Os encontráis con la pantalla bloqueada, archivos con extensión rara o una nota exigiendo un pago en criptomoneda «antes de que se pierda todo». Es un ataque de ransomware, y le pasa a pymes y a empresas grandes. La buena noticia es que en muchos casos se puede recuperar la información y volver a operar si se actúa en las primeras horas: aislar, preservar evidencias, no pagar a ciegas y restaurar desde copias limpias o, cuando existe, una herramienta de descifrado.
No es lo mismo que un correo de empresa hackeado ni que un phishing a un empleado, aunque a menudo el ransomware entra justo por ahí. Te contamos qué es, qué tipos hay (incluido el RaaS y la doble o triple extorsión), qué hacer en las primeras horas según INCIBE y cuándo pedir ayuda.
Respuesta rápida
Ante un ransomware: no paguéis el rescate. Aislad los equipos de la red (no formateéis ni reinstaléis a lo loco). Clonad el disco, cambiad contraseñas desde un equipo limpio, denunciad, reportad a INCIBE-CERT (nota de rescate + dos ficheros cifrados sin datos personales) y buscad recuperación en No More Ransom o en backups limpios. Si hay datos personales, valorad la AEPD en 72 horas.
En este artículo
Qué es un ataque de ransomware
Según INCIBE, el ransomware es un tipo de malware que «secuestra» equipos y dispositivos conectados —ordenadores, portátiles, móviles— impidiendo el acceso a la información, casi siempre cifrándola, y pide un rescate (ransom) a cambio de liberarla. Se manifiesta cuando el daño ya está hecho: aparece un mensaje en pantalla (la ransom note) advirtiendo del bloqueo y apremiando a pagar con urgencia, a veces con amenazas de destrucción o de filtración.
En las empresas puede causar pérdidas temporales o permanentes de información, interrupción de la actividad, coste económico y daño de reputación. INCIBE señala que este tipo de ataque crece porque hay más dispositivos «secuestrables», la criptografía facilita el cifrado y los pagos anónimos dificultan el seguimiento.
Cómo suele entrar
INCIBE resume las vías más habituales:
- Correo con adjuntos o enlaces maliciosos (ingeniería social).
- Escritorio remoto (RDP) expuesto a Internet con credenciales débiles y sin protecciones.
- Vulnerabilidades en el navegador o en servicios expuestos (FTP, SSH, RDP, etc.).
- Dispositivos externos infectados conectados a la red corporativa.
Si el origen pudo ser un correo engañoso, revisad también la guía de phishing a un empleado.
Tipos: cifrado, bloqueo, RaaS y doble o triple extorsión
No todo ransomware es igual. Conviene distinguir al menos estas formas (según las descripciones de INCIBE e INCIBE-CERT):
Ransomware de cifrado y de bloqueo (locker)
El más habitual cifra archivos (documentos, bases de datos, copias) y deja una nota con instrucciones de pago. Otras variantes bloquean el uso del equipo o parte de la información mostrada en pantalla. En ambos casos el objetivo es el mismo: presión para pagar.
Ransomware as a Service (RaaS)
INCIBE explica el modelo RaaS (Ransomware as a Service): los desarrolladores ofrecen el malware a suscriptores o afiliados con menos conocimiento técnico, a cambio de un porcentaje del rescate. Eso multiplica el número de ataques. En su artículo sobre ransomware frecuentes en pymes, INCIBE sitúa familias como LockBit en ese modelo y recuerda que las pymes son un blanco frecuente: menos recursos de seguridad y, aun así, datos sensibles.
Doble, triple (y más) extorsión
INCIBE-CERT documenta la evolución:
- Extorsión simple: cifrar y pedir rescate.
- Doble extorsión: cifrar y robar información, amenazando con publicarla (ejemplo histórico: Maze en 2019).
- Triple extorsión: sumar otras coacciones, como ataques de denegación de servicio (ejemplo documentado: Avaddon en 2021).
- Cuádruple: presión también sobre clientes o socios de la víctima.
Aunque no paguéis el rescate del cifrado, la amenaza de filtración cambia el escenario: puede haber brecha de datos personales y obligación de notificar a la AEPD.
Qué hacer en las primeras horas
Que os hayan cifrado sistemas pasa en empresas muy cuidadas. Lo que marca la diferencia es no improvisar a lo loco y seguir un orden. INCIBE resume: no pagar, aislar, clonar, denunciar, cambiar contraseñas, desinfectar y recuperar o restaurar.
1. Aislar (no formatear ni reinstalar a ciegas)
Desconectad de la red los equipos afectados (cable y Wi‑Fi). Sospechad también de discos duros externos, unidades de red y servicios en la nube que estuvieran montados: el ransomware puede haberse propagado. No conectéis más dispositivos «para mirar».
No formateéis ni reinstaléis el sistema en el primer minuto: destruís evidencias y os cerráis puertas de recuperación. Tampoco hace falta «apagar todo el CPD» sin criterio: el objetivo es contener la propagación y conservar lo que hay en disco.
2. Clonar el disco y preservar evidencias
INCIBE recomienda una clonación completa del disco. Trabajaréis sobre el clon; el original se conserva por si más adelante aparece un descifrador. Guardad la nota de rescate original (archivo o captura), dos ficheros cifrados sin datos personales (idealmente Word/Excel de menos de 1 MB, como pide INCIBE-CERT) y una cronología de qué se vio y cuándo.
3. No pagar el rescate
INCIBE lo dice con claridad: no pagar nunca el rescate. Motivos oficiales:
- Pagar no garantiza recuperar el acceso a los datos (tratáis con delincuentes).
- Si pagáis, es más probable que os vuelvan a atacar: ya saben que estáis dispuestos a pagar.
- Pueden pediros una cifra mayor después del primer pago.
- Pagar fomenta el negocio de los ciberdelincuentes.
No More Ransom (proyecto con Europol y partners) coincide: nunca debéis pagar; no hay certeza de recibir la clave.
4. Cambiar contraseñas y cortar accesos
Desde un equipo limpio, cambiad contraseñas de red, correo, VPN, administradores y cuentas cloud. Activad o revisad la verificación en dos pasos. Revocad sesiones sospechosas. Si el vector pudo ser el correo corporativo, seguid también qué hacer si han hackeado el correo de la empresa.
5. Denunciar y reportar a INCIBE-CERT
Denunciad ante la Policía Nacional o la Guardia Civil. La Guardia Civil permite iniciar la denuncia por internet con certificado o Cl@ve. Llevad la nota de rescate, capturas, cronología y, si la tenéis, la identificación de la familia de ransomware. Guía práctica: cómo denunciar una estafa online en España.
Reportad a INCIBE-CERT el incidente de ransomware: descripción, datos de contacto, nota de rescate y dos ficheros cifrados sin datos personales. El equipo opera de forma continuada y os ayuda en la mitigación. Ante dudas, la Línea de Ayuda en Ciberseguridad 017 de INCIBE.
6. Identificar la familia y buscar descifrado (No More Ransom)
En No More Ransom usad Crypto Sheriff: subís ficheros cifrados o la nota y, si hay herramienta, os orientan al descifrado. INCIBE remite a este proyecto (avalado por Europol). Si no hay solución hoy, conservad el disco clonado: a veces aparece más adelante. Con el nombre de la familia, el 017 puede ampliar fuentes de desinfección.
7. Desinfectar y restaurar desde backups limpios
Antes de recuperar datos, eliminad el malware y sus persistencias en el clon (antivirus/antimalware actualizado); si no, podrían volver a cifrar. Después:
- Comprobad shadow copies o snapshots anteriores a la infección, si existen y son fiables.
- Preferible: disco nuevo o formateado + instalación limpia del sistema + restauración de la copia de seguridad más reciente anterior al ataque.
Si restauráis backups, verificad que la copia no estuviera ya infectada ni montada cuando cifró.
8. Si hay datos personales → AEPD en 72 horas
Si la incidencia afecta a datos de carácter personal, INCIBE recuerda que el responsable del tratamiento debe notificar a la autoridad de control en 72 horas desde que tiene constancia, cuando sea probable un riesgo para los derechos y libertades. En el ámbito privado en España suele ser la AEPD (o las autoridades de Cataluña, País Vasco o Andalucía según el caso). Detalle y criterios en brecha de datos: notificar a la AEPD. Si valoráis que no hay riesgo, documentad hechos, efectos y medidas: la AEPD exige esa documentación igualmente.
Cómo prevenir el siguiente golpe
INCIBE insiste en medidas prácticas; estas son las que más cortan el ransomware:
- Copias 3-2-1: al menos tres copias, en dos tipos de soporte, una fuera de línea o fuera de sitio; y probar que se pueden restaurar. Una copia conectada permanentemente a la red no sirve el día del ataque.
- Parches y actualizaciones de sistemas, navegadores y servicios expuestos; antivirus/antimalware al día.
- RDP y acceso remoto: no exponer escritorio remoto a Internet a pelo; priorizar VPN, credenciales fuertes y MFA. Dharma y otros, según INCIBE, abusan de RDP mal protegido.
- Menos exposición: firewall bien configurado, mínima exposición de servicios, principio de mínimos privilegios.
- Correo y concienciación: filtros antispam, autenticación de correo y formación corta para no abrir el adjunto o el enlace que abre la puerta.
- Plan de respuesta escrito: quién aísla, quién clona, quién llama al 017 y quién valora la AEPD, sin perder horas discutiendo.
Si queréis revisar backups, RDP/VPN, correo y el plan ante incidentes, en Kironic ayudamos con una auditoría de ciberseguridad para empresas.
Cuándo pedir ayuda profesional
Si el cifrado afecta a muchos equipos o a la facturación, si no sabéis si también robaron datos (doble extorsión), si el backup falla o está tocado, si os presionan con filtraciones o un segundo chantaje, o si el plazo de la AEPD aprieta, merece la pena una valoración profesional cuanto antes.
Contamos con un equipo de abogados y peritos especializados en ciberataques a empresas, ransomware y delitos informáticos. Envíanos la nota de rescate, el alcance (qué está cifrado) y si tenéis copias. Lo revisamos gratis y te decimos cómo contener, denunciar, reportar a INCIBE-CERT y recuperar la actividad. En muchos casos se puede volver a operar sin pagar el rescate. En Kironic hacemos todo lo posible por recuperar tu información y tu negocio.
Un último aviso: después de un ransomware, a veces aparecen empresas que garantizan recuperar los datos o el dinero al 100 % a cambio de un pago por adelantado. Suele ser la segunda estafa. Te contamos cómo reconocerlas en cómo detectar falsas empresas de recuperación.
