Ransomware as a Service (RaaS): el modelo de negocio detrás de los ciberataques más rentables 

El ransomware ya no es el trabajo de un hacker solitario en un sótano oscuro. Hoy en día, el cibercrimen se gestiona como una empresa de software legítima. Cuenta con proveedores de tecnología, redes de distribución, atención al cliente las 24 horas y sofisticados paneles de control para monitorear las operaciones.

Este modelo de negocio, conocido como Ransomware-as-a-Service (RaaS), es el motor detrás del aumento de los ciberataques a nivel global. Al eliminar la barrera del conocimiento técnico, permite que cualquier actor malicioso con presupuesto en criptomonedas adquiera las herramientas necesarias para paralizar una corporación.

Este artículo analiza a la maquinaria del RaaS: cómo funciona este ecosistema por dentro, quiénes son sus actores clave y qué medidas estratégicas deben tomar las empresas para evitar convertirse en sus próximas víctimas.

¿Qué es el ransomware-as-a-service (RaaS)?  

El ransomware-as-a-service (RaaS) funciona como una franquicia criminal: los desarrolladores alquilan su malware a otros atacantes —denominados afiliados— para que lancen los ataques, a cambio de una comisión del rescate.

En esencia, opera bajo el mismo modelo de negocio que un SaaS legítimo: un proveedor desarrolla y mantiene la infraestructura, mientras que los clientes la alquilan para operarla. La diferencia es que aquí el producto es un malware capaz de cifrar los archivos de una organización y exigir un rescate económico para su liberación.

                                                                                                                                                                                                                                                                            Algunos operadores incluso ofrecen soporte técnico continuo, acceso a foros privados para afiliados y portales de pago en criptomonedas. Lo anterior simula la experiencia de un proveedor de software legítimo, de acuerdo con IBM.  

Este modelo explica por qué el ransomware sigue creciendo a pesar de que las fuerzas de seguridad han desmantelado operaciones enteras. No hace falta ser un desarrollador experto para lanzar un ataque. Basta con adquirir el kit adecuado.

Cómo funciona el ecosistema  

Para entender cómo funciona el ransomware como servicio, hay que ver la división de tareas entre sus dos protagonistas principales. Funciona igual que un modelo de franquicia comercial, pero en el lado oscuro del cibercrimen.

Los operadores (los cerebros)  

Son los que ponen la tecnología, la marca y la infraestructura detrás de escena. Sus funciones principales incluyen:

• Desarrollo: diseñan y actualizan de forma continua el código del malware.

• Infraestructura: administran las plataformas ocultas del negocio. Lo anterior incluye el software de gestión, los portales para recibir los pagos en criptomonedas y los sitios de filtración de datos que usan para presionar a las víctimas.

• Reclutamiento: buscan y seleccionan a los "afiliados" idóneos para expandir su negocio.

Los afiliados (ejecutores)

Son los encargados de llevar a cabo el ataque real. Para lograrlo, utilizan las herramientas de infiltración y el soporte que les proporciona el operador. Sus funciones principales son:

• Acceso inicial: buscan la puerta de entrada, vulneran los sistemas y se cuelan en la red de la víctima.

• Despliegue: se mueven lateralmente por la infraestructura del objetivo, exfiltran la información confidencial y ejecutan el cifrado.

• Negociación: son quienes pelean la negociación del rescate para presionar por el cobro.

Aportan la mano de obra, el conocimiento táctico y asumen el mayor riesgo de ser detectados.

En este punto entra en juego otro factor clave: los Initial Access Brokers (IAB). Estos intermediarios se dedican a vulnerar redes corporativas para luego vender esos accesos ya listos en la Dark Web. Lo anterior ahorra al afiliado la fase de infiltración inicial y acelera el ataque.

Este segmento del negocio también mueve grandes cantidades de dinero. De hecho, se estima que los pagos rastreados hacia los IAB rondaron los 14 millones de dólares en 2025, según una cobertura de el operador se queda con una parte del rescate y el afiliado con el resto. Algunos kits se pagan con una suscripción mensual —tenga o no éxito el ataque— y otros cobran solo si se concreta el pago. Esta flexibilidad de modelos es el gancho perfecto para atraer a perfiles con distinto nivel técnico y tolerancia al riesgo.

Un ecosistema fragmentado, no más pequeño

Desmantelar a una gran banda de ransomware ya no detiene el problema. Sus afiliados, brokers y tecnología no desaparecen; solo se mudan y se reagrupan bajo nuevas marcas. El mercado ya no está en manos de unos pocos, sino que está dividido en decenas de bandas más pequeñas y difíciles de rastrear.

Esta dispersión complica el rastreo y la atribución de los ataques. Lo anterior dificulta la respuesta de las autoridades, a pesar de que el volumen de dinero extorsionado es prácticamente el mismo. De hecho, este fenómeno de descentralización es importante en el panorama actual, según el análisis de The Register.

Fuente: Chainalysis

Qué pueden hacer las empresas para reducir el riesgo  

Lo primero es entender que una sola barrera de seguridad ya no es suficiente. Frente a un ecosistema criminal tan ágil y coordinado, la estrategia de defensa de las empresas tiene que ser igual de sistemática y cubrir múltiples capas. Estas son las medidas clave que marcan la diferencia: 

• Monitoreo y visibilidad centralizada: centralizar logs para detectar comportamientos extraños o accesos anómalos antes de que los criminales inicien el cifrado masivo.

• Control de cuentas privilegiadas: limitar y auditar los accesos de administración, ya que la gran mayoría de los ataques de RaaS se nutren de credenciales comprometidas o mal protegidas.

• Actualizaciones y parches al día: corregir las vulnerabilidades del sistema de inmediato. La mayoría de los atacantes aprovechan brechas antiguas que se habrían solucionado con una simple actualización.

• Copias de seguridad aisladas e inmutables: la última línea de defensa. Mantener los backups fuera del alcance de la red principal asegura la recuperación sin tener que ceder al chantaje del rescate.

• Planes de respuesta entrenados: diseñar y ensayar planes de acción rápidos. Hoy en día, el tiempo entre la intrusión inicial y el cifrado de datos es tan corto que no hay margen para improvisar.

Ninguna de estas medidas es infalible por sí sola, pero combinadas cierran la ventana de oportunidad que un afiliado necesita para ejecutar su ataque con éxito.

Conclusión  

El RaaS ha convertido al ransomware en un negocio tan escalable y estructurado como el software legítimo. El comportamiento del mercado en los últimos años lo confirma: cada vez menos víctimas ceden al chantaje, los ataques se multiplican y el costo de los rescates mantiene su tendencia al alza.

Bajo este panorama, asumir que las organizaciones se enfrentan a una industria organizada —y no a incidentes aislados— resulta crucial. Solo mediante este enfoque las empresas dejarán atrás la improvisación ante un ataque para priorizar la prevención, el control de accesos y la capacidad de respuesta rápida.

En este escenario, las herramientas de gestión de eventos y seguridad (SIEM) como ManageEngine Log360 son fundamentales. Esta solución facilita la centralización de logs, la detección de comportamientos anómalos y la neutralización de amenazas antes de que ocurra el cifrado de la información. ¡Descargue la versión de prueba!

Fuentes 

Chainalysis (2026).  IBM.  ManageEngine. What is Ransomware as a Service?