Un lunes por la mañana nadie puede abrir los archivos, los servidores muestran un mensaje que exige un rescate y la facturación está parada. Es el ransomware, y las pymes son un objetivo habitual precisamente porque suelen estar menos protegidas que las grandes empresas. La buena noticia: con unas pocas medidas bien hechas, la gran mayoría de los ataques se pueden evitar o, como mínimo, superar sin pagar nada. Esta guía te explica cómo.
Qué es el ransomware y por qué es tan dañino
El ransomware es un programa malicioso que cifra los archivos de los ordenadores y servidores de una empresa para que no se puedan abrir, y exige un pago a cambio de la clave para recuperarlos. Muchos grupos criminales, además, copian antes los datos y amenazan con publicarlos, de modo que el problema no es solo la parada de actividad: también puede ser una fuga de información de clientes, empleados o proveedores.
El impacto real para una pyme suele ser este: días sin poder facturar ni atender pedidos, datos de años que desaparecen si no hay copia, costes de recuperación y, a veces, una notificación obligatoria a la autoridad de protección de datos. Por eso conviene prevenir antes que improvisar.
Cómo entra el ransomware en una empresa
Casi nunca se trata de un ataque sofisticado contra tu empresa en concreto. Suele entrar por una de estas vías, y todas se pueden cerrar:
Las medidas que más protegen a una pyme
No hace falta una gran inversión, sino varias capas que se refuercen entre sí. Estas son las que más diferencia marcan:
| Medida | Qué evita | Cómo se aplica |
|---|---|---|
| Copias de seguridad 3-2-1 con una copia aislada | Perder los datos aunque te cifren los servidores | Tres copias, dos soportes, una fuera de la oficina y una inmutable o desconectada |
| Actualizaciones y parches | Que entren por fallos ya conocidos | Sistema operativo, programas, cortafuegos y dispositivos de red al día |
| Autenticación multifactor (MFA) | Que una contraseña robada sea suficiente | Obligatoria en correo, VPN, administradores y aplicaciones en la nube |
| Sin RDP expuesto; acceso por VPN | Ataques de fuerza bruta a servidores | Cerrar el puerto en el cortafuegos y trabajar en remoto con VPN |
| Mínimos privilegios | Que un solo usuario infectado cifre toda la red | Cada persona accede solo a lo que necesita; sin cuentas de administrador para el día a día |
| Filtrado del correo | Que el phishing llegue a la bandeja de entrada | Antispam, análisis de adjuntos y enlaces |
| Protección avanzada de los equipos | Que el programa malicioso se ejecute | Antivirus de nueva generación gestionado y vigilado |
| Formación del personal | Que alguien haga clic en el enlace | Sesiones cortas y periódicas, con ejemplos reales y un canal para avisar |
La copia de seguridad es tu última línea de defensa
Si todo lo demás falla, lo que decide si el ataque es un susto o un desastre es si puedes recuperar tus datos. Los atacantes lo saben y buscan las copias para cifrarlas o borrarlas primero. Por eso no basta con una copia en un disco conectado al servidor: necesitas al menos una copia fuera de su alcance (inmutable, aislada de la red o en la nube con protección frente a borrados) y, sobre todo, comprobar de vez en cuando que se puede restaurar.
Te explicamos el método paso a paso en la regla 3-2-1 de las copias de seguridad. Y si quieres delegarlo, en CSI diseñamos y vigilamos copias de seguridad locales y en la nube con pruebas de recuperación.
Qué te recomendamos hacer esta semana
- Comprueba tus copias: ¿existe una copia que no esté conectada ni accesible desde la red? ¿Has restaurado algo de ella alguna vez?
- Activa la verificación en dos pasos en el correo, en Microsoft 365 y en cualquier acceso remoto, empezando por los administradores.
- Cierra el escritorio remoto expuesto: pide a tu informático que revise qué puertos están abiertos a Internet y que el acceso remoto vaya por VPN.
- Actualiza lo pendiente: servidores, equipos, cortafuegos y programas con parches de seguridad sin instalar.
- Revisa los permisos: nadie trabaja a diario con una cuenta de administrador, y los antiguos empleados no conservan accesos.
- Avisa al equipo: unos minutos para explicar cómo reconocer un correo sospechoso y a quién avisar si hay dudas.
Actualizaciones, antivirus, copias y soporte en remoto, con un solo interlocutor.
Qué hacer si te atacan
Los primeros minutos importan. Si ves archivos que no se abren, extensiones raras o una nota de rescate:
Si se han visto afectados datos personales, la normativa de protección de datos obliga, en muchos casos, a notificar la brecha a la autoridad (en España, la AEPD) en un plazo de 72 horas desde que se tiene conocimiento. Consulta cada caso con tu responsable de protección de datos o tu asesor.
Errores habituales que facilitan el ataque
- Tener la copia conectada permanentemente al servidor, de modo que se cifra junto con todo lo demás.
- No haber probado nunca una restauración y descubrir en plena crisis que la copia estaba incompleta o vacía.
- Dejar el escritorio remoto abierto a Internet «porque así se conecta el proveedor» o «para teletrabajar».
- Pensar que «a mí no me va a pasar» porque la empresa es pequeña. Los ataques son automáticos y no distinguen tamaños.
- Usar la misma contraseña en varios servicios y sin segunda verificación.
- No tener un plan: no saber a quién llamar ni en qué orden restaurar los sistemas.
Lista de comprobación rápida
| Pregunta | Si la respuesta es «no» |
|---|---|
| ¿Tengo una copia aislada o inmutable, fuera del alcance de la red? | Prioridad máxima |
| ¿He restaurado datos de la copia en el último año? | Programa una prueba |
| ¿Hay MFA en correo, VPN y administradores? | Actívalo esta semana |
| ¿Está cerrado el escritorio remoto a Internet? | Cerrarlo y usar VPN |
| ¿Están al día los parches de servidores, equipos y cortafuegos? | Planificar actualizaciones |
| ¿Sabe mi equipo qué hacer ante un correo sospechoso? | Formación breve |
| ¿Sé a quién llamar si pasa algo, y a qué hora responde? | Definir un plan de respuesta |
Esta protección también encaja con las exigencias de seguridad que cada vez más clientes piden a sus proveedores. Lo vemos en NIS2 y pymes: a quién afecta.
Preguntas frecuentes sobre el ransomware
¿Qué es el ransomware?
Es un programa malicioso que cifra los archivos de una empresa y exige un pago para recuperarlos. Muchas veces roba además los datos y amenaza con publicarlos.
¿Un antivirus es suficiente para protegerme?
No. Es una capa necesaria, pero hace falta combinarla con copias aisladas, actualizaciones, autenticación multifactor, correo filtrado y formación del personal.
¿Debo pagar el rescate?
Como norma, no. No hay garantía de que te entreguen la clave ni de que no publiquen los datos, y alimentas el negocio de los atacantes. La respuesta habitual es restaurar desde una copia limpia y contar con ayuda profesional.
¿A quién tengo que avisar si sufro un ataque?
A tu proveedor informático, de inmediato. Puedes llamar también al 017 del INCIBE, que es gratuito, y denunciar ante la Policía Nacional o la Guardia Civil. Si hay datos personales afectados, valora la notificación a la AEPD.
¿Las copias en la nube me protegen del ransomware?
Solo si están bien configuradas: con versiones, protección frente a borrado y credenciales separadas. Una carpeta sincronizada que se cifra en el equipo puede cifrarse también en la nube.
¿Una pyme pequeña es objetivo de los atacantes?
Sí. Los ataques suelen ser automáticos y buscan cualquier sistema vulnerable, sin importar el tamaño. Las pymes, además, tienden a tener menos defensas.
CSI te ayuda a protegerte
En CSI llevamos desde 1988 cuidando de los sistemas de más de 1.000 clientes. Revisamos tu seguridad, mantenemos tus equipos al día y respondemos por soporte remoto en un máximo de 4 horas, en catalán y castellano. Conoce nuestro servicio de ciberseguridad, el soporte y mantenimiento preventivo y el resto de servicios IT, o pídenos una revisión sin compromiso.
Artículo informativo actualizado a octubre de 2026. No sustituye el asesoramiento de un profesional de la ciberseguridad.