Sufrir un ataque ransomware es una pesadilla para cualquier pyme. Y no es para menos, puesto que es una de las mayores amenazas existentes. No en vano, el ransomware estuvo implicado en hasta el 83,5% de las intrusiones atribuidas a ciberdelincuentes analizadas en la UE, según un estudio del Parlamento Europeo.
Además, parece que las pymes están especialmente expuestas. Por ejemplo, aproximadamente el 80% de los ciberataques de 2025 afectaron a pymes en Alemania, de acuerdo con un informe de la Oficina Federal de Seguridad de la Información de aquel país germano.
Es decir, es muy probable que, tarde o temprano, tu empresa se vea envuelta en un ataque de este tipo. Por eso, conviene estar muy preparados. Esa puede ser la diferencia entre resistir o desaparecer. Y no es ninguna exageración. Según un estudio de Vodafone, el 28% de las pymes de Irlanda corren el riesgo de cerrar después de sufrir un solo ataque de ransomware. Aunque no tengamos datos concretos de España, podemos pensar que los números no serán muy distintos.
¿Cómo prevenir un ataque ransomware?
Panda Security ofrece algunos consejos para tratar de evitar ser víctima de un ataque ransomware.
1. ¿Estás preparado?
La compañía de ciberseguridad indica que lo primero que debes hacer es preguntarte si tu empresa sería capaz de seguir funcionando mañana si hoy perdiera el acceso a todos sus sistemas y datos. Y lo más normal es que la respuesta sea negativa.
“Responder a esa pregunta obliga a mirar la ciberseguridad desde un lugar diferente. Una pyme necesita saber qué sistemas son imprescindibles para mantener su actividad, qué ocurriría si dejara de disponer de ellos durante unas horas o varios días y cuánto tardaría realmente en recuperarlos”, apunta Hervé Lambert, Global Consumer Operation manager de Panda Security.
“Ese análisis empieza por identificar qué necesita la empresa para funcionar. El correo electrónico, el programa de facturación, el CRM, los archivos compartidos, la información de clientes o determinadas aplicaciones pueden tener un peso muy diferente dependiendo de la actividad. Saber cuáles son críticos permite establecer un orden de recuperación y evita tener que tomar esa decisión en mitad de un incidente”, detalla.
2. Copias de seguridad
Panda Security hace hincapié en la relevancia de las copias de seguridad a la hora de recuperarnos tras un ataque ransomware. Remarca que conviene mantener varias copias de la información, conservar alguna de ellas fuera del alcance directo de los sistemas habituales y realizar pruebas periódicas de restauración.
Además, la compañía recalca que debemos comprobar cuánto tiempo necesitaríamos para recuperar los datos y si seríamos capaces de volver a trabajar con ellos al restaurarlos.
“Una copia de seguridad tiene valor cuando sabemos que podemos recuperarla y conocemos cuánto vamos a tardar en hacerlo. Para una pequeña empresa, puede haber una diferencia enorme entre recuperar su información en unas horas, hacerlo en varios días o descubrir durante el incidente que parte de los datos que esperaba recuperar no están disponibles”, advierte Lambert.
3. Autentificación multifactor
La empresa de ciberseguridad recuerda que la capacidad de recuperación es sólo una parte de la preparación. También es muy importante cuánto pueda ser capaz de avanzar un atacante en caso de que consiguiera acceder a la organización.
“Buena parte de esa capacidad depende de las identidades y los permisos”, explica el experto. No en vano, recuerda que una contraseña comprometida puede abrir el correo electrónico o una aplicación corporativa. Y si esa misma cuenta tiene acceso a carpetas compartidas, herramientas de administración y otros servicios, el alcance potencial del incidente se multiplica.
Ante tal circunstancia, es recomendable implantar sistemas de autenticación multifactor (MFA, por sus siglas en inglés), que añaden una comprobación adicional al acceso y reducen la utilidad de una contraseña robada.
Además, la compañía subraya que una revisión periódica de usuarios y privilegios permite retirar cuentas que ya no deberían existir y limitar los permisos a los recursos necesarios para cada función. Esto es especialmente importante en el caso de las cuentas de administración, ya que tienen capacidad para modificar configuraciones, instalar software o acceder a numerosos sistemas.
4. Segmentación de la red
Una medida de protección adicional consistiría en la segmentación de la red, ya que separar determinados sistemas y recursos dificulta que un atacante pueda desplazarse libremente por toda la infraestructura después de comprometer un primer equipo.
“El objetivo consiste en evitar que cualquier dispositivo tenga acceso innecesario al resto de la organización”, apunta Lambert. Y aunque suene complicado para una pyme, asegura que “no tiene por qué implicar una arquitectura especialmente compleja”.
5. Actualización del software
El software que usa tu empresa —sistemas operativos, navegadores, aplicaciones, servidores, dispositivos de red y herramientas de acceso remoto— necesita mantenerse actualizados, ya que conforma una parte importante de la superficie de exposición.
“Las actualizaciones de seguridad corrigen vulnerabilidades que, una vez conocidas públicamente, pueden incorporarse a las herramientas utilizadas por los atacantes. Cuanto más tiempo permanece un sistema sin actualizar, mayor es el periodo durante el que esa vulnerabilidad puede aprovecharse”, avisa la compañía de ciberseguridad.
6. Inventariar todo
Panda Security considera que es muy útil para toda pyme saber qué dispositivos y aplicaciones tiene conectados, qué versiones utilizan y quién es responsable de mantenerlos, ya que es imposible proteger o actualizar un sistema cuya existencia desconocemos. “Ese inventario puede parecer una tarea administrativa, aunque tiene una función directa en seguridad”, comenta Lambert.
La empresa recuerda que debemos tener en cuenta todos los servicios accesibles desde internet, como el correo electrónico, las conexiones remotas, los servidores y las aplicaciones expuestas al exterior, ya que forman parte de los puntos que un atacante puede examinar antes de intentar entrar.
¿Y qué hacer si lo sufres?
Aun teniendo todas estas precauciones, los ciberdelincuentes muchas veces son capaces de encontrar pequeños resquicios. “Tenemos que asumir que ningún sistema puede garantizar que alguien nunca vaya a conseguir entrar”, declara el experto.
Toda la preparación de tu empresa se pone a prueba cuando aparece el incidente. Panda Security indica que contener su propagación y conservar información sobre lo ocurrido son dos de las prioridades que has de tener en cuenta durante las primeras horas. Esto es lo que deberías hacer.
1. Desconectar de la red
Los equipos afectados deben aislarse de la red para reducir la posibilidad de que el ransomware alcance otros sistemas. “Conviene evitar acciones precipitadas sobre ellos, ya que registros, procesos y otros datos pueden ayudar posteriormente a determinar cómo se produjo el acceso y cuál ha sido su alcance”, alerta Lambert.
2. Comprobar el alcance
Es necesario comprobar si existen otros dispositivos afectados, identificar las cuentas que puedan haberse visto comprometidas y revisar los accesos que se han producido. Además, la compañía recalca que las credenciales potencialmente expuestas deberán cambiarse desde equipos seguros.
3. Contactar con el INCIBE
Panda Security recuerda que las empresas pueden recurrir al servicio 017 de INCIBE y a sus canales de atención para recibir orientación ante un incidente de ciberseguridad.
4. Responder a las obligaciones de notificación
No debemos olvidar que, en caso de una sufrir una brecha de datos personales, debemos notificarlo a la Agencia Española de Protección de Datos (AEPD), de acuerdo con el RGPD. Y si los datos expuestos son de alto riesgo para los derechos y libertades de los afectados, también habrá que notificarlos a ellos.
5. ¿Pagar o no pagar?
Éste es un asunto delicado. En alguna ocasión hemos contado que pagar el rescate no garantiza la recuperación de los archivos encriptados ni asegura que la copia de la información que hayan hecho los ciberdelincuentes vaya a ser eliminada, con el riesgo de que los datos sean exfiltrados después.
Panda Software recalca que INCIBE desaconseja pagar y recomienda denunciar el incidente y buscar apoyo especializado antes de tomar decisiones.
6. Análisis forense
La firma de ciberseguridad anota que “recuperar también significa entender qué ocurrió”. Así pues, el incidente no debería cerrarse al reiniciar los sistemas y recuperar los archivos, sino que hay que indagar para comprender cómo se produjo el acceso para evitar que la misma vía continúe disponible.
Panda Software aclara que esto implica revisar los sistemas afectados, corregir vulnerabilidades, eliminar accesos que hayan podido quedar abiertos y comprobar que las credenciales comprometidas ya no sean válidas. “Sólo entonces puede iniciarse una restauración controlada de los servicios”, puntualiza la empresa.
7. Revisar la respuesta
También aconseja revisar qué funcionó bien durante la respuesta y qué problemas aparecieron. Por ejemplo, nos podemos encontrar con problemas como que la copia de seguridad tardase demasiado en recuperarse, que nadie supiera quién debía tomar una determinada decisión o descubrir sistemas que no estaban incluidos en el inventario por estar desactualizado. Cada una de esas situaciones nos aporta información que ayudará a que tu empresa esté mejor preparada para el siguiente incidente.
“Un plan de respuesta no tiene que ser especialmente complejo para resultar útil en una pyme. Necesitamos saber qué sistemas debemos recuperar primero, quién puede tomar determinadas decisiones, dónde están nuestras copias, a quién tenemos que llamar y cómo podemos mantener una actividad mínima mientras recuperamos el resto”, concluye Lambert.
