Un lunes a primera hora, una asesoría no puede abrir las carpetas de sus clientes. El programa de gestión muestra errores, las facturas no salen y cada equipo tiene una nota exigiendo un pago. Este escenario no afecta solo a grandes corporaciones. La búsqueda “cómo evitar ransomware empresa” suele llegar cuando un gerente entiende que una parada de varias horas puede convertirse en pérdida de ventas, incumplimientos y daño reputacional.
El ransomware es un tipo de malware que bloquea o cifra archivos y sistemas para pedir un rescate. Puede entrar por un correo falso, una contraseña filtrada, un acceso remoto sin proteger o un equipo que lleva meses sin actualizaciones. La prevención no depende de comprar una única herramienta: requiere combinar tecnología, hábitos de trabajo y un plan claro para reaccionar.
Cómo evitar ransomware en una empresa: empiece por reducir las puertas de entrada
La mayoría de los ataques no comienzan con un pirata informático entrando directamente en un servidor. Empiezan con una acción aparentemente normal: abrir un archivo adjunto, introducir una contraseña en una página de inicio de sesión falsa o reutilizar una clave que ya se filtró en otro servicio.
El correo electrónico merece una atención especial. Las facturas, los currículums, los avisos de paquetería y los mensajes de Microsoft 365 son asuntos habituales que los delincuentes imitan con facilidad. Una clínica puede recibir una supuesta documentación de un paciente; un despacho, un aviso judicial falso; una constructora, una factura de proveedor manipulada. El mensaje suele tener prisa, una pequeña anomalía en el remitente o un enlace que lleva a una página casi idéntica a la real.
La protección del correo corporativo debe filtrar mensajes maliciosos antes de que lleguen al usuario, pero ningún filtro acierta el cien por cien. Por eso, el equipo debe tener una pauta sencilla: si un mensaje pide credenciales, un pago urgente o la descarga de un archivo inesperado, se verifica por otro canal antes de actuar. Una llamada al proveedor puede evitar días de inactividad.
Las contraseñas también son una vía frecuente de entrada. Cada usuario debe utilizar una contraseña distinta y difícil de adivinar, gestionada preferiblemente con una solución corporativa. Aún más relevante es activar la autenticación multifactor en el correo, las plataformas cloud, el acceso remoto y las aplicaciones de gestión. Así, una contraseña robada por sí sola no permite entrar.
No conviene olvidar las actualizaciones. Windows, servidores, routers, firewalls, aplicaciones de facturación y programas de acceso remoto deben mantenerse al día. Aplazar un reinicio puede ser razonable durante una jornada crítica, pero dejar equipos sin parches durante semanas abre vulnerabilidades conocidas. La actualización debe planificarse, supervisarse y comprobarse para no interferir con la operativa.
Las copias de seguridad son la última línea de defensa
Una empresa puede sufrir un intento de ransomware incluso teniendo buenas medidas preventivas. Lo que determina si el incidente se convierte en una crisis es la capacidad de recuperar la información y volver a operar con rapidez.
Una copia de seguridad útil no es simplemente un disco conectado al servidor. Si esa unidad está accesible permanentemente, el ransomware puede cifrarla también. La estrategia adecuada incluye varias copias, almacenadas en soportes diferentes, con al menos una separada de la red o protegida frente a modificaciones. También puede incluir almacenamiento cloud, siempre que esté correctamente configurado y no sincronice automáticamente los archivos cifrados sin posibilidad de recuperación.
Las copias deben cubrir lo que realmente mantiene vivo el negocio: servidor de archivos, programa de gestión, bases de datos, correo cuando proceda, configuraciones de red y documentación esencial. En una inmobiliaria quizá sean los contratos y expedientes; en un taller, las órdenes de reparación y el historial de clientes; en una industria, los datos de producción y la configuración de sistemas críticos.
El error más caro es pensar que hay copia porque aparece un mensaje de “proceso completado”. Hay que verificarla y hacer restauraciones de prueba. Recuperar un archivo no equivale a recuperar un servidor, una base de datos o todos los puestos de trabajo. Las pruebas permiten conocer el tiempo real de recuperación y corregir fallos antes de una emergencia.
Controle accesos, permisos y equipos conectados
Cada persona debe tener acceso solo a las aplicaciones y carpetas necesarias para su función. Cuando todos pueden modificar todas las carpetas compartidas, un archivo malicioso ejecutado desde un único equipo puede propagarse con mucha más facilidad. Limitar permisos no es desconfiar del personal: es reducir el alcance de un error o un ataque.
Las cuentas de administrador deben reservarse para tareas técnicas. Trabajar a diario con permisos elevados aumenta el impacto de cualquier archivo ejecutado por error. También conviene revisar cuentas de exempleados, colaboradores externos y proveedores que ya no necesitan acceso. Una cuenta olvidada puede convertirse en una puerta abierta meses después.
El teletrabajo y el acceso remoto requieren especial cuidado. Abrir un puerto de escritorio remoto directamente a internet es una práctica de riesgo. Es preferible utilizar una VPN bien configurada, autenticación multifactor y reglas de acceso limitadas. Además, los portátiles que salen de la oficina necesitan cifrado, antivirus corporativo y actualizaciones gestionadas, igual que los equipos internos.
En redes con distintos usos, separar los sistemas ayuda a contener incidentes. Por ejemplo, el WiFi de invitados no debe compartir red con los equipos de administración, los TPV o los servidores. En una clínica o un comercio, esta separación reduce tanto la exposición como la capacidad de propagación de una amenaza.
Forme al equipo sin convertirlo en un curso interminable
La formación en ciberseguridad funciona mejor cuando se relaciona con situaciones concretas del trabajo. No se trata de enviar un documento de veinte páginas y pedir una firma. Una sesión breve y periódica puede enseñar a identificar correos sospechosos, informar de un incidente y evitar compartir claves.
Es útil explicar que comunicar un error rápido es positivo. Si una persona ha abierto un archivo extraño, debe avisar de inmediato, aunque piense que “no ha pasado nada”. El miedo a la reprimenda retrasa la respuesta y permite que el ransomware se extienda. Una cultura de aviso temprano protege más que una cultura de culpabilidad.
También conviene establecer normas claras para pagos y cambios de cuenta bancaria. El ransomware y el fraude por correo suelen ir de la mano. Si un supuesto proveedor solicita modificar sus datos de cobro, la confirmación telefónica con un contacto conocido debe ser obligatoria.
Tenga un plan para las primeras horas del incidente
Pagar un rescate no garantiza recuperar los datos ni impide que los delincuentes vuelvan a atacar. Además, puede haber consecuencias legales y reputacionales. La prioridad es contener el problema, preservar evidencias y recuperar los servicios de forma segura.
Ante una sospecha razonable de ransomware, el personal debe saber qué hacer: desconectar el equipo afectado de la red, sin apagarlo salvo que el equipo técnico lo indique; no conectar memorias USB ni discos externos; no intentar borrar archivos; y avisar inmediatamente al responsable designado o al soporte IT. Estas acciones reducen el riesgo de que el cifrado alcance servidores, NAS o equipos compartidos.
Después hay que revisar el alcance real. Un técnico debe identificar cómo entró la amenaza, qué cuentas se han usado, qué sistemas están comprometidos y si las copias disponibles son seguras. Recuperar archivos sin eliminar la causa puede provocar una segunda infección. En algunos casos será viable restaurar solo determinados datos; en otros, será necesario reconstruir equipos y recuperar servicios siguiendo un orden de prioridad.
Para una pyme, ese orden debería estar definido antes del incidente. Primero pueden ser el correo y el programa de facturación; después, el servidor de archivos, los puestos de trabajo y sistemas secundarios. Depende del sector y de la forma de operar, pero decidirlo durante una crisis añade retrasos innecesarios.
La prevención necesita seguimiento, no una revisión anual
Un antivirus empresarial, un firewall y unas buenas copias son piezas necesarias, pero no sustituyen la supervisión. Las alertas de actividad anómala, los intentos de acceso, el estado de las copias y las actualizaciones deben revisarse de forma continua. Esto permite detectar problemas pequeños antes de que paren la empresa.
Una auditoría de seguridad ayuda a conocer el punto de partida: equipos sin protección, permisos excesivos, accesos remotos expuestos, copias incompletas o configuraciones débiles de Microsoft 365 y Google Workspace. A partir de ahí, las medidas se priorizan según el riesgo y el presupuesto. No todas las empresas necesitan la misma arquitectura, pero ninguna debería depender de la suerte.
En RSI, el mantenimiento informático y la ciberseguridad se enfocan precisamente en prevenir paradas, monitorizar los sistemas y disponer de una respuesta ordenada cuando ocurre una incidencia. Para una pyme, contar con un equipo técnico que conozca su red, sus copias y sus aplicaciones ahorra un tiempo que, durante un ataque, puede ser decisivo.
La tranquilidad no consiste en asumir que nunca habrá un intento de ataque. Consiste en saber que el correo está protegido, los accesos están controlados, las copias se pueden restaurar y existe una persona que sabe qué hacer cuando cada minuto cuenta.
