y SOC 2.

Conclusión

El ransomware como servicio transformó el ransomware, pasando de ser una habilidad técnica a un servicio de pago. Este cambio explica por qué el volumen de ataques sigue aumentando, incluso cuando se desmantelan grupos individuales. Comprender el modelo de afiliados, la economía de los intermediarios de acceso inicial y la extorsión doble y triple permite a un equipo de seguridad reconocer las señales tempranas de un ataque de ransomware como servicio, en lugar de solo la nota de rescate final. Los grupos mencionados en este artículo seguirán cambiando; la táctica subyacente —el acceso robado vendido a un afiliado que cifra y roba datos a cambio de una comisión— se ha mantenido notablemente constante durante una década. Por eso, los controles que lo combaten (fortalecimiento de la identidad, copias de seguridad probadas y monitorización de certificados y claves) siguen siendo la inversión adecuada, independientemente de la marca que esté activa este año.

Preguntas frecuentes

¿Qué significa RaaS y en qué se diferencia del ransomware común? RaaS significa Ransomware como Servicio. El ransomware común es creado e implementado por el mismo grupo; RaaS separa estas funciones: los operadores crean y alquilan el ransomware, mientras que los afiliados ejecutan los ataques a cambio de una parte de cada rescate. Su estructura es similar a la del Software como Servicio, que separa al proveedor del software del usuario final.

¿Cómo se les paga a los afiliados de RaaS y cuál es el reparto típico de ingresos? Los afiliados suelen quedarse con la mayor parte de cada pago de rescate, generalmente entre un 70/30 y un 80/20 a su favor, mientras que el resto se destina al grupo operador por el ransomware, la infraestructura y el portal de negociación. El reparto exacto varía según el grupo y no está estandarizado públicamente.

¿Cuál es la diferencia entre la extorsión doble y la triple? La extorsión doble combina el cifrado de archivos con el robo de datos, por lo que la víctima se enfrenta tanto a una interrupción operativa como a la amenaza de que los datos robados se filtren públicamente, incluso si puede restaurarlos desde una copia de seguridad. La extorsión triple añade un tercer punto de presión, como una amenaza DDoS contra sistemas accesibles al público o el contacto directo con los clientes, empleados o reguladores de la víctima.

¿Cuáles son los grupos de ransomware que actualmente ofrecen las operaciones RaaS más activas? Según los informes públicos verificados más recientes, Akira, Qilin y Medusa figuraban entre las operaciones RaaS más activas registradas hasta 2025. Qilin experimentó un aumento significativo en su actividad tras la desaparición del grupo RansomHub en abril de 2025. LockBit sigue afectado tras la Operación Cronos de las fuerzas del orden en febrero de 2024, pero no ha sido eliminado por completo. Dado que los grupos cambian de nombre y la actividad policial continúa, se recomienda confirmar su estado actual con una fuente de inteligencia de amenazas en tiempo real.

¿Cuál es la medida más eficaz que una organización puede tomar para reducir el riesgo de RaaS? No existe una solución única, pero las copias de seguridad probadas, sin conexión o inmutables, combinadas con la autenticación multifactor en cada ruta de acceso remoto, abordan los dos puntos débiles en los que más confían los afiliados de RaaS: la capacidad de infiltrarse sin ser detectados y la capacidad de forzar el pago destruyendo la única copia de los datos de la víctima.

Referencias

• Huntress, “Cómo funciona realmente el modelo de negocio RaaS”: https://www.huntress.com/blog/how-the-raas-business-model-actually-works
• Informa TechTarget, “Tendencias, estadísticas y datos sobre el ransomware en 2026”: https://www.techtarget.com/searchsecurity/feature/Ransomware-trends-statistics-and-facts
• Hacker News, “RansomHub dejó de funcionar el 1 de abril; sus afiliados huyeron a Qilin y DragonForce tomó el control”: https://thehackernews.com/2025/04/ransomhub-went-dark-april-1-affiliates.html
• Agencia Nacional contra el Crimen del Reino Unido: “La NCA anuncia la interrupción de LockBit con la Operación Cronos”: https://www.nationalcrimeagency.gov.uk/the-nca-announces-the-disruption-of-lockbit-with-operation-cronos
• CISA, avisos #StopRansomware: https://www.cisa.gov/stopransomware