Resumen rápido: si tu empresa sufre un ataque de ransomware, lo más importante en la primera hora es aislar los equipos afectados sin apagarlos, no pagar el rescate de forma precipitada, avisar a tu equipo técnico y conservar las evidencias. Después toca recuperar desde copias limpias, notificar a quien corresponda y cerrar la puerta por la que entraron.

El ransomware es uno de los ataques más dañinos para las empresas españolas. INCIBE gestionó más de 122.000 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior, y el ransomware sigue entre los vectores predominantes junto al phishing y el malware. No es cuestión de si te tocará, sino de cuándo y de lo preparado que estés.

¿Qué es un ataque de ransomware?

El ransomware es un software malicioso que cifra los archivos y sistemas de la víctima y exige un pago (normalmente en criptomonedas) a cambio de la clave para recuperarlos. Hoy casi todos los grupos practican la doble extorsión: además de cifrar, roban datos y amenazan con publicarlos si no pagas.

Cómo saber si te han atacado

• Archivos con extensiones extrañas que no se pueden abrir.
• Una nota de rescate en el escritorio o en las carpetas («README», «HOW_TO_DECRYPT»…).
• Equipos o servidores extremadamente lentos, o el antivirus desactivado sin motivo.
• Cuentas de usuario nuevas o con privilegios que nadie ha creado.

Qué hacer en la primera hora: 7 pasos

1. Aísla los equipos afectados de la red. Desconecta el cable de red y el wifi. No los apagues: la memoria puede contener información útil para la investigación e incluso claves de cifrado.
2. Desconecta las copias de seguridad que sigan conectadas a la red para evitar que también se cifren.
3. Avisa a tu responsable técnico o a tu proveedor de ciberseguridad inmediatamente. Cada minuto cuenta.
4. No borres nada ni reinstales todavía. Conserva la nota de rescate, los registros y los equipos tal como están.
5. Cambia contraseñas críticas desde un equipo limpio, empezando por las cuentas de administrador, el correo y la banca.
6. No contactes con los atacantes por tu cuenta ni pagues sin asesoramiento.
7. Documenta todo: qué has visto, a qué hora y qué acciones se han tomado.

¿Hay que pagar el rescate?

Las autoridades y los expertos desaconsejan pagar. Pagar no garantiza que recuperes los datos (las herramientas de descifrado a menudo fallan), no impide que publiquen la información robada, te marca como objetivo rentable para nuevos ataques y financia a grupos criminales. La decisión debe tomarse siempre con asesoramiento técnico y legal, nunca en caliente.

Recuperación: volver a funcionar

1. Identifica el alcance: qué sistemas están cifrados, qué datos se han podido robar y por dónde entraron.
2. Elimina la amenaza: antes de restaurar, hay que cerrar el acceso de los atacantes. Si no, volverán a cifrar.
3. Restaura desde copias limpias, verificando que no contienen el malware. Aquí es donde las copias inmutables (que no se pueden modificar ni borrar) marcan la diferencia.
4. Prioriza los sistemas críticos para la facturación y la atención a clientes.
5. Monitoriza durante semanas por si quedan accesos ocultos.

A quién hay que avisar

• INCIBE-CERT (empresas y ciudadanos): a través del teléfono 017 o de su web, de forma gratuita.
• Agencia Española de Protección de Datos: si hay datos personales afectados, el RGPD obliga a notificar la brecha en un plazo de 72 horas, salvo que sea improbable que suponga un riesgo para las personas.
• Policía Nacional o Guardia Civil: denuncia el delito.
• Tu aseguradora, si tienes póliza de ciberriesgo (muchas exigen aviso inmediato).
• Clientes y proveedores afectados, con un mensaje claro y coordinado.

Cómo evitar que vuelva a pasar

• Copias de seguridad 3-2-1 con una copia inmutable o desconectada, y pruebas de restauración periódicas.
• Autenticación multifactor en correo, VPN, escritorio remoto y cuentas de administrador.
• Parches al día, especialmente en equipos expuestos a internet.
• Formación contra el phishing, la puerta de entrada más habitual.
• Segmentación de la red y mínimos privilegios para que un equipo infectado no comprometa toda la empresa.
• Un plan de respuesta a incidentes escrito y ensayado.

Preguntas frecuentes sobre ransomware

¿Se pueden recuperar los archivos cifrados sin pagar?

A veces. Existen herramientas de descifrado gratuitas para algunas variantes (por ejemplo, en el proyecto No More Ransom), pero la vía más fiable es restaurar desde copias de seguridad limpias.

¿Debo apagar el ordenador infectado?

No. Desconéctalo de la red, pero déjalo encendido para no perder información útil para la investigación.

¿Tengo que notificar un ataque de ransomware?

Si hay datos personales afectados, debes notificarlo a la AEPD en 72 horas cuando exista riesgo para las personas. Las empresas sujetas a NIS2 tendrán además que enviar una alerta temprana en 24 horas a la autoridad competente.

¿Cuánto tarda una empresa en recuperarse?

Depende sobre todo de las copias de seguridad y del plan de respuesta. Con copias inmutables y un plan ensayado, la recuperación se mide en horas o días; sin ellos, puede llevar semanas.

Descubre nuestros servicios de ciberseguridad y continuidad de negocio y de backup para empresas.