Modelo de afiliados: el operador desarrolla el cifrador, la infraestructura de negociación y el sitio de filtraciones; el afiliado ejecuta la intrusión. El reparto típico deja el 70-90% del rescate al afiliado. Los programas tienen reglas de admisión, manuales operativos, soporte técnico e incluso 'atención al cliente' para las víctimas que pagan.
¿Qué es RaaS?
RaaS (Ransomware as a Service) es un modelo de negocio criminal en el que un grupo operador desarrolla y mantiene la plataforma de ransomware —el cifrador, el panel de gestión, el portal de negociación y el sitio de filtraciones— y la alquila a afiliados que ejecutan las intrusiones a cambio de un porcentaje del rescate, habitualmente entre el 70% y el 90% para el afiliado. Replica el modelo SaaS legítimo: el operador pone el producto y la infraestructura; el afiliado, la mano de obra. El resultado es que atacar con ransomware ya no exige saber programarlo: basta con comprar un acceso, seguir el manual del programa de afiliados y repartir beneficios.
¿Por qué importa?
Porque el RaaS es la razón de que el ransomware pasara de ser un delito artesanal a una industria. La especialización por capas multiplica el volumen de ataques: los Initial Access Brokers venden accesos ya conseguidos (VPN sin MFA, RDP expuesto, credenciales robadas por stealers), los afiliados los explotan y despliegan, y el operador cobra sin tocar una sola víctima directamente. Los leaks internos de Conti en 2022 mostraron una organización con nóminas, recursos humanos, turnos y departamentos, como cualquier empresa de software. Marcas como LockBit o ALPHV/BlackCat compiten por afiliados ofreciendo mejores porcentajes y herramientas, y sobreviven a los golpes policiales —la Operación Cronos desmanteló infraestructura de LockBit en febrero de 2024— mediante rebranding y migración de afiliados a otros programas. Para el defensor hay una consecuencia práctica: decenas de afiliados comparten las mismas herramientas y TTPs del programa, así que la detección por comportamiento con MITRE ATT&CK y una buena inteligencia de amenazas sobre los programas activos rinden más que perseguir muestras concretas de malware.
Puntos clave
Initial Access Brokers (IABs): un mercado previo vende accesos iniciales ya validados —VPN sin MFA, RDP expuesto, webshells, credenciales comprometidas procedentes de infostealers— por importes de cientos a miles de dólares. Quien entra en la red y quien la cifra rara vez son la misma persona.
Doble y triple extorsión: antes de cifrar, el afiliado exfiltra datos y el operador publica una cuenta atrás en su sitio de filtraciones; si la víctima restaura desde copias, la palanca pasa a ser la exfiltración de datos. La triple extorsión añade DDoS, llamadas a clientes o denuncias al regulador. El backup ya no desactiva la extorsión por sí solo.
Ecosistema de soporte: crypters para evadir antivirus, bulletproof hosting, desarrolladores de loaders, negociadores y blanqueo mediante mixers de criptomonedas. Cada eslabón es un servicio contratable, lo que baja la barrera de entrada y hace la cadena resistente a la caída de un solo proveedor.
Marcas, reputación y rebranding: los programas RaaS compiten por afiliados y usan la marca para presionar a las víctimas ('sabemos que LockBit publica'). Tras un golpe policial o una estafa interna a afiliados, el programa se disuelve y renace con otro nombre, heredando código, personal y métodos.
Implicación defensiva: como los afiliados comparten manual, las técnicas se repiten: acceso por credenciales o phishing, escalada de privilegios, movimiento lateral, exfiltración con herramientas como rclone y despliegue del cifrador fuera de horario. Detectar esas fases con EDR y monitorización deja días de margen antes del cifrado.
Ejemplo: anatomía de un ataque RaaS de doble extorsión
Un infostealer instalado en el portátil personal de un empleado roba las credenciales de la VPN corporativa, que no tiene MFA. Semanas después, esas credenciales aparecen en un mercado criminal y un Initial Access Broker las valida y vende el acceso por 2.500 dólares. El comprador es un afiliado de un programa RaaS: entra por la VPN, escala privilegios aprovechando un servidor sin parchear, obtiene credenciales de administrador de dominio y pasa diez días moviéndose lateralmente, identificando las copias de seguridad y los datos más sensibles. Antes de cifrar nada, exfiltra 300 GB hacia un almacenamiento cloud con rclone. Un sábado a las 3 de la madrugada borra las copias accesibles y lanza el cifrador del operador contra los servidores.
La nota de rescate remite al portal de negociación del operador, donde un 'gestor' atiende el chat, y el sitio de filtraciones publica el nombre de la empresa con una cuenta atrás de diez días. El operador se queda el 20% del rescate; el afiliado, el resto; el IAB ya cobró lo suyo. Tres actores distintos, un solo ataque. En la variante defendible de esta historia, la superficie de ataque expuesta era menor, la VPN exigía MFA, el EDR alertó del volcado de credenciales el día dos y el equipo de respuesta a incidentes cortó la intrusión en la fase de movimiento lateral, ocho días antes del cifrado que nunca llegó.
Errores habituales
- Creer que tu empresa es demasiado pequeña para interesar a un grupo de ransomware. Los afiliados compran accesos al peso en mercados de IABs; la selección es oportunista y automatizada, no un ataque dirigido que puedas descartar por tamaño.
- Confiar la estrategia entera a los backups. Restaurar resuelve el cifrado, no la extorsión: con doble extorsión la palanca es la publicación de los datos robados, y eso exige prevención de fuga, cifrado de datos sensibles y plan de comunicación, no solo copias.
- Tratar el ransomware como 'un malware que llega por correo'. Es una intrusión operada por humanos que pasa días o semanas dentro de la red antes de cifrar; cada fase previa (acceso, escalada, movimiento lateral, exfiltración) es una oportunidad de detección que se desperdicia si solo se vigila el binario final.
- Ignorar el mercado de accesos iniciales: credenciales en logs de infostealers, VPN sin MFA y RDP expuesto son exactamente lo que compran los IABs. Vigilar la exposición de credenciales propias es defensa directa contra el RaaS.
- No preparar en frío la decisión sobre el pago: aspectos legales, listas de sanciones, ciberseguro, negociadores y umbrales de negocio. Decidirlo por primera vez con los servidores cifrados y una cuenta atrás pública garantiza decidirlo mal.
Términos relacionados
Servicios relacionados
Este concepto puede tener relación con servicios como:
Preguntas frecuentes
Soy responsable de IT en una empresa mediana: ¿cómo acaba un afiliado de RaaS dentro de mi red?
Por tres vías principales, todas medibles. La primera y más común: credenciales válidas compradas a un Initial Access Broker, robadas por infostealers o por phishing, usadas contra VPN o servicios remotos sin MFA. La segunda: explotación de vulnerabilidades en sistemas expuestos (VPN, firewalls, servidores de correo) pocos días después de publicarse el CVE. La tercera: RDP expuesto a Internet con contraseñas débiles. La defensa correspondiente es directa: MFA en todo acceso remoto, parcheo prioritario del perímetro y vigilancia de tus credenciales en mercados y filtraciones.
¿Por qué el RaaS ha multiplicado el número de ataques de ransomware?
Porque separa el talento del volumen. Antes, un grupo necesitaba desarrolladores, intrusos, negociadores y blanqueadores propios; ahora cada función es un servicio contratable y el programa de afiliados escala como cualquier plataforma: un solo operador puede tener decenas de afiliados atacando en paralelo, y cada afiliado puede comprar accesos ya hechos en lugar de conseguirlos. La barrera de entrada baja, el volumen sube y la profesionalización aumenta: manuales, soporte, reputación de marca y reparto de beneficios auditado por el propio panel del operador.
Si tenemos backups probados e inmutables, ¿la doble extorsión nos sigue afectando?
Sí, y es importante asumirlo antes del incidente. Las copias resuelven la disponibilidad: puedes restaurar sin pagar por el descifrador. Pero la doble extorsión convierte los datos robados en la palanca principal: publicación en el sitio de filtraciones, presión a clientes y posible notificación obligatoria a la AEPD si hay datos personales. La respuesta completa combina backup inmutable, minimización y cifrado de datos sensibles, DLP sobre los repositorios críticos, detección de exfiltración (volúmenes anómalos hacia cloud storage) y un plan legal y de comunicación preparado de antemano.
¿Sirve de algo que la policía desmantele un programa RaaS como LockBit?
Sirve, aunque no como golpe definitivo. Operaciones como Cronos (febrero de 2024) incautan infraestructura, recuperan claves de descifrado para víctimas, exponen la identidad de operadores y, sobre todo, destruyen la confianza: los afiliados temen que el panel esté intervenido y las fuerzas de seguridad lean sus chats. El efecto habitual es la dispersión —afiliados que migran a otros programas o crean marcas nuevas— más que la desaparición. Para una empresa, la lectura práctica es que la amenaza es estructural: la defensa no puede depender de que caiga un grupo concreto, sino de controles que funcionan contra cualquier afiliado que use el mismo manual.