El ransomware cifra tus archivos y te pide dinero para devolvértelos. En empresas pequeñas casi nunca es un ataque dirigido: es una infección oportunista que entró por un correo, por una contraseña débil en un acceso remoto o por un servidor sin actualizar.
Lo que sigue son dos listas. La de qué hacer si ya pasó, y la más importante: qué tener listo para que, si pasa, sea un mal día y no el final del negocio.
Si está pasando ahora mismo
- Desconecta de la red, no apagues. Quita el cable y el wifi de los equipos afectados. Apagar de golpe puede destruir información útil para entender qué pasó, y no detiene el cifrado que ya ocurrió en otras máquinas.
- Desconecta los discos de respaldo que estén conectados a cualquier equipo. Si el disco de copias está enchufado, se está cifrando también.
- Mide el alcance. Qué equipos, qué carpetas compartidas, si llegó al servidor y si llegó a la nube sincronizada.
- No borres la nota de rescate ni los archivos cifrados. Sirven para identificar la variante, y a veces existe herramienta de descifrado pública para esa variante.
- Denuncia. Es un delito y el reporte importa para el seguro y para el proceso.
- Restaura desde una copia que no estuviera conectada, en equipos limpios, y solo después de entender por dónde entró. Restaurar sobre un equipo todavía comprometido te devuelve al principio.
Sobre pagarPagar no garantiza recuperar los datos, no garantiza que no vuelvan, y financia a quien atacará al siguiente. Además queda registrado que tu empresa paga. Entiendo la desesperación de quien perdió diez años de contabilidad, y por eso el argumento de fondo no es moral: es que la única defensa real se construye antes, y después del incidente ya no hay buenas opciones, solo menos malas.
Por dónde entra, en orden de frecuencia
- Un adjunto o enlace en un correo. El mismo vector del fraude por suplantación, con otra carga.
- Acceso remoto expuesto a internet con contraseña débil. Escritorio remoto abierto al mundo es una invitación.
- Servidores o equipos sin actualizar, con vulnerabilidades conocidas y públicas.
- Un NAS accesible desde fuera mal configurado. Es blanco preferido, como ya vimos al hablar de dónde guardar los archivos.
- Credenciales reutilizadas que aparecieron en una filtración de otro servicio.
Lo que de verdad te salva, y se hace antes
| Medida | Qué evita | Esfuerzo |
|---|---|---|
| Una copia desconectada o inmutable | Que el ransomware cifre también tu respaldo. Es la medida número uno. | Bajo |
| Segundo factor en todo | Que una contraseña filtrada abra la puerta. | Bajo |
| Cerrar el acceso remoto a internet | El vector más explotado en pymes. | Medio |
| Actualizaciones al día | Las vulnerabilidades conocidas, que son la mayoría. | Bajo |
| Permisos mínimos por usuario | Que una infección en un equipo cifre las carpetas de todos. | Medio |
| Probar la restauración | Descubrir el día del incidente que la copia no servía. | Bajo |
Qué significa «que no pueda alcanzarla»Una copia sirve contra ransomware solo si el equipo infectado no puede escribir en ella: un disco que se conecta, se respalda y se desconecta; un servicio con versiones que no se pueden borrar; o una copia en un sitio distinto con credenciales distintas. Un disco siempre enchufado y una carpeta sincronizada no cumplen. Es exactamente la tercera copia de la regla 3-2-1.
Preguntas frecuentes
¿El antivirus no debería detenerlo?
Detiene mucho, y por eso hay que tenerlo y mantenerlo actualizado. Pero no es suficiente: las variantes nuevas circulan antes de ser detectadas, y buena parte de los ataques usan credenciales legítimas robadas, donde no hay nada malicioso que detectar.
¿Sirve la papelera de la nube para recuperar?
A veces sí, porque los servicios guardan versiones anteriores. Es una de las primeras cosas que hay que revisar. Pero las ventanas de retención son limitadas y el cifrado masivo genera tantas versiones que la restauración puede ser lenta y parcial. Cuenta con ella como ayuda, no como plan.
¿Tengo que avisarle a alguien si había datos de clientes?
Sí. El artículo 17 de la Ley 1581 incluye, entre los deberes del responsable del tratamiento, informar a la autoridad cuando se presenten violaciones a los códigos de seguridad. Lo desarrollamos en el artículo sobre datos personales. Consúltalo con tu abogado apenas contengas el incidente.
¿Vale la pena un seguro cibernético?
Para algunas empresas sí, sobre todo si manejan datos de terceros. Lee bien las exclusiones: muchas pólizas exigen medidas mínimas —copias, segundo factor, actualizaciones— y no cubren si no las tenías. O sea que primero hay que hacer la tarea igual.
La conclusión, sin rodeos
Si pasa: desconecta, no apagues, no borres nada, denuncia y restaura desde una copia que estuviera fuera de alcance. Si no ha pasado: esa copia fuera de alcance es lo único de esta lista que de verdad decide el resultado. Todo lo demás reduce probabilidad; solo esa reduce el daño.
¿Tu copia de seguridad sobreviviría a esto?
Cuéntame cómo respaldas hoy y te digo si el ransomware la alcanzaría. Respondo personalmente.
Hablemos