Qué es el ransomware y cómo proteger tu empresa en 2026

En 2025, el ransomware costó a las empresas españolas más de 1.000 millones de euros entre pagos de rescate, tiempo de inactividad, recuperación y daño reputacional. Y el 60% de las víctimas fueron pymes. No porque sean más vulnerables por naturaleza, sino porque tienen menos defensas. Esto tiene solución.

¿Qué es exactamente el ransomware?

El ransomware es un tipo de software malicioso que, una vez que entra en vuestros sistemas, cifra todos los archivos a los que puede acceder: documentos, bases de datos, correos, imágenes, copias de seguridad locales... Y luego pide un rescate para devolverlos. Sin la clave de descifrado del atacante, los archivos son irrecuperables.

No es un virus que se limita a un ordenador. Los ataques modernos de ransomware se propagan lateralmente por toda la red en minutos. Un solo clic en el ordenador equivocado puede cifrar todos los servidores de la empresa.

¿Cómo entra el ransomware en una empresa?

Conocer las vías de entrada es el primer paso para bloquearlas. Estas son las principales:

• Phishing por correo: un email que parece legítimo incluye un archivo adjunto o un enlace. Al abrirlo, se ejecuta el malware. El 91% de los ataques empiezan así.
• RDP expuesto: el protocolo de escritorio remoto (RDP) abierto a internet sin protección adecuada es una puerta directa. Los atacantes escanean internet continuamente buscando puertos RDP abiertos.
• Software sin parchear: vulnerabilidades conocidas en Windows, Office o aplicaciones sin actualizar son explotadas en horas por herramientas automatizadas.
• Credenciales robadas: contraseñas filtradas en otras brechas se prueban en VPNs y sistemas corporativos. Si reutilizáis contraseñas, esto es un riesgo real.
• Proveedores comprometidos: el ataque entra por un proveedor de servicios (MSP, proveedor de software, etc.) con acceso a vuestros sistemas.

¿Qué pasa cuando te atacan?

El escenario habitual tras un ataque de ransomware exitoso es este:

1. Un lunes por la mañana los empleados llegan y los ordenadores muestran una pantalla de rescate. Nadie puede trabajar.
2. Se descubre que todos los archivos compartidos del servidor también están cifrados.
3. Las copias de seguridad locales también han sido cifradas porque estaban en la misma red.
4. El backup en la nube del proveedor tiene 24h de retención — lo justo para que el malware haya llegado a los datos antes de que se detecte.
5. Los atacantes piden entre 10.000 y 100.000 euros en Bitcoin. Con un plazo de 72 horas antes de que suban el precio.

Cómo proteger tu empresa: la capa a capa

La protección contra ransomware no es un producto único. Es una combinación de capas que hacen que el coste de atacarte sea mayor que el beneficio esperado:

• Backup inmutable en la nube: copias de seguridad en una plataforma que no sea accesible desde la red interna y que tenga retención mínima de 30 días. Si el ransomware no puede llegar al backup, siempre podréis recuperar los datos.
• EDR (antivirus de nueva generación): el antivirus tradicional no detecta ransomware moderno. Un EDR (Endpoint Detection and Response) analiza el comportamiento del software en tiempo real y puede detener el cifrado antes de que se extienda.
• Firewall gestionado con IPS: filtrar el tráfico saliente y detectar comunicaciones con servidores de comando y control antes de que el ransomware reciba instrucciones.
• Autenticación multifactor (MFA): en VPN, correo, Microsoft 365 y todos los accesos remotos. Un atacante con vuestra contraseña no puede acceder si necesita un segundo factor.
• Actualizaciones automáticas: parchear Windows y aplicaciones en las primeras 24-48 horas cierra la gran mayoría de vulnerabilidades explotadas.
• Segmentación de red: VLANs que aíslen los sistemas críticos. Si el ransomware entra por un portátil de ventas, que no pueda llegar al servidor de contabilidad.
• Formación anti-phishing: el eslabón más débil es el humano. Simulaciones de phishing periódicas reducen drásticamente el riesgo de infección inicial.

Tipos de ransomware más frecuentes en pymes españolas

No todo el ransomware funciona igual. Conocer los distintos tipos ayuda a entender por qué las defensas genéricas ya no son suficientes y por qué ciertos ataques resultan especialmente devastadores para las pequeñas empresas:

Locker ransomware

Este tipo no cifra los archivos: directamente bloquea el acceso al sistema operativo. El usuario ve una pantalla de bloqueo con las instrucciones de pago y no puede hacer absolutamente nada más con el equipo. Aunque es menos habitual que el crypto-ransomware, todavía se usa en ataques dirigidos a dispositivos con sistemas operativos antiguos o sin actualizar.

Crypto ransomware

El más extendido y el más dañino. Cifra todos los archivos a los que tiene acceso — documentos, bases de datos, imágenes, correos, proyectos — utilizando cifrado AES-256, el mismo estándar que usan los bancos. Sin la clave del atacante, los archivos son matemáticamente irrecuperables. Se propaga lateralmente por la red en cuestión de minutos y puede cifrar miles de archivos antes de que nadie lo detecte.

Ransomware-as-a-Service (RaaS)

El modelo de negocio que ha disparado el número de ataques en los últimos años. Grupos criminales organizados desarrollan el ransomware y lo alquilan a terceros (los llamados "afiliados") que realizan los ataques a cambio de una comisión del rescate, habitualmente entre el 20 y el 30%. Esto ha democratizado el crimen: ahora cualquier persona con algo de dinero puede lanzar un ataque sofisticado sin apenas conocimientos técnicos. Los grupos más activos en empresas españolas son LockBit, BlackCat/ALPHV y Cl0p, todos ellos operando bajo este modelo.

Doble extorsión

La táctica más preocupante de los últimos años. Los atacantes primero extraen una copia de los datos antes de cifrarlos, y luego lanzan dos amenazas simultáneas: paga el rescate para descifrar tus archivos, y paga una segunda cantidad para que no publiquemos los datos en internet. Aunque tengáis backup y podáis recuperar el acceso sin pagar, siguen teniendo vuestros datos. Las pymes que manejan información sensible de clientes, pacientes o contratos son especialmente vulnerables a esta modalidad.

¿Pagar el rescate o no pagar?

Es la pregunta que todo empresario se hace cuando tiene los sistemas bloqueados y el reloj corriendo. La respuesta oficial es clara: no pagar. Pero conviene entender por qué, qué alternativas existen y qué obliga la ley española en estos casos.

Razones para no pagar

• No garantiza la recuperación: el 40% de las empresas que pagan no recuperan todos sus archivos. El descifrador proporcionado por los atacantes puede fallar, ser incompleto o simplemente no funcionar correctamente.
• Financia el crimen organizado: cada pago costea el desarrollo de ataques más sofisticados contra otras empresas y perpetúa el modelo de negocio criminal.
• Os convierte en objetivo recurrente: los datos de "pagadores" se comparten y venden entre grupos criminales. Las empresas que pagan tienen hasta un 80% más de probabilidades de ser atacadas de nuevo en los 12 meses siguientes.
• Puede tener consecuencias legales: en algunos países y contextos, pagar a grupos criminales sancionados internacionalmente — como ciertos grupos de ransomware ligados a estados — puede acarrear consecuencias legales para la empresa pagadora.

¿Cuándo consideran pagar las empresas?

La realidad es que algunas empresas evalúan el pago cuando no disponen de backup funcional y los datos cifrados son imprescindibles para continuar operando: historial de pacientes, contratos en curso, datos de producción críticos. En ese escenario límite, la decisión debe tomarse siempre con asesoramiento legal y técnico especializado, nunca de forma impulsiva bajo la presión del plazo que marcan los atacantes.

Qué dice la AEPD sobre la notificación obligatoria

La Agencia Española de Protección de Datos (AEPD) establece con claridad que, si el ataque ha afectado a datos de carácter personal, la empresa tiene la obligación de notificarlo en un máximo de 72 horas desde que tiene conocimiento del incidente, conforme al artículo 33 del RGPD. Esta notificación es independiente de si se paga o no el rescate, y de si los datos se recuperan. No notificar puede acarrear sanciones adicionales que se suman al daño ya sufrido, y que pueden alcanzar el 4% de la facturación anual global. Esto incluye datos de empleados, clientes, proveedores o cualquier persona física cuyos datos estuviesen en los sistemas afectados.

Plan de respuesta ante ransomware: qué hacer en las primeras 24 horas

Cuando el ataque ya ha ocurrido, cada minuto cuenta. Tener este protocolo definido de antemano marca la diferencia entre un incidente gestionable y una catástrofe irreversible. Estas son las acciones prioritarias, en orden cronológico:

1. Aislar los sistemas afectados: desconectar de la red de inmediato. Apagad el Wi-Fi y desconectad los cables de red de todos los equipos comprometidos. El objetivo es evitar que el ransomware continúe propagándose a otros sistemas. No es el momento de seguir trabajando "en lo que se puede".
2. No apaguéis los equipos. Aunque parezca contraintuitivo, apagar los equipos a la fuerza puede destruir evidencias forenses útiles para la investigación y, en algunos casos, activar mecanismos de borrado adicionales programados por los atacantes. Dejadlos encendidos pero aislados de la red.
3. Llamad a vuestro soporte IT de inmediato. No intentéis solucionar el problema internamente. Los primeros pasos técnicos son críticos: un error en este punto puede comprometer la recuperación posterior o inutilizar las pruebas forenses.
4. Identificad el alcance del ataque. ¿Cuántos equipos están afectados? ¿Ha llegado al servidor? ¿Están cifrados los backups locales? Hacer un inventario rápido del daño real orienta la estrategia de respuesta y permite priorizar.
5. Notificad a la AEPD si hay datos personales afectados (plazo: 72 horas). Si los sistemas comprometidos contienen datos de personas físicas — clientes, empleados, pacientes — el reloj del plazo legal de notificación está corriendo desde el momento en que tenéis conocimiento del incidente.
6. Evaluad los backups disponibles. ¿Existe copia de seguridad en la nube? ¿Cuál es el punto de restauración más reciente? ¿Está intacto e inaccesible para el ransomware? Esta evaluación determina si la recuperación es posible sin negociar con los atacantes.
7. Comunicación interna controlada. Informad a los empleados de lo ocurrido con un mensaje claro: qué no deben hacer (no conectar dispositivos personales a la red, no intentar acceder a sistemas, no hablar con medios), y a quién deben dirigirse si tienen información relevante sobre el posible origen del ataque.

Seguro de ciberriesgos: ¿vale la pena para una pyme?

En los últimos tres años, los seguros de ciberriesgos han pasado de ser una rareza a convertirse en un producto habitual en el mercado asegurador español. ¿Pero realmente cubren lo que parece? ¿Cuánto cuestan? ¿Y qué condiciones exigen para contratarlos?

Qué cubre un seguro de ciberriesgos

• Pago del rescate: en algunos casos y bajo condiciones específicas, la aseguradora puede cubrir total o parcialmente el importe del rescate, aunque no suele ser la cobertura más destacada ni la más recomendada de usar.
• Costes de respuesta forense: honorarios de especialistas en ciberseguridad para investigar el incidente, determinar el vector de entrada, limpiar los sistemas y certificar la recuperación.
• Lucro cesante: compensación económica por los ingresos no obtenidos durante el tiempo de inactividad provocado por el ataque, hasta el límite pactado en la póliza.
• Notificación a clientes y afectados: los costes de comunicar la brecha de datos a los afectados y de gestionar la crisis reputacional derivada.
• Defensa legal y sanciones regulatorias: cobertura de gastos legales en caso de reclamaciones de clientes o de sanciones de la AEPD por la brecha de datos personales.

Precio aproximado para una pyme

Para una empresa de entre 10 y 50 empleados con una facturación de hasta 5 millones de euros, el coste anual de un seguro de ciberriesgos con cobertura completa oscila habitualmente entre 500 y 2.000 euros al año. La prima varía según el sector (sanidad, asesorías y despachos de abogados tienen primas más altas por la sensibilidad de los datos que manejan), el nivel de exposición online y, sobre todo, las medidas de seguridad que tenga implantadas la empresa.

Qué requisitos mínimos exigen las aseguradoras

Aquí está la clave que muchas pymes descubren demasiado tarde: las aseguradoras no cubren a cualquier empresa sin condiciones. Para obtener y mantener la póliza, la mayoría exigen como mínimo:

• Backup regular y verificado, preferiblemente con copia offsite o en la nube, con retención mínima de 30 días y verificación periódica de que la restauración funciona correctamente.
• Autenticación multifactor (MFA) activa en todos los accesos remotos, en el correo corporativo y en las plataformas de productividad como Microsoft 365.
• Solución EDR (antivirus de nueva generación con detección por comportamiento) instalada, activa y actualizada en todos los equipos de la empresa.

Dicho de otra forma: los requisitos mínimos del seguro coinciden exactamente con las medidas básicas de ciberseguridad que cualquier pyme debería tener implementadas. Si ya las tenéis, el seguro es un paso lógico y económicamente razonable para cubrir el riesgo residual. Si no las tenéis, el primer paso es implementarlas — el seguro vendrá después.