¿Cómo sabes que es un ransomware y no una avería?
El ransomware suele anunciarse solo: aparece una nota de rescate y los archivos dejan de abrirse. Pero a veces lo primero que ves es un servidor de ficheros caído o un EDR que ha dejado de reportar. Estas señales, juntas o por separado, justifican tratarlo como un ataque:
- Archivos con una extensión nueva y desconocida que ya no se pueden abrir.
- Ficheros de texto o HTML con instrucciones de pago en muchas carpetas, o el fondo de pantalla cambiado.
- Copias de sombra de Windows borradas y consolas de copia de seguridad con trabajos eliminados.
- El antivirus o el EDR desactivado en varios equipos a la vez.
- Cuentas de administrador nuevas o cambios de contraseña que nadie ha pedido.
Muchos grupos practican la doble extorsión: antes de cifrar, copian datos y amenazan con publicarlos. El Verizon Data Breach Investigations Report 2026 sitúa el ransomware en el 48 % de las brechas que analiza. Asume desde el principio que puede haber cifrado y robo de datos a la vez.
¿Qué hacer en la primera hora de un ataque de ransomware?
- Aísla los equipos afectados. Desconecta cable, wifi y VPN, o usa el aislamiento de red de tu EDR. Si hay varios servidores o subredes afectados, corta a nivel de switch. En la nube, haz instantáneas de los volúmenes antes de tocar nada.
- No los apagues salvo que no puedas aislarlos de otra forma. La guía #StopRansomware de CISA reserva el apagado para ese caso, porque se pierde la memoria volátil: procesos, conexiones activas y rastros útiles para la investigación.
- Coordina por un canal fuera de banda. Usa teléfono o una mensajería acordada que no dependa de tus sistemas. El atacante puede estar leyendo el correo y el chat corporativo.
- Nombra a una persona que coordine y abre un registro con la hora de cada observación y de cada acción.
- Corta los accesos remotos expuestos: VPN, escritorios remotos publicados en internet y herramientas de control remoto que no reconozcas.
- Protege las copias de seguridad. Desconecta los repositorios, suspende la sincronización con la nube y cambia las credenciales de la consola de backup desde un equipo limpio.
- Avisa a tu aseguradora de ciberriesgos si la tienes (algunas pólizas exigen aviso inmediato o trabajar con proveedores concretos), a tu asesoría jurídica y a un equipo de respuesta a incidentes.
¿Qué no debes hacer si te han cifrado los archivos?
- Pagar o negociar por tu cuenta. INCIBE aconseja no contemplar el pago del rescate como opción. Pagar no garantiza recuperar los datos, puede traer nuevas extorsiones y tampoco asegura que borren lo que han robado.
- Formatear o reinstalar antes de investigar. Destruyes las pistas sobre cómo entraron y no sabrás si queda una puerta trasera.
- Restaurar copias en una red que sigue comprometida. El atacante puede volver a cifrarlas en horas.
- Iniciar sesión con cuentas de administrador del dominio en equipos que podrían estar comprometidos. Le regalas esas credenciales.
- Borrar la nota de rescate o los archivos cifrados. Sirven para identificar la variante y para descifrar si más adelante aparece una herramienta.
- Contar detalles en público antes de conocer el alcance real.
¿Cómo averiguar por dónde entraron y qué se llevaron?
El cifrado es la última fase. Antes, el atacante consiguió acceso, ganó privilegios, se movió entre servidores, copió datos y desactivó defensas. Reconstruir esa cronología te dice qué cerrar y desde qué fecha puedes confiar en una copia. CISA recomienda buscar cuentas nuevas o con privilegios elevados, inicios de sesión anómalos en la VPN, uso de vssadmin, bcdedit o wmic para inutilizar la recuperación, Cobalt Strike, software de acceso remoto inesperado, volcado de credenciales y herramientas de exfiltración como Rclone.
| Fase | Qué buscar | Dónde mirar |
|---|---|---|
| Acceso inicial | Explotación de VPN o firewall, credenciales válidas usadas desde IP inusuales, phishing | Firewall, VPN, identidad, correo |
| Persistencia | Servicios, tareas programadas o cuentas nuevas; software de acceso remoto | EDR, registros de Windows, directorio |
| Movimiento lateral | RDP, SMB o PsExec entre servidores; cuentas privilegiadas usadas fuera de lo normal | EDR, registros de autenticación |
| Exfiltración | Picos de tráfico saliente, subidas a almacenamiento en la nube, Rclone | Firewall, proxy, DNS |
| Impacto | Borrado de copias, EDR desactivado, cifrado masivo | EDR, consola de backup |
Las credenciales robadas son una vía de entrada frecuente. En el Verizon DBIR 2025, el 54 % de una muestra de víctimas publicadas por grupos de ransomware tenían su dominio en logs de infostealers o en anuncios de mercados de credenciales. Revisa si las tuyas circulaban antes del ataque.
¿Se pueden recuperar los archivos sin pagar el rescate?
Muchas veces sí. Hay tres vías y conviene revisarlas en este orden:
- Copias de seguridad desconectadas o inmutables que hayas verificado. Es la vía más fiable.
- Herramientas de descifrado públicas. El portal No More Ransom, impulsado por la policía neerlandesa, Europol y empresas de seguridad, permite identificar la variante y comprobar si existe un descifrador. Si hoy no lo hay, guarda los archivos cifrados: puede publicarse más adelante.
- Copias de sombra o versiones anteriores que el atacante no consiguiera borrar. Es poco habitual, pero merece la pena comprobarlo antes de reconstruir.
¿En qué orden se recupera la actividad tras un ransomware?
- Erradica: elimina la persistencia encontrada y cierra la vía de entrada (parche, cuenta deshabilitada, acceso remoto retirado).
- Restablece credenciales cuando el entorno esté limpio: cuentas privilegiadas, cuentas de servicio y, en Active Directory, la cuenta krbtgt, dos veces y de forma controlada.
- Reconstruye primero los servicios críticos desde imágenes limpias, siguiendo una lista de prioridades pactada con negocio.
- Restaura los datos verificados por orden de prioridad.
- Reconecta por fases con vigilancia reforzada: EDR en todos los equipos y alertas sobre las cuentas e indicadores del incidente.
- Documenta las lecciones aprendidas y corrige lo que permitió el ataque.
¿Dónde pedir ayuda en España si sufres un ransomware?
- Línea 017 de INCIBE: gratuita y confidencial, de 8:00 a 23:00 todos los días. También por WhatsApp (900 116 117) y Telegram (@INCIBE017).
- Denuncia ante Policía Nacional o Guardia Civil. Te la pueden pedir la aseguradora y el banco, y las fuerzas de seguridad pueden tener información sobre la variante.
- Tu asesoría jurídica, sobre todo si se han robado datos de clientes o empleados. Consulta con ella las obligaciones que puedan aplicarte.
- Un equipo profesional de respuesta a incidentes para contener, investigar y dirigir la recuperación.
Cómo te ayuda Ciberia ante un ransomware
Ciberia MDR vigila a cualquier hora la telemetría que ya tienes (endpoint, red, correo, identidad y cloud) y no sustituye tu EDR ni tu SIEM. El SLA contractual es de 15 minutos desde una alerta crítica hasta la contención inicial. Las alertas siguen un mismo flujo: contexto, decisión (la IA propone y un analista valida las acciones con impacto) y respuesta orquestada sobre tus herramientas. Cada acción automática queda trazada: quién, cuándo, con qué criterio y sobre qué dato.
Con Threat Hunting, Ciberia busca de forma retrospectiva persistencia y movimiento lateral a partir de hipótesis MITRE ATT&CK, y convierte cada hallazgo en una nueva regla de detección. Ciberia Intel aporta contexto sobre la familia de ransomware, sus técnicas y sus IOCs. Si estás viviendo un incidente ahora, escríbenos desde la página de respuesta a incidentes o a [email protected].
