El ransomware se previene con capas de defensa y se sobrevive con una copia de seguridad inmutable que sí se pueda restaurar. Las capas son cuatro: protección avanzada en los equipos (EDR), copias aisladas y probadas, doble factor de autenticación (MFA) en todos los accesos y formación del equipo. Y si aun así te atacan, lo que decide si vuelves a facturar en horas o cierras es tener un plan de respuesta preparado de antemano: aislar los equipos afectados, no apagar a ciegas, avisar a especialistas y restaurar desde copias limpias en lugar de pagar. El beneficio de negocio es directo: invertir unos cientos de euros al mes en prevención es lo que evita un parón que, en una pyme, puede costar decenas de miles de euros en facturación perdida, recuperación y reputación. Te lo explicamos paso a paso, con criterios de decisión y rangos de precio orientativos.
Qué es el ransomware y por qué afecta tanto a las pymes
El ransomware es un tipo de programa malicioso que cifra tus archivos - documentos, bases de datos, copias, a veces servidores enteros - y exige un rescate (normalmente en criptomonedas) a cambio de la clave para descifrarlos. En muchos ataques actuales los delincuentes, además, roban una copia de los datos antes de cifrarlos y amenazan con publicarlos: es la llamada «doble extorsión».
Existe la idea equivocada de que esto solo les pasa a las grandes empresas. La realidad es la contraria: una parte muy importante de los ataques golpea a pequeñas y medianas empresas, justamente porque suelen tener menos defensas y menos personal dedicado a la seguridad. La mayoría de los ataques no son personalizados: son automáticos y entran por donde encuentran un hueco - un equipo sin actualizar, una contraseña débil, un correo de phishing que alguien abre con prisa - .
Mini-caso realista. Una asesoría de 18 personas tenía su escritorio remoto (RDP) abierto a internet para teletrabajar y copias de seguridad en un disco USB conectado al servidor. Un viernes por la tarde, un atacante entró probando contraseñas, cifró el servidor de ficheros y el disco de copias (estaba enchufado, así que también se cifró). El lunes no podían abrir un solo expediente. Sin copia válida, estuvieron once días reconstruyendo a mano lo recuperable. Dos cambios baratos lo habrían evitado: cerrar el RDP detrás de una VPN con MFA y tener una copia inmutable que el atacante no pudiera tocar. No es un caso extraordinario: es el patrón que más se repite.
Cómo prevenir el ransomware: las capas que de verdad funcionan
No hay una bala de plata. La protección eficaz se construye por capas, de forma que si una falla, otra detiene el ataque. Estas son las que más impacto tienen en una pyme.
1. Protección avanzada en los equipos (EDR)
El antivirus tradicional reconoce amenazas ya conocidas, pero el ransomware moderno muta para evitar esas firmas. Una solución EDR (detección y respuesta en el endpoint) va un paso más allá: vigila el comportamiento de cada equipo y, cuando detecta algo anómalo - por ejemplo, un proceso que empieza a cifrar archivos en masa - , lo bloquea y aísla el dispositivo antes de que el problema se extienda al resto de la red. Es el núcleo de una buena estrategia de protección de equipos.
Cómo decidir. Para una pyme, el criterio no es solo «que detecte», sino quién reacciona cuando salta una alerta a las tres de la madrugada. Un EDR puro avisa, un servicio gestionado (a veces llamado MDR, detección y respuesta gestionada) además investiga y actúa por ti. Si no tienes un equipo de TI propio vigilando 24/7, la opción gestionada suele compensar. Como referencia orientativa de mercado, una licencia EDR ronda los 3-8 € por equipo y mes, y la versión gestionada con vigilancia profesional suele moverse en torno a 8-20 € por equipo y mes, los precios varían mucho según fabricante, volumen y nivel de servicio, así que tómalos solo como orden de magnitud.
2. Copias de seguridad inmutables, aisladas y probadas
Esta es la capa que nunca debe faltar: si todo lo demás falla, es lo que te permite recuperar la empresa sin pagar un solo euro al atacante. Pero no vale cualquier copia. Para que resista a un ransomware debe seguir la regla 3-2-1: al menos tres copias, en dos soportes distintos y una de ellas fuera del sitio o aislada. La pieza decisiva hoy es que esa copia sea inmutable: una vez escrita, no se puede modificar ni borrar durante un periodo fijado, ni siquiera con credenciales de administrador robadas. Así, aunque el atacante entre con todos los permisos, no puede tocarla. Lo explicamos en detalle en copias de seguridad inmutables frente al ransomware y desglosamos la regla en la regla 3-2-1 explicada con ejemplos.
Y hay dos números que importan más que ningún producto: el RPO (cuántos datos puedes permitirte perder, es decir, cada cuánto haces copia) y el RTO (cuánto tardas en volver a operar). Si tu RPO son 24 horas, una copia diaria basta, si no puedes perder más de una hora de facturación, necesitas copias más frecuentes. Y, sobre todo, hay que probar la restauración de verdad y de forma periódica: una copia que nunca se ha restaurado es una copia en la que no puedes confiar. Automatizarlas evita el olvido humano, míralo en nuestra página de copias automáticas. Como referencia orientativa, un servicio gestionado de copia con almacenamiento inmutable en la nube para una pyme suele situarse entre 50 y 300 € al mes según el volumen de datos y los objetivos de recuperación, conviene pedir presupuesto sobre tu caso concreto, porque la horquilla depende mucho de cuántos teras protejas.
3. Doble factor de autenticación (MFA) en todos los accesos
Muchísimos ataques empiezan con una credencial robada. El doble factor de autenticación (MFA) hace que una contraseña filtrada no baste por sí sola: hace falta además un segundo elemento (una app del móvil, una llave física). Actívalo en el correo, en los accesos remotos (VPN, escritorio remoto) y en cualquier servicio en la nube. Es una de las medidas más baratas y con mayor impacto que existen.
4. Actualizaciones y reducción de la superficie de ataque
Buena parte de los ataques entra por vulnerabilidades conocidas y sin parchear. Mantener al día sistemas operativos, servidores y aplicaciones cierra esas puertas. A esto se suma cerrar lo que no se usa: no exponer el escritorio remoto directamente a internet, segmentar la red para que un equipo infectado no contagie a todos y retirar permisos de administrador que nadie necesita en su día a día.
5. Formación del equipo
La mayoría de los incidentes empieza con una persona que hace clic donde no debe. Por eso la formación en seguridad no es un extra: enseñar a reconocer un correo de phishing, a desconfiar de adjuntos inesperados y a avisar rápido cuando algo «huele raro» convierte a tu plantilla en la primera línea de defensa en lugar de en el punto débil.
La idea clave: el ransomware no se evita con un solo producto, sino con varias capas que se respaldan entre sí. Y la capa que nunca debe faltar es una copia de seguridad aislada y verificada: es la diferencia entre restaurar en horas o quedarse sin negocio.
Qué hacer si te atacan: respuesta paso a paso
Si ves la nota de rescate o sospechas que algo se está cifrando, los primeros minutos importan. Estos son los pasos sensatos, por orden:
- Aísla, no apagues a ciegas: desconecta de la red los equipos afectados (cable de red fuera, Wi-Fi desactivado) para frenar la propagación. Evita apagar los equipos sin criterio: a veces se pierde información útil para el análisis. Si tienes dudas, contén y espera al especialista.
- No pagues de inmediato: pagar no garantiza recuperar los datos, financia a los delincuentes y te señala como objetivo dispuesto a pagar. Es, como mucho, una decisión de último recurso con asesoramiento.
- Activa tu plan y avisa a especialistas: contacta cuanto antes con tu equipo de seguridad o un servicio de respuesta ante incidentes para contener, analizar el alcance y guiar la recuperación con método.
- Documenta y preserva evidencias: anota qué viste y cuándo, conserva la nota de rescate y los registros. Será clave para entender por dónde entraron y evitar que vuelva a pasar.
- Comunica con transparencia: avisa a las personas y responsables que deban saberlo dentro de la empresa y valora las obligaciones legales (por ejemplo, notificar una posible brecha de datos personales y denunciar ante las autoridades).
Cómo recuperarse del ataque
Superada la urgencia, la recuperación consiste en volver a operar con garantías de que el atacante ya no está dentro. A grandes rasgos:
- Confirma que la amenaza está contenida: antes de restaurar nada, hay que asegurarse de que el malware no sigue activo ni quedan accesos abiertos que vuelvan a comprometer todo.
- Restaura desde copias limpias: recupera los sistemas desde una copia de seguridad verificada y anterior a la infección. Aquí es donde un buen plan de recuperación ante desastres, con copias aisladas y probadas, convierte un desastre en un contratiempo.
- Refuerza y cambia credenciales: renueva contraseñas, revisa accesos y aplica los parches que cerraban la vía de entrada.
- Aprende del incidente: revisa qué falló y ajusta las defensas para que no se repita. Un buen análisis posterior vale tanto como la propia recuperación.
Obligaciones legales: qué tener en cuenta (a título orientativo)
Un ataque de ransomware casi siempre implica acceso a datos, así que conviene conocer el marco - aunque esto es información general y no asesoramiento jurídico, ante un incidente real, confírmalo con un profesional legal - . En líneas generales:
- RGPD y brechas de datos personales: si el ataque afecta a datos personales, el RGPD contempla notificar a la autoridad de control (en España, la AEPD) en un plazo orientativo de 72 horas desde que se tiene constancia, y, según el riesgo, informar a las personas afectadas. El detalle exacto depende del caso.
- NIS2: la directiva europea de ciberseguridad refuerza las obligaciones de gestión de riesgos y notificación de incidentes para sectores considerados esenciales o importantes. No aplica igual a todas las pymes, merece la pena comprobar si tu actividad o tu cadena de suministro quedan dentro de su alcance.
- Denuncia: conviene denunciar el incidente ante las fuerzas y cuerpos de seguridad y apoyarse en recursos públicos como el INCIBE, que ofrece ayuda y una línea de atención en ciberseguridad para empresas.
La idea no es alarmar con la letra pequeña, sino que el cumplimiento esté previsto en el plan antes del incidente, para no improvisar con el reloj en contra.
Por qué afrontarlo con un partner como 3L Systems
Montar estas capas y mantenerlas vivas requiere tiempo y criterio que la mayoría de pymes no tiene internamente. Un partner no es comprar más productos: es tener a alguien que elige las medidas adecuadas para tu tamaño y presupuesto, las configura bien - que es donde se gana o se pierde la batalla - y responde el día que pasa algo. En 3L Systems acompañamos a las pymes en la prevención y en el momento crítico, sin venderte más de lo que necesitas. Lo concreto que aportamos:
- Diagnóstico honesto: revisamos tus defensas, tus copias y tu plan, y te decimos dónde estás más expuesto, priorizando por impacto y coste.
- Copias inmutables que se prueban: no «tenemos backup» a secas, sino restauraciones verificadas con objetivos de recuperación (RPO/RTO) acordados contigo.
- Respuesta cuando hace falta: un único interlocutor que coordina la contención y la vuelta a la operación, sin que tengas que orquestar a varios proveedores en plena crisis.
Porque, con el ransomware, casi todo se decide antes de que ocurra. Si quieres entender por dónde empezar con un presupuesto contenido, te puede servir nuestra guía de ciberseguridad para pymes: por dónde empezar.
Preguntas frecuentes
¿Debo pagar el rescate si me atacan con ransomware?
La recomendación general de las autoridades es no pagar. Pagar no garantiza recuperar los datos, financia a los atacantes y te marca como objetivo dispuesto a pagar. La vía sensata es contener el incidente, restaurar desde copias limpias y denunciar. Pagar debería ser, como mucho, una decisión de último recurso tomada con asesoramiento profesional y legal.
¿Una pyme pequeña también es objetivo del ransomware?
Sí. Una parte importante de los ataques afecta a pequeñas y medianas empresas, precisamente porque suelen tener menos defensas que una gran corporación. Muchos ataques no son dirigidos: son automáticos y golpean a quien encuentran con un fallo sin parchear o una contraseña débil, sin importar el tamaño.
¿Un antivirus normal protege frente al ransomware?
Ayuda, pero no basta. El antivirus tradicional detecta amenazas conocidas por su firma, el ransomware moderno cambia constantemente para evadirlas. Por eso se recomienda una solución EDR (detección y respuesta en el endpoint), que vigila el comportamiento de los equipos y puede aislar uno comprometido antes de que el cifrado se propague.
¿Cada cuánto debo hacer copias de seguridad?
Depende de cuántos datos puedas permitirte perder. Para la mayoría de pymes, copias automáticas diarias son el mínimo, y para datos críticos conviene una frecuencia mayor. Lo decisivo no es solo la frecuencia, sino seguir la regla 3-2-1 (tres copias, dos soportes, una fuera del sitio o aislada) y probar de verdad que las copias se pueden restaurar.
¿Cuánto se tarda en recuperarse de un ataque de ransomware?
Varía mucho según la preparación previa. Con copias limpias verificadas y un plan de recuperación probado, una empresa puede volver a operar en horas o pocos días. Sin esa preparación, el parón puede durar semanas y, en los casos más graves, llevar al cierre. La diferencia se decide antes del ataque, no después.
¿Cuánto cuesta proteger a una pyme frente al ransomware?
Mucho menos que un solo día de parón. Como orden de magnitud orientativo, una pyme pequeña puede cubrir lo esencial - EDR gestionado, MFA y copias inmutables con restauración probada - por una cifra que suele moverse en el rango de unos cientos de euros al mes, dependiendo del número de equipos y del volumen de datos. Frente a eso, un incidente real fácilmente cuesta decenas de miles de euros entre facturación perdida, horas de recuperación y daño reputacional. Lo sensato es pedir un diagnóstico y un presupuesto sobre tu caso concreto, en lugar de fiarte de cifras genéricas.