Abres el ordenador una mañana cualquiera y, en lugar de tu escritorio de siempre, te encuentras una pantalla en la que un mensaje te avisa de que todos tus archivos han sido cifrados y que, si quieres recuperarlos, tendrás que pagar un rescate. Es el escenario típico de un ataque de ransomware, uno de los ciberataques más frecuentes —y más dañinos— tanto para particulares como para pequeñas empresas.
Si esto te acaba de pasar, lo primero que necesitas es mantener la calma y actuar con orden. En este artículo te explicamos, paso a paso, qué hacer si has sido víctima de un ransomware, qué errores evitar y cuándo es el momento de ponerte en manos de un profesional.
Qué es un ransomware y por qué es tan peligroso
Un ransomware es un tipo de malware que cifra los archivos de tu ordenador (documentos, fotos, bases de datos, correos…) y exige el pago de un rescate, normalmente en criptomonedas, a cambio de la clave para recuperarlos. Suele colarse a través de:
- Correos electrónicos con archivos adjuntos o enlaces maliciosos (phishing).
- Descargas de software pirata o de fuentes no oficiales.
- Vulnerabilidades del sistema operativo o de programas sin actualizar.
- Escritorios remotos (RDP) mal protegidos, muy habituales en pequeñas empresas.
Su peligro no está solo en el cifrado: muchos ransomwares actuales también roban una copia de los datos antes de cifrarlos, con la amenaza añadida de publicarlos si no se paga.
Primeros pasos: qué hacer justo después de detectar el ataque
1. Desconecta el equipo de la red inmediatamente
Apaga el Wi-Fi, desconecta el cable de red y desactiva cualquier unidad compartida o disco externo conectado. El objetivo es frenar cuanto antes la propagación del ransomware a otros equipos, servidores o copias de seguridad conectadas a la misma red.
2. No apagues el ordenador (si puedes evitarlo)
Puede resultar contraintuitivo, pero apagar el equipo a veces dificulta después el análisis forense y la posible recuperación de archivos. Si el ordenador sigue funcionando, es preferible hibernarlo o dejarlo desconectado de la red antes que apagarlo por completo, salvo que un técnico te indique lo contrario.
3. No pagues el rescate
Es la recomendación de organismos como el INCIBE (Instituto Nacional de Ciberseguridad) y de las fuerzas de seguridad: pagar no garantiza que recuperes tus archivos, financia a los ciberdelincuentes y te convierte en un objetivo más atractivo para futuros ataques.
4. Haz una copia del disco cifrado antes de tocar nada más
Si es posible, realiza una imagen o copia del disco tal y como está. Aunque ahora mismo los archivos estén cifrados, en el futuro podrían aparecer herramientas de descifrado para esa variante concreta de ransomware, y necesitarás conservar los datos originales para poder usarlas.
Identifica el tipo de ransomware
Cada familia de ransomware (LockBit, Conti, Phobos, STOP/Djvu, entre muchas otras) se comporta de forma distinta y, en algunos casos, ya existen herramientas gratuitas de descifrado. Para identificarlo puedes fijarte en:
- La extensión que añade a los archivos cifrados.
- El texto de la nota de rescate (suele guardarse como un archivo .txt o .html).
Portales como No More Ransom (nomoreransom.org), una iniciativa conjunta de Europol y varias empresas de ciberseguridad, permiten subir una muestra del archivo cifrado y de la nota de rescate para intentar identificar la variante y comprobar si existe un descifrador disponible.
Denuncia el ataque
Denunciar no solo es recomendable, es importante para la investigación de este tipo de delitos:
- Policía Nacional o Guardia Civil, a través de sus unidades de delitos telemáticos.
- INCIBE, que ofrece una línea de ayuda gratuita (017) para particulares y empresas afectados por ciberataques.
- Si tu empresa maneja datos personales de clientes, deberás valorar también la notificación a la Agencia Española de Protección de Datos (AEPD), ya que un secuestro de datos puede considerarse una brecha de seguridad.
Cómo recuperar tus archivos
Existen varias vías, de más a menos recomendable:
- Restaurar desde una copia de seguridad externa o en la nube que no estuviera conectada al equipo en el momento del ataque. Es, con diferencia, la solución más rápida y fiable.
- Buscar un descifrador gratuito en No More Ransom si la variante de ransomware ya ha sido «rota» por investigadores de seguridad.
- Recuperación de versiones anteriores o puntos de restauración, en caso de que el ransomware no los haya eliminado (algo cada vez menos frecuente, ya que muchos los borran deliberadamente).
- Análisis forense y recuperación profesional, cuando ninguna de las opciones anteriores funciona y los datos son lo suficientemente valiosos como para justificar un diagnóstico más profundo del disco. Si el ransomware ha afectado también a un disco duro externo o a una unidad de almacenamiento dañada, puedes leer más sobre nuestro servicio de recuperación de datos de discos duros.
Cuándo acudir a un profesional
Si no dispones de copia de seguridad, no identificas la variante de ransomware o simplemente no quieres arriesgarte a perder datos importantes intentando soluciones por tu cuenta, lo más seguro es acudir a un servicio técnico especializado. Un profesional puede:
- Analizar el sistema para confirmar que el malware ha quedado completamente eliminado (muchas veces el proceso de cifrado ya ha terminado, pero el ransomware sigue activo).
- Evaluar si existe una vía real de recuperación de los datos según la variante detectada.
- Revisar la causa del acceso inicial (correo, RDP, vulnerabilidad) para evitar que se repita.
- Configurar copias de seguridad y medidas de seguridad para el futuro.
En PcMas, nuestro servicio técnico especializado en reparación de ordenadores en Torrent trabaja habitualmente con casos de equipos infectados por virus y ransomware, tanto de particulares como de pequeños negocios. Si te ha pasado, puedes traernos el equipo para un diagnóstico y valorar contigo las opciones reales de recuperación antes de tomar cualquier decisión.
Cómo evitar que vuelva a pasar
Una vez resuelto el incidente, conviene reforzar la protección (puedes ver también nuestra guía de mantenimiento preventivo de hardware y software para más consejos):
- Mantén copias de seguridad periódicas, y al menos una de ellas desconectada de la red (regla 3-2-1: tres copias, en dos soportes distintos, una de ellas fuera del equipo principal).
- Actualiza el sistema operativo y los programas con regularidad.
- Usa un antivirus con protección específica contra ransomware.
- Desconfía de archivos adjuntos y enlaces de correos inesperados, aunque parezcan venir de contactos conocidos.
- Si usas escritorio remoto (RDP), protégelo con contraseñas robustas, autenticación en dos pasos y, si es posible, acceso mediante VPN.
Preguntas frecuentes sobre el ransomware
Un ransomware es un tipo de malware que cifra los archivos de un dispositivo y bloquea el acceso a ellos, exigiendo el pago de un rescate (normalmente en criptomonedas) a cambio de la clave de descifrado. Es una de las ciberamenazas más extendidas tanto para particulares como para empresas.
Existen varios tipos de ransomware según su forma de actuar:
- Ransomware de cifrado: bloquea el acceso a los archivos cifrándolos (el más habitual).
- Ransomware de bloqueo de pantalla: impide el acceso al equipo, aunque los archivos no siempre están cifrados.
- Doxware o leakware: además de cifrar, amenaza con publicar los datos robados si no se paga.
- Scareware: se hace pasar por un aviso de seguridad falso para asustar y conseguir el pago, aunque en muchos casos no llega a cifrar nada.
Desconecta el equipo de la red, no apagues el ordenador si puedes evitarlo, no pagues el rescate, identifica la variante del ransomware y denuncia el ataque ante la Policía Nacional, la Guardia Civil o el INCIBE. Es la misma secuencia que hemos detallado paso a paso al inicio de este artículo.
La vía más fiable es restaurar los archivos desde una copia de seguridad no conectada al equipo en el momento del ataque. Si no dispones de backup, puedes comprobar en No More Ransom si existe un descifrador gratuito para esa variante concreta, o acudir a un servicio profesional de recuperación de datos que analice si es posible rescatar la información del disco.
Sí, el malware en sí se puede eliminar con un análisis y limpieza a fondo del sistema (en casos graves, formateando el equipo). El problema es que eliminar el ransomware no descifra automáticamente los archivos ya cifrados: son dos procesos distintos que conviene abordar por separado.
Puedes denunciar ante la Policía Nacional o la Guardia Civil, ambas con unidades especializadas en delitos telemáticos, y notificar el incidente al INCIBE a través de su línea de ayuda gratuita 017. Si se han visto afectados datos personales de clientes, también puede ser necesario notificarlo a la Agencia Española de Protección de Datos (AEPD).
Las medidas más efectivas son mantener copias de seguridad periódicas (con al menos una desconectada de la red), actualizar el sistema operativo y los programas, usar un antivirus con protección específica contra ransomware, desconfiar de correos con adjuntos o enlaces inesperados y proteger cualquier acceso remoto (RDP) con contraseñas robustas y doble factor de autenticación.
En resumen
Un ataque de ransomware da miedo, pero actuar con método marca la diferencia entre perder tus archivos para siempre o conseguir recuperarlos. Desconecta el equipo, no pagues, identifica la variante, denuncia el ataque y, si tienes dudas sobre cómo proceder, ponte en manos de profesionales antes de intentar soluciones improvisadas que puedan dañar aún más tus datos.
Si has sido víctima de un ransomware y necesitas ayuda, en PcMas podemos revisar tu equipo, valorar las opciones de recuperación y ayudarte a proteger tus dispositivos para que no vuelva a ocurrir.
