El ransomware cifra los archivos de la empresa y pide un rescate para recuperarlos. Cada vez más grupos, además, roban los datos antes de cifrarlos y amenazan con publicarlos. INCIBE contabilizó 392 casos de ransomware en 2025, dentro de más de 55.000 incidentes de código malicioso (balance de INCIBE de 2025). Son solo los casos que se notifican, y para una pyme uno solo puede suponer días o semanas sin facturar.
Cómo se reconoce un ataque en curso
- Archivos que no se abren y que de repente tienen una extensión extraña.
- Una nota de rescate en el escritorio o en las carpetas compartidas.
- Equipos o servidores muy lentos, con el disco trabajando sin parar.
- Avisos del antivirus o cuentas que se bloquean sin motivo.
Qué hacer en la primera hora
- Aísla los equipos afectados. Desconecta el cable de red y el wifi. No los apagues si puedes evitarlo: la memoria puede contener información útil para el análisis.
- Avisa a informática o a tu proveedor de inmediato. No intentes arreglarlo por tu cuenta ni lo ocultes por miedo a la reacción: cada minuto cuenta.
- Protege las copias de seguridad. Si hay discos o NAS de copia conectados y aún no están afectados, desconéctalos.
- No pagues ni contactes con los atacantes. Pagar no garantiza recuperar los datos ni que no los publiquen, y te señala como objetivo para el siguiente ataque.
- Documenta lo que ves: fotografía la nota, apunta la hora, los equipos afectados y lo que se ha hecho.
- Cambia las contraseñas desde un equipo limpio, empezando por el correo, los accesos remotos y las cuentas de administración.
Después de la primera hora
- Denuncia ante la Policía Nacional o la Guardia Civil. La necesitarás también para el seguro.
- Pide orientación: la línea 017 de INCIBE asesora gratis a empresas.
- Limpia antes de restaurar. Si restauras las copias sobre equipos aún comprometidos, el ataque vuelve a empezar.
- Restaura desde copias verificadas y comprueba que los datos están completos antes de volver a trabajar.
- Averigua por dónde entró: un correo, un acceso remoto expuesto, una contraseña reutilizada… Si no cierras esa puerta, volverá a pasar.
Cómo prepararte antes de que ocurra
- Copias de seguridad con la regla 3-2-1: tres copias, en dos soportes distintos y una fuera de la red o inmutable.
- Comprobar de vez en cuando que las copias se pueden restaurar.
- Verificación en dos pasos en el correo y en los accesos remotos.
- Sistemas y programas actualizados.
- Cada persona con los permisos que necesita, y no más.
- Una plantilla que sabe reconocer un correo malicioso y que sabe a quién avisar.
Si quieres que tu equipo sepa qué hacer cuando ocurra, el curso de ciberseguridad para empleados lo entrena con casos reales y un examen final.