LockBit ha sido, durante casi cinco años, la franquicia de ransomware más prolífica del planeta. No porque sus programadores fueran genios, sino porque montaron algo mucho más peligroso: un negocio. Un modelo de afiliados, soporte técnico, panel de control y hasta programa de bug bounty. El grupo ransomware operaba como una startup de Silicon Valley, solo que en lugar de vender software vendía extorsión. Este análisis de LockBit repasa cómo funcionaba, por qué cualquier empresa podía acabar en su lista de víctimas y qué queda de ellos después de la Operación Cronos. Spoiler: menos de lo que presumen, más de lo que nos gustaría.
Qué es LockBit y por qué fue distinto al resto
LockBit apareció en 2019 bajo el nombre ABCD, por la extensión .abcd que añadía a los ficheros cifrados. Pronto se rebautizó y empezó a iterar versiones: LockBit 2.0 (o «LockBit Red», 2021), LockBit 3.0 («Black», 2022) y LockBit Green (2023), esta última con código reciclado del extinto grupo Conti.
La diferencia con otras familias no estaba en el cifrado. Estaba en el modelo Ransomware-as-a-Service (RaaS). LockBit desarrollaba el malware y la infraestructura; los afiliados hacían el trabajo sucio de entrar en las redes. El reparto habitual daba al afiliado la mayor parte del rescate —en torno al 75-80 %, según los avisos oficiales—, con una comisión para los operadores. Un esquema de franquicia, básicamente. McDonald's del cibercrimen.
Ese diseño explica dos cosas. La primera, el volumen: la agencia estadounidense CISA y sus socios internacionales documentaron en su aviso conjunto AA23-165A que LockBit fue la variante de ransomware más desplegada a nivel mundial en 2022. La segunda, la incoherencia técnica: como cada afiliado usaba sus propias herramientas y tácticas, los indicadores de compromiso variaban muchísimo entre ataques. Defenderse de «LockBit» era en realidad defenderse de decenas de intrusos distintos que compartían el mismo maletín final.
Cómo entraban: el manual de intrusión
Nada exótico. Los afiliados de LockBit explotaban lo mismo que explota todo el mundo, porque sigue funcionando.
- RDP expuesto a internet con credenciales débiles o reutilizadas. El clásico inmortal.
- VPN y appliances perimetrales sin parchear. Aquí acumulan currículum: CVE-2018-13379 (Fortinet FortiOS SSL VPN), CVE-2021-44228 (Log4Shell), CVE-2023-4966 (Citrix Bleed) y CVE-2023-0669 (Fortra GoAnywhere MFT). Vulnerabilidades públicas, con parche disponible, sin aplicar.
- Phishing y adjuntos maliciosos para el acceso inicial, a menudo a través de loaders como Qakbot o SocGholish. Si te interesa esta vía, tenemos un repaso de las nuevas técnicas de malware en documentos Office sin macros que se usan precisamente en esta fase.
- Compra de accesos a Initial Access Brokers. Ni siquiera hace falta entrar tú: hay quien te vende la puerta abierta.
Una vez dentro, el patrón se repetía: robo de credenciales con Mimikatz, movimiento lateral con Cobalt Strike o herramientas legítimas de administración remota (AnyDesk, Atera, Splashtop), desactivación de las copias de seguridad y de las soluciones EDR, exfiltración de datos con StealBit, Rclone o MEGA, y solo al final el cifrado. La parte del ransomware empresa que sale en las noticias es el último acto de una obra que llevaba semanas en escena.
La doble extorsión y el teatro del sitio de filtraciones
LockBit popularizó la presión doble: cifrar y, además, amenazar con publicar los datos robados en su blog de la dark web. Si la víctima tenía copias de seguridad decentes, daba igual: la palanca era la filtración, no el cifrado.
Añadieron detalles de manual de manipulación. Un contador regresivo público en el sitio de filtraciones. La opción de que terceros pagaran para retrasar el reloj. Ataques DDoS contra la víctima como refuerzo. Y un discurso de «profesionalidad» —llegaron a ofrecer recompensas por fallos en su propio cifrador— destinado a convencer a los afiliados de que eran socios fiables.
Aviso importante: presumían de que su desencriptador funcionaba siempre. La National Crime Agency británica, tras incautar su infraestructura, declaró haber encontrado en sus sistemas datos de víctimas que habían pagado y cuya información no fue borrada. Pagar no compró silencio. Compró un recibo.
Víctimas reales: hospitales, correos y una fábrica de chips
La lista de afectados desmonta la idea de que esto solo va de multinacionales. Casos documentados públicamente:
- Royal Mail (Reino Unido, enero de 2023). Paralizó las exportaciones internacionales durante semanas. La empresa se negó a pagar y las negociaciones se filtraron.
- Hospital for Sick Children (SickKids), Toronto, diciembre de 2022. LockBit acabó pidiendo disculpas públicas y ofreciendo un desencriptador gratuito, alegando que el afiliado había violado sus reglas. Un código ético con más agujeros que un colador.
- TSMC (junio de 2023), a través de un proveedor externo. La demanda de rescate fue de las más altas jamás publicadas por el grupo.
- ICBC Financial Services (noviembre de 2023), la filial estadounidense del mayor banco de China, con impacto en el mercado de deuda del Tesoro de EE. UU.
- Boeing, Bank Syariah Indonesia, Continental y varios ayuntamientos y hospitales europeos.
El denominador común no es el tamaño. Es la superficie expuesta: un servicio remoto sin doble factor, un proveedor con acceso a tu red, un portátil personal conectado a la VPN corporativa. Sobre este último punto conviene revisar los riesgos de seguridad del BYOD en la empresa, porque muchos incidentes empiezan en un dispositivo que nadie gestiona.
Operación Cronos: el golpe de 2024 y lo que vino después
En febrero de 2024, una coalición liderada por la NCA británica, el FBI y Europol —con participación de diez países— incautó la infraestructura de LockBit. Y aquí llegó la parte divertida: en lugar de tumbar el sitio de filtraciones sin más, las fuerzas del orden lo mantuvieron online con el mismo diseño, publicando comunicados policiales donde antes había víctimas. Trolear a los troles. Muy bien jugado.
El balance publicado incluyó la incautación de servidores, más de un millar de claves de descifrado recuperadas y la identificación pública del presunto administrador, Dmitry Khoroshev (alias «LockBitSupp»), sancionado por Reino Unido, EE. UU. y Australia en mayo de 2024, con una recompensa del Departamento de Estado estadounidense de hasta 10 millones de dólares.
LockBit intentó reconstruirse casi de inmediato. Pero la reputación en el mundo RaaS lo es todo, y los afiliados se marcharon a otras franquicias. En mayo de 2025 el propio panel de afiliados de LockBit fue hackeado y su base de datos filtrada, dejando al descubierto negociaciones y direcciones de monederos. Un grupo de extorsión extorsionado. Poético.
La lección para una empresa no es «LockBit ha caído, respiremos». Es que el ecosistema se recompone: los mismos afiliados operan hoy bajo otros nombres, con las mismas técnicas de entrada. La defensa no debe apuntar a una marca de malware de cifrado, sino a las vías de acceso.
Defensa práctica contra ransomware en empresa
Ordenado por relación entre esfuerzo y reducción de riesgo real.
| Medida | Qué bloquea | Dificultad |
|---|---|---|
| MFA en todo acceso remoto (VPN, RDP, correo, admin) | Credenciales robadas o compradas | Baja |
| Cerrar RDP a internet; acceso solo vía VPN o bastión | Vector de acceso inicial nº 1 | Baja |
| Parcheo prioritario de perímetro (VPN, firewalls, MFT) | CVE-2023-4966, CVE-2018-13379 y sucesores | Media |
| Backups 3-2-1-1-0, con una copia inmutable y offline | El cifrado y el borrado de shadow copies | Media |
| EDR con protección antimanipulación | La desactivación del antivirus antes del cifrado | Media |
| Segmentación de red y cuentas admin separadas | Movimiento lateral | Alta |
| Filtrado avanzado de correo y formación al equipo | Phishing como puerta de entrada | Baja |
| Plan de respuesta a incidentes probado | La improvisación a las 3 de la mañana | Media |
Sobre las copias de seguridad: si tu backup está en un recurso compartido de red accesible con las credenciales del administrador de dominio, no tienes backup. Tienes más ficheros para cifrar. La inmutabilidad no es un lujo, es el requisito.
Para el acceso remoto de equipos distribuidos, conviene revisar la configuración de VPN para empresas y teletrabajo antes de dar por buena la que instalasteis en 2020 y nadie ha tocado desde entonces.
Herramientas útiles y a quién avisar en España
- No More Ransom (nomoreransom.org): proyecto de Europol, la policía holandesa y la industria. Sube una muestra cifrada y comprueba si existe desencriptador gratuito. Incluye claves recuperadas en operaciones policiales.
- VirusTotal: análisis de ficheros y hashes sospechosos contra decenas de motores.
- Have I Been Pwned: comprueba si credenciales corporativas aparecen en brechas conocidas. Complementa bien un plan de monitorización de tus datos en la dark web.
- Shodan o Censys: mira tu propio rango de IP público. Lo que veas tú, lo ven ellos.
- CISA Known Exploited Vulnerabilities Catalog: lista de CVE explotadas activamente. Prioriza tu parcheo por aquí, no por el CVSS.
En España, un incidente de ransomware se reporta al INCIBE-CERT (empresas y ciudadanos) o al CCN-CERT (sector público), y se denuncia ante Policía Nacional o Guardia Civil. Si hay datos personales comprometidos, el RGPD (art. 33) obliga a notificar a la AEPD en un plazo máximo de 72 horas desde que se tiene constancia, y a informar a los afectados si el riesgo para sus derechos es alto (art. 34). Ese reloj corre en paralelo al de los atacantes, y suele pillar a todo el mundo desprevenido.
Preguntas frecuentes
¿LockBit sigue activo en 2026?
La marca sobrevive muy debilitada tras la Operación Cronos de 2024 y la filtración de su panel de afiliados en mayo de 2025. Hubo un intento de relanzamiento con una versión 5.0 a finales de 2025, sin recuperar ni de lejos el volumen anterior. El riesgo real no ha desaparecido: los afiliados migraron a otros grupos RaaS y siguen usando las mismas técnicas de intrusión.
¿Se puede descifrar un archivo cifrado por LockBit sin pagar?
A veces sí. Las fuerzas del orden recuperaron más de mil claves de descifrado y las pusieron a disposición de las víctimas a través de No More Ransom. Sube una muestra allí antes de plantearte cualquier otra cosa, y guarda los ficheros cifrados aunque no haya solución hoy.
¿Es delito pagar un rescate de ransomware en España?
Pagar no está tipificado como delito en sí, pero puede acarrear responsabilidad si el destinatario está sujeto a sanciones internacionales, como ocurre con Khoroshev desde mayo de 2024. Además no garantiza nada: hay constancia de víctimas que pagaron y cuyos datos no fueron borrados.
¿Qué hago en las primeras horas tras detectar el cifrado?
Aísla los equipos afectados de la red sin apagarlos —la memoria RAM puede contener claves—, activa el plan de respuesta y contacta con INCIBE-CERT. No negocies por tu cuenta y arranca ya el reloj de las 72 horas del RGPD si hay datos personales implicados.
¿Un backup en la nube me protege del ransomware?
Solo si es inmutable y no está montado con credenciales accesibles desde la red comprometida. Una carpeta sincronizada automáticamente replicará los ficheros cifrados y te dejará igual que estabas, con la factura de almacenamiento incluida.
El siguiente paso
Abre Shodan ahora mismo y busca tu propia IP pública. Si aparece el puerto 3389 (RDP) o un appliance VPN con versión visible, tienes la primera tarea del día. Cierra ese puerto o pon MFA delante antes de seguir leyendo nada más.
Si tu empresa necesita revisar la infraestructura entera —desde la seguridad de tu WordPress hasta la arquitectura de accesos—, conviene hacerlo antes de que te obliguen. Y si prefieres seguir aprendiendo por tu cuenta, en Fácil para Todos encontrarás explicaciones sin jerga de estos mismos conceptos. En el blog tienes más análisis de amenazas, guías de filtrado y comparativas de herramientas.
