Ransomware en pymes: plan de respuesta en 48 horas

Ransomware en pymes es hoy una de las peores amenazas que puede recibir una empresa pequeña o mediana. Y no por lo sofisticados que sean los atacantes, ojo. Casi siempre, el problema está en lo poco preparada que está la víctima. En Grupo Novalca hemos acompañado a varias empresas en España y México durante incidentes reales, y lo que he comprobado es que la diferencia entre perder una semana de trabajo o perder el negocio entero casi nunca está en la tecnología. Está en la velocidad y en el orden de la respuesta. Este artículo no pretende convertirte en experto en ciberseguridad. Quiere darte un plan de acción claro para las primeras 48 horas, que es cuando cada decisión pesa el doble. Y antes de que lo necesites: tenlo escrito, impreso y conocido por tu equipo. Insisto en esto en cada reunión con clientes.

¿Qué hacer en la primera hora tras detectar un ransomware en pymes?

La primera hora lo decide casi todo. Ahí se juega si el incidente será contenible o se convertirá en un desastre. En cuanto un empleado reporte archivos extraños, pantallas de rescate o documentos que no abren, activa tu protocolo. Sin dudarlo. Y sin intentar «arreglarlo rápido», que es el reflejo más común (y más caro).

1. Desconecta la red, no solo el equipo. Desenchufa el cable de red y desactiva el WiFi de todos los equipos sospechosos. Muchos ransomwares modernos se propagan por recursos compartidos; aislar el equipo infectado sin aislar la red no sirve de nada.
2. No apagues los equipos infectados. Suena contradictorio, lo sé. Pero apagar puede destruir evidencia forense y, en algunos casos, agravar el cifrado. Mejor sin red pero encendidos.
3. Declara el incidente internamente. Que coordine un único responsable, idealmente el gerente o el responsable de IT. El caos de diez personas tocando a la vez multiplica los daños. Lo he visto.
4. Contacta a tu proveedor de TI o especialista en ciberseguridad. Las primeras horas son exactamente cuando un experto puede hacer la diferencia.
5. Preserva las copias de seguridad. Si tienes backups, desconéctalos físicamente de la red antes de que el ransomware los cifre también. Este es, de todo lo que he visto, el error más caro: copias de seguridad conectadas en red que acaban cifradas junto con todo lo demás.

Un caso real, para que veas que esto no es teoría. Una distribuidora con la que trabajamos detectó el ataque un viernes a media mañana. Tenían un protocolo de una hora, así que a las 13:00 ya tenían la red aislada y los backups verificados e intactos. Resultado: recuperaron el 90% de su operativa en tres días.

Contención y aislamiento: cortar la propagación en las primeras 12 horas

Asegurada la primera hora, el objetivo de las siguientes doce es evitar que el ransomware siga extendiéndose y crear un entorno controlado donde poder trabajar.

Segmenta la red y prioriza sistemas

• Identifica al paciente cero. Revisa logs, marcas de tiempo de los archivos cifrados y el historial de los usuarios hasta localizar el punto de entrada (casi siempre un phishing o credenciales robadas).
• Aísla los servidores críticos. ERP, gestor de clientes y sistemas de facturación deben separarse del resto inmediatamente si no están ya afectados.
• Deshabilita accesos remotos. Corta VPN y escritorio remoto temporalmente. Son la vía favorita de propagación.
• Cambia todas las contraseñas desde un equipo limpio, empezando por las cuentas de administrador y el correo corporativo.

Un consejo práctico: documenta todo lo que hagas, con fecha y hora. Te servirá para el informe forense, para el seguro ciber y, si procede, para notificar a la AEPD en caso de que haya datos personales afectados.

Evaluación de daños y comunicación: horas 12 a 24

Contenida la amenaza, toca entender el alcance real y comunicar con cabeza. Muchas pymes fallan aquí más que en la fase técnica, si te soy honesto.

Inventario del daño

Elabora una lista con tres columnas: sistemas afectados, sistemas operativos y estado de las copias de seguridad. Prioriza por impacto en el negocio, no por lo que «más duele» emocionalmente. A veces el archivo que más ansiedad genera al gerente es el menos crítico para poder facturar.

Comunicación interna y externa

• Empleados: un mensaje breve y claro. Qué ha pasado, qué deben hacer (o dejar de hacer) y cuándo habrá novedades. Nada de pánico ni rumores.
• Clientes y proveedores: solo si el servicio se ve afectado. Sé transparente, pero sin dar detalles técnicos que puedan explotarse.
• Seguro ciber y asesor legal: avísalos antes de 24 horas. Muchas pólizas exigen notificación temprana para cubrir el incidente.

Y una advertencia que repito en todas las charlas que doy: no negocies con los atacantes por tu cuenta ni pagues sin asesoramiento profesional. En la mayoría de los casos que he conocido, el descifrador prometido llegaba tarde, incompleto o directamente no llegaba. Con los sistemas aislados y las copias verificadas, la recuperación propia es casi siempre más rápida, más barata y más digna que el chantaje.

Recuperación de sistemas y datos: horas 24 a 48

Con la infección contenida y el canal de comunicación ya abierto, toca reconstruir. Y aquí es donde el trabajo silencioso de los últimos años —copias de seguridad, inventario de sistemas, redundancia— se traduce en horas de parón o en semanas. No es exagerar. He acompañado a pymes que recuperaron su operativa en un día porque tenían backups externos inmutables, y a otras que estuvieron tres semanas paradas por confiar en copias conectadas en red que el ransomware cifró también.

El orden correcto de la recuperación

No restaures todo a la vez y a lo loco. Hay una secuencia:

1. Levanta primero lo crítico para facturar. ERP, sistema de venta, correo. Todo lo demás puede esperar.
2. Restaura en entornos limpios. No vuelvas a montar los servidores comprometidos sin formatearlos antes. Los atacantes a veces dejan puertas traseras.
3. Verifica la integridad de los datos. Fechas, importes, registros. Revisa las últimas copias antes de dar por buena la restauración.
4. Cambia todas las credenciales. Contraseñas de administrador, accesos VPN, claves de correo y de servicios cloud. Asume que fueron comprometidas, porque probablemente lo fueron.

Recuerdo una distribuidora con la que trabajamos en México. Recuperó su ERP en 30 horas desde copias en la nube, pero perdió dos días extra porque nadie había validado que el último backup de facturación era completo. Una prueba con usuarios reales lo habría ahorrado.

Después del ataque: cómo evitar que se repita

Superadas las 48 horas, el peligro más grande no es técnico. Es la complacencia. Y el rebrote es real: alrededor del 70% de las empresas atacadas vuelven a sufrir un incidente en los dos años siguientes, en buena parte porque nunca cerraron la vía de entrada. Mi consejo es dedicar la primera semana posterior a un análisis honesto de qué falló. Doloroso, sí. Necesario, también.

Checklist de endurecimiento post-incidente

• Autopsia técnica: identifica el vector inicial (phishing, credenciales robadas, alguna vulnerabilidad sin parchear) y ciérralo.
• Autenticación multifactor en todo: correo, VPN, accesos de administrador. Sigue siendo la medida con mejor relación coste-beneficio que existe.
• Regla 3-2-1-1 en backups: tres copias, en dos soportes, una externa y una inmutable o desconectada.
• Parcheo sistemático: actualizaciones automáticas y revisión mensual de lo que está expuesto a internet.
• Formación anti-phishing: simulacros periódicos con el equipo. El error humano sigue siendo la puerta de entrada número uno, por mucho firewall que compres.
• Plan de respuesta por escrito: actualiza el plan que acabas de improvisar con lo aprendido. Roles claros, contactos definidos.

Y no lo conviertas en un proyecto de TI aislado, porque no lo es. Presupuesta la ciberseguridad como partida recurrente, preséntala al equipo con datos del incidente que acabáis de vivir y deja a alguien con la responsabilidad de mantenerla viva. La seguridad que solo existe tras un susto caduca en seis meses. Lo he visto demasiadas veces.

Conclusión: la respuesta rápida es la mejor inversión en ciberseguridad

El ransomware en pymes no es ciencia ficción ni un problema reservado a grandes corporaciones. Es un riesgo operativo cotidiano. Y la diferencia entre un mal fin de semana y un cierre de empresa casi nunca la marca la sofisticación del ataque, sino la velocidad y el orden de la respuesta. Un plan de 48 horas claro —aislar, comunicar, valorar, recuperar, aprender— cuesta poco de documentar y se convierte en el activo más valioso cuando suena la alarma.

Mi recomendación, como emprendedor que ha visto ambos lados, es sencilla: dedica una tarde este mes a escribir tu plan, verifica esta semana que tus copias de seguridad se restauran de verdad (no basta con que existan) y forma a tu equipo la próxima vez que os reunáis. En Grupo Novalca lo resumimos así: la mejor ciberseguridad no se compra en el momento del incidente, se construye antes. Cada euro invertido en prevención vale diez en recuperación. Sin contar lo que no tiene precio: la confianza de tus clientes y la continuidad de tu negocio.