Un aviso de rescate en pantalla, archivos con nombres extraños o carpetas que ya no se abren no son una incidencia informática normal. Saber qué hacer ante ransomware en los primeros minutos puede marcar la diferencia entre una interrupción controlada y varios días de empresa parada, pérdida de información y clientes sin respuesta.
El ransomware es un tipo de ataque que bloquea o cifra los archivos de una empresa y exige un pago para recuperarlos. Puede entrar por un correo falso, una contraseña robada, un acceso remoto mal protegido, una actualización pendiente o un equipo conectado a la red sin las medidas adecuadas. Una asesoría puede quedarse sin expedientes, una clínica sin acceso a historiales y una empresa industrial sin poder facturar, gestionar pedidos o trabajar con su ERP.
La prioridad no es discutir con los atacantes ni reiniciar computadoras al azar. La prioridad es contener el daño, preservar las evidencias y recuperar la actividad de forma segura.
Qué hacer ante ransomware: actúe en los primeros minutos
Si detecta indicios de cifrado, desconecte inmediatamente de la red el equipo afectado. Retire el cable de red y desactive el WiFi. Si se trata de una laptop, no basta con cerrar la tapa: hay que cortar su comunicación con el resto de los sistemas. No apague el equipo salvo que un técnico se lo indique. Mantenerlo encendido puede ayudar a analizar qué ha ocurrido y evitar perder información útil para la recuperación.
Después, avise al resto de la empresa. Pida a los usuarios que dejen de abrir correos sospechosos, archivos compartidos y unidades de red hasta que se revise la situación. Si varios equipos muestran síntomas, desconecte los puestos afectados uno por uno. No desconecte a ciegas el servidor, el NAS o todos los sistemas: una acción precipitada puede complicar el diagnóstico o afectar copias de seguridad que todavía estén sanas.
También conviene anotar la hora en que se detectó el problema, el usuario afectado, los mensajes aparecidos en pantalla y cualquier correo o archivo que pudiera estar relacionado. Una foto del aviso de rescate y una copia del nombre de los archivos cifrados pueden aportar datos valiosos al equipo técnico.
Lo que no debe hacer durante un ataque
En una situación de presión es habitual buscar soluciones rápidas que empeoran el incidente. No pague el rescate de forma inmediata. El pago no garantiza que vaya a recuperar los datos, que las claves funcionen o que los delincuentes no vuelvan a atacar. Además, aunque descifren parte de la información, pueden haber robado documentos, bases de datos o credenciales antes de cifrar los equipos.
No use programas de limpieza o descifrado encontrados en internet sin una revisión profesional. Algunos eliminan rastros necesarios para identificar la variante del ataque o pueden dañar archivos que todavía son recuperables. Tampoco restaure una copia de seguridad sobre el servidor afectado hasta confirmar que el ransomware ha sido eliminado y que la copia no está comprometida.
Evite conectar discos externos, memorias USB o nuevas computadoras a la red. Si el malware sigue activo, puede cifrar también esos dispositivos. Y no asuma que el problema se limita al equipo donde apareció el aviso: un atacante puede haberse movido por la red, accedido al correo corporativo o utilizado una cuenta con permisos elevados.
Contacte con soporte especializado y contenga el alcance
Un ataque de ransomware debe tratarse como una emergencia de negocio. El técnico necesita determinar qué sistemas están afectados, cómo entró el atacante y si existe riesgo en servidores, Microsoft 365, Google Workspace, copias de seguridad, NAS, equipos remotos y cuentas de correo.
La revisión inicial suele incluir el aislamiento de los sistemas comprometidos, el análisis de accesos recientes, la desactivación o el cambio de contraseñas de cuentas críticas y la comprobación de las copias disponibles. Si hay accesos remotos, VPN, escritorios remotos o herramientas de teletrabajo, también deben revisarse. Muchos ataques comienzan con credenciales filtradas y no con un virus visible en un correo.
En empresas con servidor o almacenamiento NAS, hay que comprobar si el cifrado alcanzó las carpetas compartidas y si las copias tienen versiones anteriores intactas. Una copia conectada permanentemente y accesible desde la red puede resultar cifrada junto con los datos principales. Por eso no basta con decir que “hay backup”: hay que saber cuándo se hizo, dónde está almacenado y si realmente se puede restaurar.
RSI, NecesitoUnInformatico.com, puede intervenir en este tipo de incidencias para aislar sistemas, revisar el alcance del ataque y plantear una recuperación orientada a que la empresa vuelva a operar con seguridad, no solo a encender equipos.
Recupere los datos sin reinfectar la empresa
La recuperación debe seguir un orden. Primero se limpia o reconstruye el entorno afectado. Después se restauran los datos desde una copia verificada. Por último, se revisan los accesos y se monitoriza el entorno para detectar actividad anómala. Restaurar archivos en una red donde el atacante todavía conserva acceso solo reproduce el problema.
No siempre se recupera todo de la misma forma. Si el ataque afecta a una computadora aislada y existe una copia reciente, la solución puede ser relativamente rápida. Si alcanza un servidor, un NAS, varias cuentas de Microsoft 365 o una base de datos de gestión, el proceso exige más análisis y prioridades claras.
La empresa debe decidir qué necesita recuperar primero para seguir operando. En una clínica, puede ser la agenda y el acceso a historiales. En una gestoría, las aplicaciones contables, los documentos de clientes y el correo. En un comercio, el TPV, el inventario y la facturación. Esta priorización reduce el tiempo de parada y evita intentar restaurarlo todo sin un plan.
También es necesario valorar si hubo extracción de datos. Algunos grupos criminales no solo cifran la información: amenazan con publicar documentos si no se paga. Si hay datos personales, contratos, historiales médicos o información financiera afectada, puede haber obligaciones de análisis y notificación conforme a la normativa aplicable. La gestión técnica y la legal deben coordinarse, especialmente en sectores con información sensible.
Las copias de seguridad que realmente protegen
Una estrategia útil frente al ransomware combina varias copias, ubicaciones separadas y verificaciones periódicas. La regla más conocida es 3-2-1: mantener al menos tres copias de los datos, en dos soportes distintos y una fuera de la oficina. Para muchas pymes conviene añadir una copia inmutable o desconectada, que no pueda modificarse desde los sistemas habituales.
No todas las empresas necesitan la misma frecuencia. Un despacho que trabaja documentos a diario puede requerir copias continuas o varias al día. Un taller con información administrativa menos cambiante quizá pueda operar con una copia nocturna, aunque también debe proteger su programa de gestión y sus facturas. Depende de cuántas horas de trabajo puede permitirse perder y del coste real de estar parado.
La prueba clave no es que el sistema muestre “copia completada”. Es restaurar archivos y comprobar que abren, recuperar una máquina de prueba o validar una base de datos. Muchas empresas descubren que su backup falla justo cuando lo necesitan porque nadie había revisado las alertas, el espacio disponible o la recuperación de versiones.
Cómo reducir el riesgo después del incidente
Una vez recuperada la operación, no conviene volver a trabajar igual que antes. El incidente debe servir para corregir la puerta de entrada y reducir el impacto de un próximo intento. Las medidas más eficaces suelen combinar tecnología, procedimientos y formación del personal.
Una empresa necesita protección de correo para filtrar mensajes maliciosos, antivirus corporativo gestionado, actualizaciones de seguridad, firewall bien configurado y acceso remoto protegido con autenticación de dos factores. También debe limitar permisos: no todos los usuarios necesitan acceso a todas las carpetas, ni deben utilizar cuentas administradoras para trabajar cada día.
La monitorización aporta una capa adicional. Detectar inicios de sesión extraños, picos de cifrado de archivos, conexiones desde ubicaciones inusuales o intentos repetidos de contraseña permite intervenir antes de que el daño se extienda. En organizaciones con varias sedes, teletrabajo o proveedores externos, controlar quién accede y desde dónde es parte de la continuidad de negocio.
La formación también cuenta, pero no debe cargar toda la responsabilidad sobre los empleados. Una persona puede cometer un error; la empresa debe disponer de barreras para que ese error no paralice toda la actividad. Simulaciones de phishing, instrucciones claras para reportar correos y un procedimiento de emergencia conocido reducen la incertidumbre cuando aparece una alerta real.
Un ataque de ransomware no se resuelve con un único programa ni con una promesa de recuperación. Se resuelve con respuesta rápida, copias verificadas, sistemas bien administrados y un plan que proteja el trabajo de cada día. Tener ese plan antes de necesitarlo da a su empresa algo más valioso que una solución de emergencia: capacidad para seguir trabajando cuando otros se detienen.
