Son las ocho de la mañana, alguien enciende su equipo y aparece un mensaje en pantalla: «tus archivos han sido cifrados». En los diez minutos siguientes se confirma que no es un ordenador, son todos. Y que el servidor tampoco responde.
Lo que se haga en las horas siguientes determina en buena medida si la empresa vuelve a operar esta semana o el mes que viene. Y la mayoría de los errores graves que hemos visto no se cometen por desconocimiento técnico, sino por improvisar bajo presión. Esta guía recoge, paso a paso, qué hacer ante un ataque de ransomware en una empresa: qué hacer primero, qué no hacer bajo ningún concepto y en qué orden abordarlo.
Lo primero: contener antes que investigar.
La prioridad absoluta de la primera hora no es averiguar qué ha pasado, sino impedir que siga pasando; el cifrado puede estar todavía en curso y propagándose.
💻 Aísla los equipos afectados de la red.
Desconecta el cable de red y desactiva el wifi de los equipos comprometidos. Si el alcance es amplio, aísla el segmento entero. El objetivo es cortar la propagación hacia lo que todavía está limpio.
🔌 No apagues los equipos: desconéctalos.
Es la diferencia que más gente desconoce. Apagar un equipo destruye información volátil de la memoria que puede ser decisiva para identificar el tipo de ataque, el momento de entrada y, en algunos casos, incluso para la recuperación. Aísla, pero deja encendido.
💽 Protege las copias de seguridad de inmediato.
Si hay una unidad de copia conectada, desconéctala físicamente ya. Y antes de restaurar nada, verifica que esa copia no está también comprometida. Es un paso que da pereza cuando hay prisa y es exactamente el que evita volver a infectarse al día siguiente.
🔒 Revoca accesos y cambia credenciales.
Especialmente las cuentas con privilegios de administración y los accesos remotos. Si el atacante conserva credenciales válidas, puede volver a entrar en cuanto restaures.
¿Qué es lo que no debes hacer?
Bajo ningún concepto…
- No reinicies ni formatees por iniciativa propia: puedes destruir evidencias y cualquier opción de recuperación.
- No restaures copias hasta haber confirmado que el entorno está limpio y que la copia también lo está.
- No contactes con los atacantes por tu cuenta.
- No improvises la comunicación. Un mensaje precipitado a clientes o en redes puede generar un problema de reputación mayor que el incidente técnico.
- No lo ocultes internamente. La plantilla necesita saber qué puede y qué no puede hacer con sus equipos durante las próximas horas.
Valora el alcance real del ataque.
Con la propagación contenida, toca responder a tres preguntas, por este orden:
- ¿Qué sistemas están afectados? Equipos, servidores, almacenamiento en red, copias y servicios en la nube.
- ¿Qué información está comprometida? Y, muy concretamente: ¿incluye datos personales de clientes, empleados o terceros?
- ¿Se han llevado los datos, además de cifrarlos? Buena parte de los ataques actuales extraen una copia de la información antes de cifrarla, para añadir la amenaza de publicarla. Esto cambia por completo el tratamiento del incidente.
Esta valoración conviene documentarla desde el primer momento: hora de detección, sistemas implicados, acciones realizadas y por quién. Será necesaria después, tanto para la notificación como para el seguro, si lo hay.
Notificar el ataque no es opcional.
Este apartado suele resolverse tarde y mal, y tiene consecuencias.
📰 Si hay datos personales afectados.
Una brecha de seguridad que afecte a datos personales conlleva obligaciones de notificación a la autoridad de control en un plazo breve desde que se tiene conocimiento, y en determinados casos también a las personas afectadas. Los criterios y el procedimiento concretos están publicados por la Agencia Española de Protección de Datos, y conviene consultarlos en cuanto se confirme el alcance.
🔓 Si tu organización está sujeta a NIS2 o al ENS.
Las entidades obligadas por la Directiva NIS2 tienen deberes específicos de notificación de incidentes significativos. Por otro lado, las entidades sujetas al Esquema Nacional de Seguridad deben notificar al CCN-CERT conforme a los procedimientos establecidos. En ambos casos los plazos son cortos, así que esta comprobación no puede dejarse para el final.
⚖️ Denuncia.
Un ataque de ransomware es un delito. Interponer denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado —Policía Nacional o Guardia Civil, que cuentan con unidades especializadas en delitos telemáticos— es un paso recomendable y, con frecuencia, necesario para el seguro.
🤝Apoyo público disponible.
El INCIBE pone a disposición de empresas y ciudadanos una línea de ayuda en ciberseguridad y recursos de respuesta ante incidentes. Es un recurso gratuito y conviene conocerlo antes de necesitarlo.
¿Y si pagamos el rescate?
Es la pregunta que aparece siempre, y merece una respuesta honesta en lugar de una consigna.
Las autoridades de ciberseguridad desaconsejan el pago, y por razones sólidas:
- Pagar no garantiza recuperar. Se paga por una promesa de quien ya ha demostrado no ser de fiar, y las herramientas de descifrado que entregan funcionan de forma incompleta con cierta frecuencia.
- No elimina el problema de la información extraída. Si se llevaron los datos, siguen teniéndolos después de cobrar.
- Marca a la empresa como pagadora, lo que aumenta la probabilidad de volver a ser objetivo.
- Puede tener implicaciones legales según a quién se esté transfiriendo el dinero.
La decisión, en cualquier caso, no debería tomarse en caliente ni en solitario: implica a dirección, a asesoría legal y al equipo técnico. Y la forma de no tener que planteársela nunca es tener una copia de seguridad que funcione.
¿En qué orden empezamos a recuperarnos?
Con el incidente contenido, notificado y documentado, la recuperación ante un ataque de ransomware sigue una secuencia:
- Limpiar antes de restaurar. Restaurar sobre un entorno todavía comprometido es volver al punto de partida en cuestión de horas.
- Cerrar la puerta de entrada. Si no se identifica y corrige el vector —un correo, un acceso remoto expuesto, una vulnerabilidad sin parchear—, el ataque se repite.
- Restaurar por prioridad de negocio, empezando por los sistemas que permiten volver a facturar y atender a clientes.
- Verificar la integridad de lo restaurado antes de devolverlo a producción.
- Reforzar: autentificación multifactor, segmentación de red, copias inmutables y formación al equipo. Las bases de cualquier guía de buenas prácticas en ciberseguridad para empresas.
La conversación incómoda… ¿por qué han llegado hasta aquí?
Pasado el incidente llega el análisis, y casi siempre aparecen las mismas causas: un acceso remoto expuesto, un sistema sin actualizar, una contraseña reutilizada, la ausencia de doble factor o un correo que alguien abrió sin saber qué miraba. Ninguna de esas cosas se arregla con un producto. Se arreglan con criterio, mantenimiento y acompañamiento. Puedes profundizar en ello en nuestra guía de buenas prácticas de ciberseguridad para empresas y en el artículo sobre cómo prevenir el phishing, que sigue siendo la puerta de entrada más utilizada.
En CentroMiPC acompañamos a empresas e instituciones tanto antes como durante un incidente:
- Respuesta ante incidentes: contención, análisis del alcance y recuperación ordenada.
- Plan de recuperación documentado, con RTO y RPO definidos, para que el día del incidente nadie improvise.
- Copias cifradas, inmutables y con restauración probada, revisadas periódicamente.
- Bastionado y monitorización: MFA, segmentación de red, parcheo centralizado y vigilancia continua.
- Formación y simulacros para que el equipo sepa reconocer la amenaza y a quién avisar.
El mejor momento para preparar esto es antes. Si estás leyendo esto con el incidente en curso, llámanos. Si lo estás leyendo con calma, aprovecha: media hora de preparación hoy vale por una semana de recuperación mañana.
Solicita un diagnóstico de seguridad digital y continuidad con CentroMiPC y revisaremos contigo tus copias, tus accesos y tu plan de respuesta.