Ransom DDoS (RDDoS)

¿Qué es un ataque ransom DDoS?

Un ataque ransom DDoS (RDDoS) es una extorsión que usa un ataque DDoS como amenaza. Los delincuentes envían una nota que exige un pago y advierte de que tu sitio o tu red se inundarán de tráfico si te niegas. Algunos empiezan con un ataque breve de demostración para que los tomes en serio; muchos nunca atacan y solo esperan que pagues. En ambos casos, la respuesta correcta es prepararse y denunciar, no pagar.

Cómo se desarrolla

• La nota. Llega por correo, formulario de contacto o ticket de soporte, a menudo dirigida a un rol genérico. Indica una cantidad, un método de pago (normalmente criptomonedas) y un plazo.
• Demostración opcional. Una inundación breve hace creíble la amenaza. Que no haya demostración no significa que la amenaza sea vacía.
• El ataque, si llega. El tráfico se dirige a las capas de red 3 o 4, o a la capa de aplicación, con una botnet o un servicio de DDoS alquilado. Compara un ataque DDoS, un ataque de capa de aplicación y una inundación HTTP.
• Insistencia. Los atacantes pueden pedir más dinero después, así que pagar no compra una tranquilidad duradera.

Qué hacer si recibes una nota de rescate

1. No pagues. El pago no garantiza que el ataque no llegue ni que termine, y te marca como un objetivo al que seguir exigiendo.
2. Conserva las pruebas. Guarda el mensaje con sus cabeceras, los datos del remitente y la dirección de pago, y anota la hora.
3. Denúncialo. Avisa a tu organismo nacional de ciberdelincuencia o CERT y a tu proveedor de alojamiento, CDN o protección DDoS.
4. Revisa tu protección ya. Comprueba que todos los activos expuestos a internet, incluidos el origen, los servidores DNS y los rangos de IP secundarios, están detrás de la mitigación. Los atacantes buscan la dirección sin proteger.
5. Informa al equipo. Quien atiende los buzones de soporte y contacto debe reenviar estas notas a seguridad en lugar de responder.

Cómo prepararte

La preparación es la misma que para cualquier ataque DDoS: poner un servicio de mitigación o un CDN delante del origen, mantener privadas las direcciones de origen, limitar la tasa de los endpoints costosos, ajustar los umbrales de alerta a tu tráfico normal y redactar un plan de respuesta con responsables con nombre. El NCSC británico lo resume en cuatro hábitos: entender tu servicio, entender tus defensas, crear un plan de respuesta y probar tu respuesta. Consulta cómo detener los ataques DDoS, la protección contra DoS y las amenazas de ciberseguridad.

Dónde encajan las pruebas de carga y la monitorización

LoadFocus no simula ataques DDoS ni ransom DDoS y no puede protegerte de ellos. Lo que hace es mostrar tu límite de capacidad con tráfico normal, es decir, tu margen: ejecuta una prueba de carga en la nube y lee sobre spike testing (en inglés) para planificar escenarios. La monitorización de API te avisa cuando un endpoint se ralentiza o falla (cada 5 minutos en el plan gratuito), a menudo la primera señal externa de un problema. Prueba solo sistemas que sean tuyos o para los que tengas permiso por escrito, y nunca el servicio de un tercero.

Preguntas frecuentes sobre ransom DDoS

¿Debo pagar el rescate?

No. El pago no garantiza que el ataque no ocurra y los atacantes pueden volver con una exigencia mayor. Denuncia el mensaje y revisa tu protección.

¿La amenaza de ransom DDoS es siempre real?

No siempre, pero no puedes saberlo por la nota. Trátala como posible: verifica que tu mitigación de DDoS cubre todas las direcciones expuestas y que tu plan de respuesta funciona.

¿En qué se diferencia del ransomware?

El ransomware cifra tus datos y exige dinero para descifrarlos. Un ransom DDoS no toca tus datos y amenaza con dejar tu servicio fuera de línea.

¿Puede una prueba de carga detener o simular un ransom DDoS?

No. Una prueba de carga no defiende de ataques ni sustituye una simulación de ataque autorizada, que solo tu proveedor de protección puede hacer bajo reglas acordadas. Muestra cuánto tráfico normal soporta tu sistema antes de ralentizarse.