Un empleado no puede abrir las facturas, el programa de gestión muestra archivos con nombres extraños y aparece una nota pidiendo un pago en criptomonedas. Ante un ransomware, qué hacer durante la primera hora marca la diferencia entre una incidencia limitada y varios días de parón. La prioridad no es borrar el aviso ni pagar deprisa: es contener el ataque, proteger las pruebas y recuperar la operativa con criterio.
Para una pyme, un autónomo, una asesoría o un comercio, el daño no se limita a los ordenadores. Puede afectar al correo, a la facturación, a los pedidos, a las copias de seguridad conectadas, a los datos de clientes y a la reputación del negocio. Actuar con calma, pero sin demoras, es la mejor respuesta.
Ransomware: qué hacer nada más detectar el ataque
Aísla inmediatamente el equipo afectado de la red. Desconecta el cable de red y desactiva el Wi-Fi, pero no lo apagues salvo que un técnico te lo indique. Mantenerlo encendido puede conservar información útil para analizar qué ha ocurrido y hasta dónde ha llegado el ataque.
Si detectas archivos cifrados en una carpeta compartida, desconecta también los demás equipos que tengan acceso a esa red o servidor. No conectes discos externos para intentar copiar archivos y no abras adjuntos, enlaces o programas que puedan estar relacionados con el incidente. Cada conexión adicional puede facilitar que el ransomware se propague.
Avisa a las personas que usan los sistemas afectados con un mensaje claro: que no reinicien equipos, no inicien sesión en otros ordenadores con las mismas credenciales y no borren correos sospechosos. En este punto, improvisar suele empeorar la situación. Conviene que una persona coordine la comunicación interna y que el resto se centre en mantener la actividad por vías alternativas, si las hay.
Documenta lo que ves. Haz fotografías de la nota de rescate y anota la hora aproximada en la que se detectó el problema, los equipos afectados, las cuentas de usuario implicadas y cualquier correo o comportamiento extraño previo. No necesitas realizar un análisis técnico por tu cuenta: necesitas conservar datos para que un profesional pueda intervenir con rapidez.
No pagues ni negocies sin analizar el caso
La nota de rescate busca generar urgencia. Puede amenazar con publicar datos, aumentar el importe si no pagas pronto o asegurar que la recuperación es imposible sin una clave. Son tácticas habituales de presión.
Pagar no garantiza recuperar los archivos. Los delincuentes pueden no entregar una clave válida, entregar una herramienta incompleta o volver a extorsionar después. Además, si el acceso inicial sigue abierto, el atacante podría repetir el ataque aunque consigas descifrar parte de la información.
Esto no significa que todos los incidentes sean iguales. Cuando existe una amenaza de publicación de datos, una afectación grave a servicios críticos o información especialmente sensible, la decisión debe valorarse con asesoramiento técnico y legal. Pero el pago nunca debe ser la primera reacción ni sustituye la investigación, el cierre de accesos y la recuperación segura.
Tampoco conviene buscar en internet un supuesto descifrador y ejecutarlo sin comprobar su procedencia. Algunas herramientas fraudulentas aprovechan precisamente estos momentos para instalar más malware o robar credenciales.
Comprueba el alcance antes de recuperar archivos
El siguiente paso es determinar si el incidente se limita a un equipo o afecta a servidores, cuentas de correo, almacenamiento compartido, copias de seguridad o servicios en la nube. Un archivo cifrado es visible, pero el acceso del atacante puede haber empezado días o semanas antes.
Un análisis adecuado revisa, entre otras cuestiones, los inicios de sesión recientes, las cuentas con permisos administrativos, los accesos remotos, las actualizaciones pendientes, los registros disponibles y los cambios en las tareas programadas. También debe comprobarse si se han robado datos antes del cifrado. Algunos grupos combinan ambas acciones: exfiltran información y después bloquean los sistemas para presionar con una doble extorsión.
Cambia las contraseñas desde un dispositivo limpio, empezando por las cuentas con mayor privilegio: administración, correo corporativo, servicios de almacenamiento, acceso remoto y plataformas de facturación. Si varias personas comparten usuario y contraseña, es el momento de corregirlo. Cada trabajador debe tener su cuenta, con permisos acordes a su función.
Activa la autenticación multifactor siempre que esté disponible. No evita todos los ataques, pero reduce mucho el riesgo de que una contraseña filtrada permita entrar en el correo o en otros servicios de la empresa.
Recuperar la actividad sin reinfectar los sistemas
La recuperación debe partir de copias de seguridad verificadas y aisladas del entorno afectado. Una copia que estaba conectada permanentemente a la red puede haber sido cifrada también. Por eso no basta con comprobar que existe: hay que revisar su fecha, probar que se puede restaurar y confirmar que no contiene la infección.
Antes de restaurar, hay que eliminar la causa de la intrusión. Puede ser una contraseña comprometida, un equipo sin actualizar, una conexión remota mal configurada, un correo de phishing o una aplicación vulnerable. Restaurar datos sobre un sistema que sigue expuesto puede devolver el negocio al mismo problema en pocas horas.
En muchos casos, lo más seguro es reinstalar o reconstruir los equipos afectados, aplicar actualizaciones y configurar de nuevo los accesos antes de recuperar la información. Es un proceso más lento que copiar archivos sin más, pero reduce el riesgo de arrastrar software malicioso o configuraciones comprometidas.
La vuelta a la normalidad debe seguir un orden práctico. Primero, los sistemas que permiten atender clientes, emitir facturas, gestionar pedidos o trabajar con proveedores. Después, el resto de aplicaciones y archivos históricos. Si la empresa cuenta con procesos manuales temporales, puede mantenerlos mientras se valida cada servicio restaurado.
Si hay datos personales, no lo trates como una simple avería
Cuando el incidente afecta a datos de clientes, empleados o proveedores, puede existir una brecha de seguridad de datos personales. No todos los casos obligan a comunicarla a la autoridad competente o a las personas afectadas, pero sí exigen evaluar el riesgo y documentar lo sucedido.
Conviene conservar la cronología del incidente, las categorías de datos implicadas, las medidas adoptadas y la valoración realizada. Si hay indicios de acceso o extracción de información, consulta cuanto antes con quien gestione la protección de datos de la empresa y con especialistas técnicos. Las decisiones y los plazos importan.
También puede ser oportuno presentar denuncia, especialmente si se han producido suplantaciones, fraude, robo de datos o extorsión. La documentación recogida al principio ayudará a explicar los hechos con mayor precisión.
Cómo evitar que un ransomware paralice el negocio otra vez
La prevención no depende de una única herramienta. Un antivirus gestionado aporta una capa necesaria, pero no sustituye las actualizaciones, las copias verificadas, el control de accesos y la formación básica del equipo. El ransomware suele aprovechar una cadena de pequeños fallos, no un único error espectacular.
Un plan razonable para una empresa pequeña debe incluir copias de seguridad automáticas con una versión aislada, pruebas periódicas de restauración y un tiempo de conservación acorde al negocio. Si descubres el ataque tarde, una copia de ayer podría contener ya archivos dañados. Mantener versiones históricas ofrece más margen de recuperación.
También es recomendable revisar los permisos en carpetas compartidas. Un usuario de administración no debería utilizarse para leer el correo o navegar por internet, y un empleado no necesita acceso a todos los documentos de la organización para realizar su trabajo. Limitar privilegios reduce el alcance de una cuenta comprometida.
La formación debe ser sencilla y continua. Enseña a comprobar remitentes, desconfiar de adjuntos inesperados, verificar cambios de cuenta bancaria por otro canal y comunicar cualquier anomalía sin miedo a equivocarse. Un aviso temprano de un empleado puede detener una infección antes de que cifre el servidor.
Disponer de un protocolo escrito ayuda mucho: a quién llamar, qué equipos aislar, dónde están las copias, quién comunica a clientes y proveedores, y qué servicios deben recuperarse primero. No tiene que ser un documento complejo. Debe poder consultarse bajo presión.
En Info-con ayudamos a empresas y autónomos a revisar sus copias de seguridad, protección de equipos, correo y accesos para reducir estas situaciones y responder cuando ya se han producido. Si trabajas en Valencia, Riba-roja de Túria o alrededores, contar con apoyo técnico cercano puede acortar un parón que, de otro modo, se prolongaría demasiado.
Un ransomware no se resuelve con pánico ni con promesas de recuperación instantánea. Se gestiona aislando, analizando y restaurando con un plan. Preparar esas decisiones antes de necesitarlas protege algo más que los archivos: protege la capacidad de tu negocio para seguir atendiendo a sus clientes.