México cerró 2025 escalando del puesto 17 al 11 a nivel global en intentos de secuestro de datos. En América Latina, solo Brasil recibe más ataques de ransomware que nosotros. Y dentro de las organizaciones que ya fueron víctimas, una constante se repite en los reportes forenses: tenían EDR instalado.
Eso no es una contradicción. Es la nueva normalidad del cibercrimen.
En nuestro webinar más reciente, «Resiliencia ante el ransomware: más allá del EDR», el equipo de ONESEC abrió esta conversación con clientes y aliados: ¿por qué seguimos viendo organizaciones con buena inversión en seguridad de endpoint cayendo ante ransomware? La respuesta corta es que el EDR sigue siendo necesario, pero dejó de ser suficiente hace tiempo — y los atacantes lo saben mejor que nadie.
El EDR fue diseñado para un atacante que ya no existe
El Endpoint Detection and Response llegó a resolver un problema real: la detección de comportamiento malicioso en el dispositivo, más allá de las firmas tradicionales de un antivirus. Funciona. El problema es que el ransomware moderno ya no entra por la puerta que el EDR vigila.
Hoy el patrón de ataque se ve distinto:
- Los «EDR killers» son un componente estándar del kit de intrusión. Antes de cifrar un solo archivo, los grupos de ransomware despliegan herramientas diseñadas específicamente para desactivar o cegar al EDR. Si el agente nunca ve la amenaza, nunca hay alerta que responder.
- El acceso inicial ya no se «hackea», se compra. El modelo de Initial Access Brokers y Ransomware-as-a-Service (con grupos como Qilin liderando el ecosistema) significa que un atacante con credenciales válidas puede moverse por la red pareciendo un usuario legítimo. Ningún EDR marca como sospechoso un inicio de sesión con la contraseña correcta.
- La doble y triple extorsión cambió el objetivo del ataque. Ya no se trata solo de cifrar; se trata de exfiltrar datos antes de cifrar y presionar con la fuga pública. Eso ocurre en capas de red y de datos que el endpoint, por diseño, no controla.
El resultado: organizaciones con EDR de clase mundial siguen apareciendo en los portales de filtración. El endpoint es una capa de la defensa, no la defensa completa.
Lo que significa «resiliencia» cuando hablamos de ransomware
En el webinar lo planteamos así: la pregunta correcta ya no es «¿cómo evitamos que entren?» — esa pregunta, sola, ya perdimos la apuesta. La pregunta es «¿qué tan rápido detectamos, contenemos y recuperamos operación cuando entran?»
Esa es la diferencia entre prevención y resiliencia. Y se construye en capas que van más allá del endpoint:
1. Identidad como perímetro real La mayoría de los movimientos laterales en ransomware moderno usan credenciales legítimas, no exploits sofisticados. Una estrategia de gestión de accesos privilegiados (lo que en ONESEC trabajamos a fondo con CyberArk) limita exactamente lo que un atacante puede hacer incluso después de entrar: sin privilegios elevados disponibles, no hay forma de propagarse ni de desactivar controles críticos.
2. Visibilidad y monitoreo continuo (SOC/CTI) Si el EDR no ve la amenaza, alguien más tiene que verla. El tráfico de exfiltración hacia internet, los patrones de acceso anómalos, la inteligencia de amenazas sobre qué grupos están activos contra tu sector — todo esto vive en un SOC con threat intelligence operando 24/7, no en un agente instalado en una laptop.
3. Backups aislados y probados — no solo «que existan» Un respaldo conectado a la misma red que acabas de perder es, en la práctica, parte del problema. La resiliencia exige copias inmutables, aisladas, y sobre todo probadas: un plan de recuperación que nunca se ejecutó en un simulacro no es un plan, es una suposición.
4. Segmentación y Zero Trust Limitar qué tan lejos puede llegar un atacante una vez dentro reduce el radio de impacto de días a horas. La microsegmentación convierte un incidente que paraliza toda la operación en uno contenido a un segmento de red.
5. Un plan de respuesta a incidentes ensayado Las primeras horas después de detectar ransomware definen el costo final del incidente. Las organizaciones que practican su plan de respuesta — roles claros, decisiones de negocio pre-acordadas, comunicación con autoridades y clientes — recuperan operación en una fracción del tiempo que las que improvisan.
Ninguna de estas capas reemplaza al EDR. Todas lo complementan, y juntas son lo que separa a una organización que sufre un incidente de una que sufre una crisis existencial.
🎥 Mira el webinar completo
Todo este análisis lo profundizamos con casos reales y recomendaciones específicas para equipos de TI y seguridad en nuestro canal de YouTube.
Ver «Resiliencia ante el ransomware: más allá del EDR» →
🔒 ¿Necesitas asesoría en ciberseguridad o quieres solicitar información sobre nuestras soluciones?
Un especialista de ONESEC te responderá lo antes posible para conversar sobre el nivel de resiliencia ante ransomware de tu organización y qué pasos tienen más sentido para ti.