Guía definitiva de respuesta ante ransomware: qué hacer paso a paso

Son las siete de la mañana y el teléfono no para: nadie puede abrir el programa de gestión, los archivos de clientes tienen una extensión rara y en cada carpeta hay un documento de texto que pide un rescate. Es el peor escenario para cualquier responsable de IT, y lo que hagas en las próximas horas pesa más que todo lo anterior. Esta guía es el salvavidas que necesitas tener a mano: te explico paso a paso cómo contener el ataque, a quién avisar, qué errores fatales evitar y cómo recuperar la normalidad sin volver a infectarte.

Qué es y por qué importa

El ransomware ha dejado de ser un simple virus que bloquea tu ordenador para pedirte unos cientos de euros. Es una industria criminal organizada que paraliza empresas enteras. Los atacantes actuales utilizan tácticas de double extortion (doble extorsión): primero roban tus datos confidenciales y luego cifran tus sistemas. Si te niegas a pagar por la clave de descifrado, te amenazan con publicar la información robada en internet.

Imagina una pyme española de distribución logística. Un empleado hace clic en un correo de phishing (suplantación de identidad) un viernes por la tarde. El atacante entra, se mueve por la red durante el fin de semana y el domingo de madrugada despliega el ransomware. El lunes, la empresa no puede acceder a su ERP, no sabe qué pedidos tiene que enviar, no puede facturar y los camiones se quedan parados. Además, los atacantes tienen la base de datos con los números de cuenta de todos sus clientes.

El impacto económico y reputacional de una parada así puede hundir un negocio. Por eso, saber cómo reaccionar en los primeros minutos marca la diferencia entre un incidente grave y un cierre definitivo.

Fase 1: Contención inmediata (Horas 0-1)

Cuando descubres el pastel, el instinto te pide apagarlo todo de golpe. Frena. Las primeras acciones deben ser quirúrgicas para aislar la amenaza sin destruir pruebas que luego te harán falta.

Aísla los equipos, no los apagues. Desconecta inmediatamente el cable de red y desactiva el wifi de todos los equipos y servidores que muestren signos de infección. Si el ataque es masivo, desconecta el switch principal o corta la salida a internet del firewall. El objetivo es detener el movimiento lateral del atacante. No apagues los equipos afectados a menos que sea estrictamente necesario para frenar un cifrado en curso que no puedes aislar de otra forma. La memoria RAM contiene información vital para investigar cómo entraron y, a veces, incluso las propias claves de cifrado.

Protege tus copias de seguridad. Si tienes un NAS o un servidor de backups conectado a la red, desconéctalo físicamente de inmediato. Muchos grupos de ransomware buscan activamente las copias de seguridad para borrarlas antes de cifrar los servidores principales, asegurándose de que no tengas un plan B. Si usas copias en la nube, revoca temporalmente las credenciales de acceso desde tu infraestructura local.

Corta los accesos remotos y cambia credenciales. Deshabilita temporalmente las conexiones VPN, los accesos por escritorio remoto (RDP) y cualquier herramienta de soporte técnico remoto. Es muy probable que el atacante haya entrado por una de estas vías utilizando credenciales robadas. Fuerza el cierre de sesión de todos los administradores y cambia sus contraseñas desde un equipo limpio que no esté conectado a la red afectada.

Para comprobar qué conexiones de red están activas en un servidor Windows sospechoso antes de aislarlo, puedes usar este comando de solo lectura en PowerShell:

Get-NetTCPConnection | Where-Object State -eq 'Established'

Identifica la zona cero. Intenta determinar qué equipo fue el primero en mostrar síntomas. Revisa las alertas de tu antivirus o EDR (herramienta de detección y respuesta en los endpoints) si aún tienes acceso a la consola. Aislar el paciente cero es fundamental para entender el vector de entrada inicial, que suele ser un correo malicioso o una vulnerabilidad en un servidor expuesto a internet.

Fase 2: Organización y ayuda (Horas 1-4)

Una vez contenida la hemorragia inicial, necesitas organizar la respuesta. No intentes gestionar esto solo.

Activa tu plan de respuesta. Si has hecho los deberes, tendrás un IRP (Incident Response Plan o plan de respuesta a incidentes) impreso en papel. Es el momento de seguirlo. Convoca a la dirección de la empresa, al equipo de IT, a tu proveedor de servicios gestionados y al responsable legal. Designad a una sola persona para que coordine todas las acciones y centralice la información.

Usa canales de comunicación seguros. Si el atacante ha comprometido tu red, asume que tiene acceso a tu servidor de correo corporativo o a tu entorno de Microsoft 365. Si usáis el correo de la empresa para organizar la defensa, el atacante leerá vuestros planes y se anticipará. Cread un grupo en una aplicación de mensajería externa y usad vuestros teléfonos móviles personales o líneas no conectadas al wifi de la empresa.

Llama a los expertos. En España, el Instituto Nacional de Ciberseguridad (INCIBE) ofrece el número 017. Es un servicio gratuito y confidencial, disponible de 8:00 a 23:00 los 365 días del año. No solo te darán soporte técnico inicial, sino también asesoramiento psicosocial y legal.

Contacta con tu aseguradora. Si tu empresa tiene contratado un seguro de ciberriesgos, este es el momento exacto para llamarles. Suelen exigir que se les notifique de inmediato y te pondrán en contacto con sus propios peritos forenses. No toques nada más en los servidores hasta que estos peritos te den luz verde, o podrías invalidar la póliza al destruir evidencias.

Fase 3: Evaluación y notificaciones (Horas 4-24)

Con la situación estabilizada, toca averiguar a qué te enfrentas y cumplir con la ley.

Identifica al enemigo. Busca la nota de rescate, que suele ser un archivo de texto en el escritorio o en las carpetas cifradas. Ahí suele venir el nombre del grupo criminal. No contactes con ellos bajo ningún concepto. En su lugar, visita la web del proyecto No More Ransom. Esta iniciativa global dispone de herramientas gratuitas para descifrar archivos secuestrados por variantes conocidas como Lockbit 3.0, BlackBasta, Akira, Phobos, Rhysida, Midnight/Endpoint, FunkSec, DoNex y HomuWitch.

Evalúa el robo de datos. Revisa los registros (logs) del firewall y de los servidores de archivos para ver si ha habido picos de subida de datos hacia internet en los días previos al ataque. Los atacantes suelen pasar días o semanas dentro de la red copiando información antes de lanzar el ransomware. Si han exfiltrado información, debes asumir que tienes una brecha de datos.

Cumple con tus obligaciones legales. Un ataque de ransomware no es solo un problema técnico, es un problema legal. Aquí tienes un resumen de a quién avisar (no sustituye al consejo de tu abogado o tu aseguradora):

Entidad	Plazo máximo	Cuándo es obligatorio
AEPD (Agencia Española de Protección de Datos)	72 horas	Si el ataque ha comprometido datos personales (clientes, empleados) y existe un riesgo para sus derechos y libertades.
Afectados (Clientes/Usuarios)	Sin dilación indebida	Si la brecha de datos supone un riesgo alto para ellos (ej. robo de contraseñas, datos bancarios o de salud).
INCIBE-CERT / CCN-CERT	Sin dilación (con NIS2, alerta temprana en 24 horas)	Si eres un operador de servicios esenciales, proveedor digital sujeto a NIS2 o administración pública sujeta al ENS.
Fuerzas y Cuerpos de Seguridad	Lo antes posible	Muy recomendable siempre: presenta denuncia ante la Policía Nacional o la Guardia Civil con las evidencias; tu aseguradora probablemente te la pedirá.

Fase 4: Recuperación y fortificación

Pasadas las primeras 24 horas, empieza el trabajo duro: levantar la empresa de nuevo. No puedes simplemente encender los equipos y cargar la copia de seguridad.

No restaures a ciegas. Si vuelcas tu copia de seguridad en el mismo servidor sin haber averiguado por dónde entró el atacante, te volverán a cifrar en cuestión de horas. Primero debes identificar y cerrar el vector de entrada. Esto implica parchear el firewall, actualizar el software expuesto a internet, cambiar todas las contraseñas comprometidas y limpiar cualquier persistencia que el atacante haya dejado en el sistema.

Reconstruye desde cero si es posible. La recomendación principal es utilizar Golden images (imágenes maestras): plantillas preconfiguradas del sistema operativo y aplicaciones limpias para reconstruir los servidores rápidamente. Reconstruir desde una imagen limpia garantiza que no quedan puertas traseras ocultas. Si usas la nube, apóyate en Infrastructure as Code (infraestructura como código) para redesplegar entornos limpios de forma automatizada.

Asegura tus copias de seguridad futuras. Para evitar que esto vuelva a pasar, tus copias deben estar cifradas y fuera de línea (offline). Considera utilizar almacenamiento inmutable en la nube. Un almacenamiento inmutable impide que los datos sean modificados o borrados durante un periodo de tiempo determinado, ni siquiera por un administrador con credenciales legítimas. Sin embargo, configúralo con cuidado, ya que un error puede disparar los costes de almacenamiento.

Aplica el principio de confianza cero. Implementa una Zero Trust Architecture (arquitectura de confianza cero). Esto significa que no confías en ningún usuario ni dispositivo por defecto, aunque ya estén dentro de tu red. Segmenta la red para que un equipo de contabilidad infectado no pueda hablar directamente con el servidor de bases de datos de producción. Haz que el control de acceso sea lo más granular posible.

Escanea vulnerabilidades regularmente. Los atacantes buscan servicios expuestos en internet, como puertos de escritorio remoto abiertos o servidores web sin actualizar. Realiza escaneos de vulnerabilidades periódicos para identificar y cerrar estas brechas antes de que las encuentren ellos. Deshabilita cualquier protocolo de red o aplicación del sistema operativo que no sea estrictamente necesario en tus equipos expuestos.

Conserva hardware de respaldo. Si decides no reconstruir sobre el sistema principal infectado, necesitarás hardware de respaldo para levantar los sistemas críticos. Es muy recomendable sustituir el hardware obsoleto, ya que los equipos antiguos suelen presentar problemas de compatibilidad al intentar restaurar imágenes modernas o reinstalar sistemas operativos desde cero.

Errores habituales

Cuando la presión aprieta, es fácil tomar decisiones que empeoran la situación. Estos son los fallos más comunes que veo en las pymes:

1. Pagar el rescate como primera opción. Pagar no garantiza que te envíen la clave de descifrado. Además, financias la continuidad del cibercrimen y te conviertes en un objetivo jugoso para futuros ataques, porque ya saben que estás dispuesto a abrir la cartera. Las autoridades recomiendan firmemente no hacerlo.
2. Confiar en la sincronización en la nube como backup. Herramientas como OneDrive, Google Drive o Dropbox no son copias de seguridad reales si están sincronizadas en tiempo real con tu equipo. Si el ransomware cifra los archivos de tu disco duro local, el cliente de la nube subirá esos archivos cifrados automáticamente, machacando las versiones buenas en la nube. Necesitas copias aisladas y versionadas.
3. Ocultar el incidente por miedo. Intentar tapar un ataque por miedo al daño reputacional es un error gravísimo. Si se han filtrado datos de clientes y no avisas, las multas de la AEPD serán mucho peores que el daño inicial a tu imagen. La transparencia controlada, comunicando qué ha pasado y qué estás haciendo para solucionarlo, es tu mejor aliada.
4. No cambiar absolutamente todas las contraseñas. Muchos administradores cambian la clave del usuario infectado y se olvidan de las cuentas de servicio, los administradores de dominio, las cuentas de Microsoft 365 y los accesos a la VPN. Hay que rotar todas las credenciales de la empresa, sin excepción, y forzar el cierre de todas las sesiones activas en todos los servicios.
5. Restaurar sistemas sin analizar el origen. Volcar los datos limpios sobre una red que sigue teniendo la misma vulnerabilidad que permitió el ataque inicial. Es como limpiar el suelo de la cocina sin arreglar la tubería rota: te volverás a inundar.
6. Olvidar el plan de comunicaciones. En medio del caos técnico, es habitual olvidar que hay que informar a los empleados, a los proveedores y, a veces, a la prensa. Si los trabajadores no saben qué pasa, empezarán a usar herramientas no autorizadas para seguir trabajando, abriendo nuevas brechas de seguridad.

Lista de comprobación

Usa esta lista para asegurarte de que has cubierto las bases durante la crisis:

• Aislar de la red los equipos afectados desconectando el cable o el wifi.
• Bloquear inmediatamente el acceso a los sistemas de copias de seguridad.
• Mantener los equipos encendidos para preservar la memoria RAM y posibles evidencias.
• Desactivar accesos remotos (VPN, RDP, herramientas de soporte técnico).
• Establecer un canal de comunicación seguro fuera de la red corporativa.
• Llamar al 017 de INCIBE para solicitar asesoramiento técnico y legal.
• Contactar con la aseguradora de ciberriesgos antes de tocar los servidores.
• Comprobar en No More Ransom si existe un descifrador gratuito para tu variante.
• Notificar a la AEPD antes de 72 horas si hay datos personales afectados (artículo 33 del RGPD).
• Presentar denuncia formal ante las Fuerzas y Cuerpos de Seguridad.
• Identificar la puerta de entrada y cerrarla antes de restaurar cualquier backup.

Preguntas frecuentes

¿Tengo que avisar a mis clientes si sufro un ataque?

Depende del impacto. Si el ransomware solo ha cifrado los datos pero tienes pruebas de que no los han robado, y puedes restaurarlos rápido, no suele ser obligatorio. Sin embargo, si los atacantes han robado información personal (nombres, correos, facturas, datos bancarios) y esto supone un riesgo alto para tus clientes, la normativa te obliga a informarles de forma clara y sencilla para que puedan protegerse, por ejemplo, cambiando sus contraseñas o vigilando sus cuentas bancarias.

¿El seguro de ciberriesgos cubre el pago del rescate?

Es un terreno pantanoso. Algunas pólizas antiguas lo cubrían, pero la tendencia actual del sector asegurador es eliminar esta cobertura, ya que en muchas jurisdicciones financiar a grupos cibercriminales puede ser un delito. Lo que sí suele cubrir el seguro son los gastos de respuesta a incidentes, peritaje forense, recuperación de datos y asesoría legal. Revisa las condiciones de tu póliza específica.

¿Cómo sé qué variante de ransomware me ha atacado?

La forma más rápida es leer la nota de rescate, que suele incluir el nombre del grupo. Otra opción es fijarse en la nueva extensión que tienen tus archivos cifrados. Puedes subir la nota de rescate o un archivo cifrado de muestra a la herramienta Crypto Sheriff de la web No More Ransom, que analizará la firma y te dirá exactamente qué familia de malware te ha golpeado.

¿Sirven de algo las herramientas gratuitas de descifrado?

Sí, pero dependen de la variante. Funcionan muy bien para familias de ransomware antiguas o para grupos criminales cuyos servidores han sido intervenidos por la policía, que recupera las claves maestras y las publica. Para cepas muy recientes o ataques dirigidos con claves únicas por víctima, es poco probable que encuentres un descifrador gratuito el primer día, pero siempre debes comprobarlo.

¿Debería usar un proveedor de nube múltiple para mis copias?

Es una excelente práctica defensiva. Utilizar una solución multi-cloud (multinube) evita depender de un solo proveedor para tus copias de seguridad. Si todos tus servicios y copias están bajo la misma cuenta de un único proveedor y esa cuenta se ve comprometida, lo perderás todo. Diversificar reduce drásticamente este riesgo.

En resumen

• Contén sin destruir: aísla los equipos de la red inmediatamente, pero no los apagues ni borres nada hasta que un especialista forense te lo indique.
• Pide ayuda rápido: no gestiones la crisis en solitario. Llama al 017 de INCIBE, contacta con tu seguro y asesórate legalmente.
• No pagues: el pago no garantiza recuperar los datos, fomenta la industria criminal y no evita que publiquen tu información si ha habido doble extorsión.
• Restaura con cabeza: tapar la brecha de seguridad y reconstruir desde imágenes limpias es el paso previo innegociable antes de volcar tus copias de seguridad.