Ransomware en pymes: qué hacer antes, durante y después de un ataque

El ransomware es una prueba de dirección, no solo de tecnología. El día que ocurre, la empresa descubre si sus copias de seguridad se pueden restaurar, si los proveedores responden a tiempo y si alguien tiene autoridad para tomar decisiones en las primeras horas. En una pyme, esas tres preguntas suelen decidir si el ataque cuesta unos días de trabajo o pone en riesgo el negocio.

No es un riesgo teórico. INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior, y su línea de ayuda 017 atendió más de 142.000 consultas, según el balance publicado por España Digital. Detrás de muchos de esos casos hay empresas pequeñas que no se consideraban un objetivo.

Por qué las pymes son un blanco frecuente

El ransomware actual rara vez es un ataque dirigido con nombre y apellidos. Es un negocio automatizado que busca puertas abiertas: una cuenta de correo sin doble factor, un acceso remoto expuesto a internet, un servidor sin actualizar o un proveedor con permisos excesivos. Una pyme con pocos controles es más fácil de cifrar y, a menudo, más propensa a pagar porque no puede permitirse días de parada.

Además, muchos ataques ya no se limitan a cifrar. Antes de hacerlo, copian información para presionar con su publicación. Eso convierte un problema de disponibilidad en un problema de confidencialidad, con posibles obligaciones legales si hay datos personales afectados.

Antes del ataque: lo que de verdad reduce el impacto

La continuidad se dirige antes del incidente. Estas son las medidas con mejor relación entre esfuerzo y protección para una empresa pequeña o mediana:

• Copias de seguridad probadas, no prometidas. Al menos una copia fuera de la red habitual o inmutable, para que el atacante no pueda borrarla, y una prueba de restauración periódica con tiempos medidos.
• Doble factor de autenticación en correo, accesos remotos, herramientas en la nube y cuentas de administración. Es el control que más ataques corta en su origen.
• Actualizaciones al día en equipos, servidores y, sobre todo, en lo que está expuesto a internet (VPN, escritorios remotos, cortafuegos).
• Permisos mínimos. Que los usuarios no trabajen como administradores y que los proveedores solo tengan el acceso que necesitan y durante el tiempo que lo necesitan.
• Inventario de lo crítico. Saber qué sistemas y datos sostienen la facturación, la producción y la atención al cliente, y cuánto tiempo puede estar parado cada uno.

Ninguna de estas medidas exige grandes inversiones. Exigen que alguien las priorice, las mida y pida evidencias de forma periódica.

Las primeras horas: quién decide qué

Cuando aparece la nota de rescate, la improvisación sale cara. Conviene tener escrito, en una página, quién hace cada cosa:

1. Aislar sin destruir. Desconectar de la red los equipos afectados, sin apagarlos ni formatearlos, para no perder evidencias que ayuden a entender el alcance.
2. Activar al responsable del incidente. Una persona con autoridad para decidir paradas, comunicaciones y gasto, y con los teléfonos de los proveedores clave a mano.
3. Pedir ayuda especializada. La línea 017 de INCIBE orienta de forma gratuita a empresas y ciudadanos. Si hay delito, corresponde presentar denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica.
4. Valorar las obligaciones legales. Si se han visto comprometidos datos personales, el RGPD obliga a notificar la brecha a la Agencia Española de Protección de Datos en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo para las personas.
5. Comunicar con un solo mensaje. Plantilla, clientes y proveedores deben recibir información coherente, sin especular sobre causas que todavía no se conocen.

Sobre el pago del rescate, las autoridades lo desaconsejan: no garantiza recuperar los datos, no impide que la información se publique y financia nuevos ataques. Una empresa con copias recuperables tiene una alternativa real; una que no las tiene llega a esa decisión en la peor posición posible.

Después: recuperar sin reabrir la puerta

Volver a encender los sistemas sin corregir la causa solo aplaza el problema. La recuperación debe incluir cambiar contraseñas y revocar sesiones, revisar cuentas creadas o modificadas por el atacante, restaurar desde copias anteriores al compromiso y cerrar la vía de entrada. Después, toca una revisión honesta: qué falló, qué funcionó y qué se cambia en el plan.

Ese aprendizaje es valioso para dirección. Un incidente bien documentado suele justificar mejor que cualquier informe la inversión en controles que llevaban meses aplazándose.

Qué debería ver la dirección cada mes

No hace falta un cuadro de mando complejo. Bastan unos pocos indicadores con tendencia: porcentaje de cuentas con doble factor, fecha y resultado de la última prueba de restauración, equipos con actualizaciones pendientes, accesos de proveedores activos e incidentes o intentos detectados. Si alguno empeora, alguien debe tener el encargo de corregirlo.

Ahí es donde muchas pymes se quedan cortas: tienen un proveedor de soporte, pero nadie que dirija la seguridad con criterio de negocio. Un CISO externo para pymes cubre ese hueco con una dedicación ajustada al tamaño de la empresa: prioriza controles, pide evidencias a los proveedores y prepara el plan de respuesta antes de que haga falta.

Si quieres seguir ordenando esta parte, también te puede interesar cómo la deuda técnica acaba convirtiéndose en riesgo y coste o cómo planificar una migración de ERP sin parar operaciones.

Preguntas frecuentes

¿Una pyme pequeña es realmente objetivo del ransomware?

Sí. La mayoría de los ataques son automatizados y buscan vulnerabilidades, no empresas concretas. El tamaño no protege; los controles básicos sí.

¿Tener copias de seguridad en la nube es suficiente?

Depende de cómo estén configuradas. Si el atacante puede acceder a ellas con las mismas credenciales, también puede borrarlas o cifrarlas. Lo importante es que al menos una copia esté aislada o sea inmutable y que se pruebe su restauración.

¿Hay que notificar un ataque de ransomware?

Si afecta a datos personales y supone un riesgo para las personas, sí: a la AEPD en un máximo de 72 horas. Además, es recomendable denunciarlo y apoyarse en la línea 017 de INCIBE.

Conclusión

El ransomware no se gana el día del ataque, sino en los meses anteriores: copias probadas, doble factor, permisos ordenados y un plan de respuesta que todo el mundo conoce. Si quieres saber en qué punto está tu empresa, solicita una conversación inicial de 30 minutos con RAZNAR y te ayudamos a identificar qué resolver primero.