Un aviso de rescate en pantalla, archivos con extensiones desconocidas o carpetas compartidas que dejan de abrirse no son una incidencia informática normal. Decidir qué hacer ante ransomware en una empresa durante la primera hora puede marcar la diferencia entre una parada contenida y varios días sin poder facturar, atender clientes o acceder a documentación crítica.
La prioridad no es borrar el mensaje ni intentar abrir archivos una y otra vez. Es detener la propagación, conservar información útil para el análisis y recuperar la operativa de forma segura. Actuar deprisa no significa actuar sin orden.
Qué hacer ante ransomware en una empresa en la primera hora
Aísle el equipo afectado sin apagarlo de inmediato
Desconecte el ordenador de la red cableada, desactive el Wi-Fi y retire cualquier conexión a unidades compartidas, discos externos o servidores. Si el equipo está conectado por cable, basta con desconectarlo físicamente. No permita que el usuario siga trabajando ni que pruebe a acceder a archivos de red.
En muchos casos, conviene no apagar el equipo de forma inmediata. La memoria, los procesos activos, las notas de rescate y los registros pueden aportar datos clave para identificar la variante y el punto de entrada. Sin embargo, si aprecia que el cifrado continúa a gran velocidad o que el programa malicioso está atacando recursos conectados, un técnico debe valorar una detención controlada para frenar el daño. No hay una respuesta única: depende del comportamiento del ataque y de la infraestructura.
Avise al resto del equipo de que no abra correos sospechosos, adjuntos ni enlaces recibidos recientemente. Si hay síntomas en varios equipos, desconecte los afectados uno a uno y limite el acceso a las carpetas compartidas hasta tener una evaluación técnica.
No pague ni negocie por impulso
El mensaje de rescate busca generar urgencia. Pagar no garantiza recuperar los datos, recibir una clave funcional ni evitar una nueva extorsión. Además, algunos atacantes copian información antes de cifrarla y amenazan con publicarla aunque la empresa pague.
La decisión de pago tiene implicaciones operativas, legales, reputacionales y de seguridad. Debe valorarse con asesoramiento especializado, no bajo la presión de un contador en pantalla. Antes de plantearlo, hay que conocer el alcance real del cifrado, la existencia de copias válidas y si se ha producido una extracción de datos.
Preserve pruebas y no limpie el sistema por su cuenta
Haga fotografías del aviso de rescate, anote la hora aproximada en que se detectó el incidente y conserve los correos o mensajes que puedan estar relacionados. No borre la nota de rescate, no formatee el ordenador y no instale herramientas descargadas al azar con la promesa de descifrar archivos.
También conviene registrar qué cuentas estaban abiertas, qué unidades de red se usaban y qué aplicaciones presentaron fallos. Esta información ayuda a reconstruir el incidente y a decidir qué credenciales deben cambiarse. Una limpieza precipitada puede eliminar evidencias necesarias y dificultar la recuperación.
Compruebe el alcance antes de restaurar
El ransomware rara vez afecta solo al ordenador donde se descubre. Puede haberse movido a través de permisos excesivos, credenciales robadas, escritorio remoto expuesto, correos electrónicos o vulnerabilidades sin actualizar. Por eso, antes de recuperar archivos, hay que saber hasta dónde ha llegado.
Un análisis técnico debe revisar servidores, equipos compartidos, almacenamiento en red, cuentas de correo, accesos remotos, servicios en la nube y copias de seguridad. También es necesario identificar la fecha probable de entrada. Si la intrusión comenzó días o semanas antes, restaurar una copia demasiado reciente puede reintroducir archivos infectados o configuraciones comprometidas.
Proteja las copias de seguridad
No conecte de inmediato los discos de copia ni inicie restauraciones automáticas. Primero hay que comprobar que las copias no han sido cifradas, alteradas o borradas y que permanecen aisladas del entorno afectado. Las copias conectadas permanentemente a la red suelen ser uno de los primeros objetivos de un ataque bien preparado.
Una buena estrategia combina varias versiones de los datos, una copia fuera de la red y pruebas periódicas de restauración. Tener una copia de seguridad no sirve de mucho si nadie ha comprobado que se puede recuperar una base de datos, una carpeta de proyectos o el programa de facturación en un plazo razonable.
Recupere la actividad sin volver a abrir la puerta
La recuperación no debería empezar por devolver los equipos afectados a la red. Primero se debe eliminar la causa de acceso, aplicar actualizaciones pendientes, revisar privilegios y restablecer credenciales. Las cuentas administrativas, el correo corporativo, las VPN y los accesos remotos merecen una atención prioritaria.
En muchas pymes, la opción más segura es reconstruir los equipos comprometidos desde instalaciones limpias y restaurar solo datos verificados. Es más lento que intentar reparar cada ordenador, pero reduce el riesgo de dejar persistencias ocultas. La elección depende del número de dispositivos, el tipo de ransomware y la criticidad de los sistemas.
Para retomar el trabajo, priorice lo que sostiene el negocio: facturación, correo, agenda, documentación operativa, atención al cliente y aplicaciones sectoriales. Puede ser necesario habilitar puestos temporales, limitar accesos o recuperar por fases. El objetivo no es que todo vuelva a estar disponible a la vez, sino recuperar cada servicio con seguridad y control.
Informe y gestione la posible fuga de datos
Algunos grupos criminales cifran archivos y, además, exfiltran contratos, nóminas, datos de clientes o documentación interna. Si existe esa posibilidad, el incidente deja de ser solo una avería informática. Puede tener obligaciones relacionadas con la protección de datos.
La empresa debe documentar qué información pudo verse afectada, quién tenía acceso y qué medidas se han tomado. Cuando haya datos personales comprometidos, puede ser necesario analizar una notificación ante la autoridad de control y, en determinados casos, informar a las personas afectadas. El plazo suele ser limitado, por lo que conviene intervenir pronto con apoyo técnico y jurídico.
La comunicación interna también importa. Los empleados deben recibir instrucciones claras: qué sistemas no usar, cómo identificar mensajes fraudulentos y a quién comunicar cualquier anomalía. Hacia clientes y proveedores, la transparencia debe ser proporcional a los hechos confirmados. Comunicar demasiado pronto sin información puede crear confusión; esperar cuando existe un impacto real puede agravar el problema.
Errores que agravan un ataque de ransomware
Hay decisiones bienintencionadas que multiplican el impacto. Evitarlas permite ganar tiempo y proteger mejor la recuperación:
- Reiniciar repetidamente los equipos o conectarlos de nuevo a la red para comprobar si “ya funcionan”.
- Usar una misma contraseña para correo, administración, copias y acceso remoto.
- Restaurar datos sin identificar primero el origen y el alcance del incidente.
- Confiar en un antivirus como única medida de prevención.
- Ocultar el incidente al personal hasta que el problema ya se ha extendido.
El ransomware aprovecha fallos técnicos, pero también decisiones cotidianas: permisos de acceso demasiado amplios, actualizaciones retrasadas, cuentas sin doble factor de autenticación y usuarios que no saben reconocer un correo fraudulento.
Cómo reducir el riesgo después del incidente
Tras recuperar la actividad, llega la parte que evita repetir el problema. Es el momento de revisar el inventario de equipos, eliminar cuentas que ya no se usan, separar permisos por funciones y aplicar actualizaciones de sistemas, programas y dispositivos de red. También conviene cerrar accesos remotos innecesarios y proteger los que sí se mantengan con autenticación multifactor.
La formación práctica del equipo merece atención. No se trata de enviar una presentación una vez al año, sino de enseñar qué señales deben levantar sospecha: dominios parecidos al real, facturas inesperadas, urgencias de pago, archivos comprimidos extraños o peticiones de contraseña. Un empleado informado no elimina todo el riesgo, pero puede detener un ataque antes de que llegue al servidor.
Por último, establezca un plan de respuesta sencillo y conocido. Debe indicar a quién llamar, quién puede aislar equipos, dónde están las copias, qué sistemas son prioritarios y quién toma decisiones. Para una pyme de Madrid o Toledo sin departamento interno de informática, contar con soporte técnico externo que responda rápido reduce la improvisación cuando cada minuto cuenta.
Un ataque de ransomware no se resuelve pulsando un botón. Se contiene con orden, se investiga con criterio y se recupera con copias verificadas y sistemas limpios. Si su empresa aún no ha probado cómo actuaría ante una parada de este tipo, hacerlo ahora cuesta mucho menos que descubrirlo el día que los archivos dejen de abrirse.