Ransomware: prevención y qué hacer si te atacan
El ransomware es un tipo de malware que «secuestra» equipos y dispositivos conectados: cifra la información y exige un rescate para liberarla, a menudo amenazando además con destruirla o difundirla. Para una pyme, el mayor daño suele ser la parada de actividad. Esta guía resume la prevención y el plan de actuación que recomienda INCIBE.
Cómo suele entrar
- Ingeniería social: correos, SMS o enlaces que llevan a una web maliciosa o a un adjunto infectado. Es el camino más habitual.
- Equipos vulnerables: sistemas o servicios expuestos a Internet sin actualizar o mal configurados.
- Otro malware previo que abre la puerta al ransomware.
- Accesos remotos sin protección adecuada: INCIBE recomienda usar una VPN en lugar de exponer el escritorio remoto.
Prevención: lo que más ayuda
- Formación de toda la plantilla para reconocer la ingeniería social.
- Red diseñada para no exponer servicios a Internet y un cortafuegos actualizado y bien configurado.
- Copias de seguridad con la estrategia 3-2-1, fuera de la red, y restauraciones probadas. Más en nuestro artículo sobre la regla 3-2-1.
- Actualizaciones de sistemas y aplicaciones.
- Control de accesos y permisos mínimos.
- Vigilancia de la actividad y un plan de respuesta a incidentes ya redactado.
Si te atacan: pasos según INCIBE
El orden importa. Estos son los pasos recomendados:
- 1. Aísla los equipos afectados desconectándolos de la red (cable y wifi). Sospecha también de unidades de red, discos y servicios en la nube conectados.
- 2. No pagues el rescate. INCIBE insiste en que pagar no garantiza recuperar la información y fomenta nuevos ataques.
- 3. Clona los discos de los equipos infectados para conservar evidencias y trabajar sobre la copia.
- 4. Guarda la nota de rescate y algún fichero cifrado de muestra (sin datos personales y de poco tamaño) para el análisis.
- 5. Cambia las contraseñas de red y de cuentas online desde un equipo no afectado.
- 6. Comprueba si existe un descifrador: el proyecto No More Ransom, respaldado por Europol, permite identificar la variante.
- 7. Desinfecta y recupera: elimina el malware antes de restaurar, reinstala de forma limpia si hace falta y restaura la copia anterior a la infección.
- 8. Si no hay copia ni descifrador, conserva los ficheros cifrados: en el futuro podría aparecer una solución.
- 9. Denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado y reporta el incidente a INCIBE-CERT.
- 10. Si hay datos personales afectados, el responsable del tratamiento debe notificar la brecha a la autoridad de control en 72 horas, según el RGPD.
Después del incidente
Cuando el negocio esté operativo, analiza qué falló, cómo entraron los atacantes y qué medidas hay que reforzar, y revisa si tu póliza de seguro cubre este tipo de incidentes. Un ataque bien gestionado es la oportunidad de corregir lo que no se había hecho.
¿Quieres comparar partners para tu proyecto?
Cuéntanos qué necesitas y te presentamos hasta tres especialistas con experiencia real en proyectos como el tuyo. Primera respuesta humana en menos de 24 h y sin coste para tu empresa.
Preguntas frecuentes
¿Debo pagar el rescate?
INCIBE recomienda no pagar nunca: no hay garantía de recuperar los datos, los atacantes pueden publicarlos igualmente y se incentivan nuevos ataques. Tener copias restaurables es la mejor forma de no depender de esa decisión.
¿Dónde puedo pedir ayuda?
INCIBE ofrece la línea gratuita 017, un servicio de ayuda específico contra el ransomware y un servicio para reportar incidentes. Si hay datos personales, consulta también a tu responsable de protección de datos.
¿Cómo me preparo antes de que ocurra?
Con copias fuera de la red y probadas, doble factor, actualizaciones, formación y un plan escrito. En la guía de backup y recuperación de datos y en la de ciberseguridad encontrarás qué pedir a un partner.
Fuentes y recursos oficiales
Este artículo está redactado con palabras propias a partir de la información pública de INCIBE (Instituto Nacional de Ciberseguridad). Consulta siempre la versión vigente en su web: