El ransomware es, sin exagerar, una des ramas de la industria criminal más rentable de la última década. Grupos organizados paralizan hospitales, gobiernos o bancos en cuestión de horas y exigen pagos millonarios en criptomonedas para devolver el acceso. Frente a ese chantaje, la pregunta incómoda es inevitable: ¿deben las organizaciones pagar o resistir, aunque eso implique pérdidas millonarias o incluso vidas en riesgo?
El debate no es técnico: es estratégico, legal y profundamente ético. Lo que para algunos es pragmatismo, para otros significa financiar al crimen organizado.
Ransomware: un negocio global consolidado
El ransomware ya no es un ataque aislado, sino un modelo de negocio criminal. Según el Crypto Crime Report de Chainalysis, las ganancias superaron los 4.500 millones de dólares en pagos ilícitos en 2024.
El fenómeno del Ransomware-as-a-Service (RaaS) ha democratizado el delito: hoy cualquier atacante sin conocimientos técnicos puede alquilar un kit en la dark web y empezar a extorsionar en cuestión de horas.
Casos emblemáticos lo demuestran: Colonial Pipeline en EE. UU. (2021) paralizó el suministro de combustible en la costa este; hospitales en Irlanda y Brasil debieron suspender cirugías por sistemas cifrados.
Argumentos a favor de pagar
Aunque la mayoría de los expertos desaconseja hacerlo, existen motivos que llevan a muchas empresas a ceder:
- Restaurar operaciones críticas. Cuando un hospital no puede acceder a historiales médicos o un servicio público está paralizado, el tiempo es un factor de vida o muerte.
- Costo de la inactividad. Según IBM, el costo promedio de una brecha de datos alcanzó 4,35 millones de dólares en 2023 (Cost of a Data Breach Report), y en casos de ransomware el impacto puede ser mayor que el rescate exigido.
- Presión externa. Clientes, inversionistas o incluso gobiernos pueden exigir una rápida reanudación de servicios.
De hecho, informes de Coveware muestran que más del 40% de las organizaciones atacadas terminan pagando, pese a las recomendaciones en contra.
Argumentos en contra de pagar
El lado opuesto del debate sostiene que pagar es una trampa peligrosa.
- No hay garantías. Muchos atacantes no entregan la clave de descifrado después del pago, o lo hacen de forma parcial.
- Incentiva nuevos ataques. Cada pago refuerza el modelo de negocio del ransomware, generando más víctimas.
- Riesgo legal. La Oficina de Control de Activos Extranjeros (OFAC) en EE. UU. advierte que pagar rescates a grupos vinculados con terrorismo o estados hostiles puede derivar en sanciones.
- Reputación. Una empresa que paga puede ser vista como débil, convirtiéndose en blanco recurrente.
En otras palabras, pagar puede resolver un problema inmediato, pero multiplica los riesgos a largo plazo.
El marco legal y ético
Aquí surge el dilema más espinoso: ¿qué pesa más, salvar vidas o no financiar el delito?
Algunos países discuten prohibir los pagos de rescate, mientras otros dejan la decisión en manos de las víctimas. Los seguros de ciberseguridad complican aún más el panorama: durante años cubrieron rescates, pero hoy muchas pólizas limitan o excluyen ese beneficio, conscientes del efecto multiplicador que genera.
El caso latinoamericano
En Latinoamérica, la discusión se vuelve más cruda. Gobiernos locales, hospitales y pymes carecen de recursos sólidos para enfrentar ataques.
- En Brasil, clínicas privadas suspendieron servicios por semanas tras infecciones.
- En México, entidades financieras medianas reconocieron haber pagado para evitar filtraciones.
- En Colombia, gobiernos municipales quedaron paralizados durante semanas.
La falta de marcos regulatorios claros deja a las organizaciones en un limbo: pagar puede ser ilegal, pero no pagar puede significar la quiebra o la pérdida de vidas.
Mi posición como analista
Después de años siguiendo este debate, mi conclusión es clara: pagar nunca debería ser la estrategia principal.
Los motivos son claros:
- No hay garantía de recuperación.
- Financia a grupos que seguirán atacando.
- Expone a sanciones y a más ataques futuros.
Sin embargo, negar la realidad sería ingenuo. En situaciones extremas, cuando están en juego vidas humanas o la supervivencia de una organización crítica, algunas empresas optarán por pagar. La clave está en que esa decisión sea el último recurso, no el plan inicial.
La verdadera discusión no debería centrarse en “pagar o no pagar”, sino en estar o no estar preparado para nunca tener que decidirlo. Con copias de seguridad aisladas, planes de respuesta a incidentes, segmentación de redes y capacitación constante, las organizaciones pueden resistir un ataque sin ceder a la extorsión.
Reflexión final
El ransomware no solo secuestra datos, también secuestra decisiones. Empuja a las víctimas a dilemas éticos y financieros para los que pocas están preparadas.
Pagar puede parecer la salida rápida, pero es como apagar un incendio con gasolina: resuelve el instante, pero alimenta las llamas.
La verdadera solución está en la preparación: copias de seguridad aisladas, planes de respuesta, segmentación de redes y capacitación constante. Porque la única forma de no caer en la trampa es no necesitar jamás decidir si pagar o no.
