Ransomware en España: cómo funciona y cómo proteger tu empresa

En 2024, más del 70% de los ataques de ransomware registrados en España tuvieron como objetivo empresas de menos de 250 empleados. No porque sean más vulnerables que las grandes, sino porque son más rentables para los atacantes: tienen datos valiosos, sistemas críticos y pocas defensas. Una pyme con 15 empleados no tiene un equipo de ciberseguridad dedicado, no monitoriza sus redes 24/7 y en muchos casos tiene sistemas sin parchear desde hace meses. Es el objetivo ideal para un ataque de alto rendimiento y bajo esfuerzo.

Qué es el ransomware y cómo entra en la empresa

El ransomware es un tipo de malware que cifra todos los archivos del equipo infectado y, habitualmente, también los del servidor y los discos compartidos a los que tiene acceso. Sin la clave de descifrado, los datos son irrecuperables por medios convencionales. Los grupos de ransomware modernos no son script kiddies: son organizaciones criminales con departamentos de soporte técnico, equipos de negociación, y en algunos casos, garantías de descifrado si se paga el rescate.

Las vías de entrada más comunes en pymes españolas son:

• Correo electrónico (phishing): Un adjunto malicioso o un enlace que descarga el payload. Sigue siendo el vector número uno. El contenido puede ser una factura de un proveedor habitual, una notificación de Correos, o un aviso de seguridad de Microsoft.
• Credenciales robadas o débiles: Contraseñas débiles o reutilizadas en accesos remotos (RDP, VPN). Un atacante con la contraseña correcta no necesita explotar ninguna vulnerabilidad: entra como si fuera un usuario legítimo.
• Software sin actualizar: Vulnerabilidades conocidas y documentadas en Windows, Office, o software de gestión que nadie ha parcheado. El 85% de los ataques de ransomware aprovecha vulnerabilidades con parche disponible desde hace semanas o meses.
• Proveedores comprometidos: Un atacante que accede a un proveedor IT con acceso a múltiples clientes puede usar ese acceso para llegar a todos ellos. Un solo proveedor comprometido puede ser el punto de entrada para docenas de ataques.

Cómo funciona realmente un ataque moderno: no es inmediato

El mayor error conceptual que cometen las pymes es imaginar el ransomware como algo que ocurre de golpe: alguien hace clic en un enlace malicioso y al instante el servidor está cifrado. La realidad de los ataques modernos es mucho más inquietante. Antes de cifrar nada, el malware pasa días o semanas en la red corporativa en modo silencioso: mapea la estructura de la red, identifica los servidores y las unidades compartidas, localiza los sistemas de backup, escala privilegios accediendo a cuentas de administrador, y solo cuando tiene el control completo ejecuta el cifrado de forma masiva y simultánea.

Durante ese periodo de presencia silenciosa, el malware suele eliminar o cifrar también los backups. Es la primera prioridad táctica: asegurarse de que la víctima no tiene salida sin pagar. Por eso los backups inmutables, que no pueden borrarse aunque el atacante tenga acceso de administrador, son la contramedida más importante. Y por eso los backups que no son inmutables no son una protección real frente a un ransomware sofisticado.

Una empresa de transporte de Valencia con 22 empleados descubrió en 2024 que el ransomware llevaba 18 días en su red antes de cifrar. Durante ese tiempo, el malware había eliminado todos los backups locales y cifrado también la carpeta de replicación en nube porque tenía credenciales de acceso a esa cuenta. El único backup que sobrevivió fue una copia semanal en un servicio con Object Lock que el proveedor IT había configurado meses antes por insistencia del MSP. La restauración tardó 31 horas. Sin esa copia, la alternativa habría sido pagar 85.000 euros de rescate o reconstruir tres años de datos de gestión de flotas.

Las cinco medidas que más reducen el riesgo

• Backups inmutables y offsite: Copias que el ransomware no puede borrar aunque tenga acceso a la red. Estrategia 3-2-1 correctamente implementada con al menos una copia con Object Lock o retención inmutable en nube. La gestión de servidores NAS y copias es el punto de partida.
• Actualizaciones al día: El 85% de los ataques aprovecha vulnerabilidades con parche disponible. Sistemas operativos, aplicaciones de gestión, plugins de WordPress y firmware de dispositivos de red deben actualizarse de forma sistemática, no cuando alguien se acuerda.
• Doble factor en todos los accesos remotos: RDP y VPN sin 2FA son una puerta abierta. Un atacante con la contraseña correcta no necesita nada más. Con 2FA activo, tener la contraseña no es suficiente para entrar.
• Segmentación de red: Si el equipo infectado no puede acceder directamente al servidor de ficheros ni al NAS, el ransomware no puede propagarse a esos sistemas. El daño queda contenido en el equipo donde entró, que puede limpiarse o reconstruirse sin afectar al resto.
• Formación al equipo: El 90% de los incidentes empieza con un clic. Un equipo que sabe reconocer un correo de phishing, que verifica por teléfono antes de hacer una transferencia urgente y que no instala software sin autorización es la primera línea de defensa real.

Qué hacer si sufres un ataque: primeros pasos

Si detectas que el ransomware ha comenzado a cifrar (aparecen archivos con extensiones extrañas, un mensaje de rescate en el escritorio, o el sistema se vuelve extremadamente lento de forma repentina), los primeros minutos son críticos. Desconecta inmediatamente de la red el equipo o los equipos afectados: desenchufa el cable de red, desactiva el WiFi. No apagues el ordenador: algunos tipos de ransomware modifican el proceso de arranque y apagarlo puede complicar la recuperación forense.

Llama de inmediato a tu proveedor IT o MSP. Notifica al INCIBE (017) si el incidente puede tener implicaciones de datos personales de clientes. Documenta lo que ves: capturas de pantalla del mensaje de rescate, nombres de los archivos cifrados. No pagues el rescate sin antes explorar todas las alternativas de recuperación. Y no intentes "limpiar" el sistema tú mismo sin apoyo técnico: puedes destruir evidencias necesarias para la recuperación o la investigación.

La ciberseguridad gestionada incluye un protocolo de respuesta a incidentes definido de antemano. Saber exactamente qué pasos seguir y quién llama a quién puede reducir el tiempo de respuesta de horas a minutos, lo que tiene un impacto directo en la cantidad de datos que se pueden recuperar.

¿Pago el rescate o no?

Los organismos policiales y de ciberseguridad —INCIBE, Europol, FBI— recomiendan no pagar. Las razones son múltiples: pagar financia a grupos criminales que financiarán el siguiente ataque, no garantiza la recuperación de los datos (en el 40% de los casos los datos siguen cifrados o incompletos incluso después de pagar), puede crear un registro de "empresa que paga" que la convierte en objetivo futuro, y en algunos países pagar a ciertos grupos puede tener implicaciones legales por financiación de actividades criminales. Con backups correctamente implementados, el rescate no es la única salida: es una salida que no tienes que plantearte.

Tabla: probabilidad de recuperación según estado del backup

Por dónde empezar mañana

1. Verifica el estado de los backups hoy. ¿Tienes una copia que el ransomware no puede borrar? ¿Cuándo fue la última restauración de prueba? Si no puedes responder con certeza, empieza aquí antes que en cualquier otra medida.
2. Activa el 2FA en todos los accesos remotos. VPN, RDP, correo corporativo, paneles de administración. Cada acceso sin 2FA es una puerta que solo necesita la contraseña correcta para abrirse.
3. Revisa qué parches llevan más de 30 días pendientes. En Windows, en las aplicaciones de gestión, en los plugins de WordPress si tienes web. Cada parche pendiente es una vulnerabilidad documentada disponible en bases de datos públicas que los atacantes consultan antes de actuar.
4. Habla con tu equipo sobre phishing antes de fin de mes. Un recordatorio de 15 minutos sobre cómo identificar correos fraudulentos y qué hacer si hacen clic en algo sospechoso puede evitar el incidente que ninguna tecnología habría detenido.