Ciberseguridad · Aviso

Sistemas informáticos del SEPE (ransomware Ryuk) · Cifrado masivo de sistemas y parálisis del servicio

El ransomware Ryuk paralizó el 9 de marzo de 2021 los sistemas del Servicio Público de Empleo Estatal, dejando sin servicio sus más de 700 oficinas.

Publicado 3 noviembre 2026 Lectura 6 min Ref. Sin CVE CVSS — Estado Explotación activa

Resumen

El 9 de marzo de 2021 el Servicio Público de Empleo Estatal (SEPE) sufrió un ataque de ransomware —un programa malicioso que cifra los archivos y exige un pago para recuperarlos— atribuido por numerosos expertos a la familia Ryuk. El incidente afectó a la disponibilidad de sus sistemas y obligó a suspender el servicio en 710 oficinas presenciales y 52 telemáticas. El organismo aseguró que no se pidió rescate ni se comprometieron datos personales, algo que en su momento no pudo verificarse de forma independiente. No existe una vulnerabilidad concreta (CVE) asociada: Ryuk suele entrar por correos de phishing y herramientas ya conocidas.

Materias: Ransomware, Administración pública, Phishing, Continuidad de negocio, Protección de datos (RGPD)

Ni web, ni citas, ni correo, ni trámites: el 9 de marzo de 2021 el Servicio Público de Empleo Estatal (SEPE) amaneció con sus sistemas paralizados por un ataque de ransomware, un tipo de programa malicioso que cifra (hace ilegibles) los ficheros de los equipos y suele exigir un pago para devolverlos. El ataque, que numerosos analistas atribuyeron al ransomware conocido como Ryuk, dejó sin servicio las 710 oficinas presenciales y las 52 telemáticas del organismo e ilustra un riesgo que afecta por igual a administraciones, empresas y despachos.

Descripción

Qué ocurrió

El SEPE es el organismo público que gestiona las prestaciones por desempleo en España. En la mañana del 9 de marzo de 2021 reconoció estar sufriendo «un incidente de seguridad durante el cual se ha visto afectada la disponibilidad de sus sistemas de información y comunicaciones». En la práctica, los equipos quedaron inoperativos: se cerró la atención en las 710 oficinas presenciales y las 52 telemáticas, y se ampliaron los plazos de solicitud de prestaciones mientras durase la caída.

A quién y a qué afecta

El ataque golpeó la red informática corporativa del organismo, basada en sistemas Windows, no un producto concreto con una versión vulnerable. Por eso no hay un identificador CVE (el código con el que se cataloga una vulnerabilidad de software) asociado a este caso: lo que falló no fue un único fallo técnico con parche, sino la combinación habitual de correo malicioso, credenciales y herramientas de administración. El riesgo es extrapolable a cualquier organización —pública o privada, grande o pequeña— que opere una red Windows interna.

Qué está confirmado y qué no

Está confirmada la interrupción del servicio y que se trató de un ataque de ransomware. La atribución a Ryuk la sostuvieron analistas y medios a partir de indicios como la aparición de ficheros con la extensión .ryuk; no se acompañó de un informe técnico oficial detallado en aquel momento. El director general del SEPE, Gerardo Gutiérrez, afirmó que no se había solicitado ningún rescate y que no se había comprometido ningún dato («los datos de confidencialidad están totalmente asegurados»). Son declaraciones de una de las partes y, al no publicarse una investigación forense pública, no pudieron verificarse de forma independiente. El Centro Criptológico Nacional (CCN) y el CNI participaron en la investigación.

Mecánica

Cómo funciona un ataque de Ryuk

Ryuk se analizó por primera vez en agosto de 2018 y deriva de un ransomware anterior llamado Hermes. Rara vez actúa solo: según la alerta conjunta AA20-302A de las agencias estadounidenses CISA, FBI y HHS, suele ser la «carga final» de una cadena de infección más larga. El esquema típico es el siguiente:

Entrada por phishing. El phishing es el envío de correos fraudulentos que suplantan a un remitente legítimo para engañar a la víctima. Basta con que un empleado abra un adjunto o pulse un enlace malicioso.
Infección inicial. El enlace o adjunto descarga un primer programa malicioso —históricamente la red de equipos infectados TrickBot, o cargadores como BazarLoader—, que abre una puerta trasera en el equipo.
Robo de credenciales y movimiento lateral. Los atacantes usan herramientas de administración legítimas y conocidas (PowerShell, WMI, RDP, Cobalt Strike, Mimikatz) para robar contraseñas, cartografiar la red y saltar de un equipo a otro, buscando los controladores de dominio.
Preparación. Antes de cifrar, Ryuk detiene servicios y antivirus y borra las instantáneas del sistema (las copias internas de Windows que permitirían restaurar archivos) con vssadmin, para dificultar la recuperación.
Cifrado. Cifra los ficheros con el algoritmo AES-256 (una clave distinta por archivo), protege a su vez esas claves con RSA y deja una nota de rescate (RyukReadMe.txt). Los archivos quedan inutilizables sin la clave de los atacantes.

En términos de catalogación de debilidades, el patrón corresponde sobre todo a CWE-1021 (restricciones inadecuadas sobre acciones del usuario, p. ej. ejecución de adjuntos) y a fallos de configuración y segmentación de red, más que a un único error de programación.

Respuesta del creador

Respuesta del organismo y de las autoridades

El SEPE publicó un aviso en su web indicando que las primeras actuaciones se dirigieron a contener el incidente, aislar los sistemas y mitigar su impacto, y que se trabajaba en restaurar primero los servicios prioritarios. Insistió en que la situación no afectaría a los derechos de los solicitantes de prestaciones, que se seguirían abonando, y en que la demanda de empleo se renovaría de forma automática. Los plazos de solicitud se ampliaron tantos días como durase la interrupción.

La restauración fue gradual y se prolongó durante días y semanas. En el proceso se detectaron improvisaciones —por ejemplo, una versión provisional del portal reconstruida a partir de copias archivadas en Archive.org— que alimentaron las dudas sobre el estado de las copias de seguridad del organismo, aunque no hubo confirmación oficial al respecto. La investigación del origen del ataque recayó en el Centro Criptológico Nacional (CCN) y el CNI.

Como criterio general, CISA, el FBI y el HHS desaconsejan pagar el rescate, porque no garantiza recuperar los datos y financia a los atacantes.

Parches y mitigaciones

No hay «parche»: qué hacer para protegerse

Al no tratarse de una vulnerabilidad concreta, no existe una actualización que resuelva este riesgo. La defensa frente a Ryuk y familias similares es organizativa y de configuración. Basándose en las recomendaciones de la alerta AA20-302A de CISA y en las buenas prácticas de INCIBE y el CCN:

Copias de seguridad fuera de línea. Mantener copias offline y cifradas siguiendo la regla 3-2-1 (tres copias, en dos soportes, una fuera de las instalaciones) y probar la restauración periódicamente. Es la medida más eficaz para recuperarse sin pagar.
Segmentar la red para que un equipo infectado no pueda alcanzar toda la organización, y separar los entornos sensibles del correo.
Doble factor de autenticación (MFA) y principio de mínimo privilegio; auditar las cuentas de administrador y la creación de cuentas nuevas.
Restringir el acceso remoto (RDP): cerrar puertos no usados y vigilar los registros de conexión.
Actualizar sistemas operativos, aplicaciones y firmware, y mantener el antivirus al día.
Formar al personal para reconocer y notificar correos de phishing, que es la puerta de entrada más habitual.
Plan de respuesta a incidentes probado y, en España, tener presente la obligación del RGPD de notificar a la AEPD una brecha de datos personales en un plazo de 72 horas si la hubiera.

Ante indicios de infección, conviene aislar de inmediato los equipos afectados y contactar con un CERT de referencia (INCIBE-CERT o CCN-CERT).