Aislar los equipos afectados desconectándolos de la red —sin apagarlos— es el paso más urgente. A continuación: notifica al responsable de seguridad o a una empresa especializada, no pagues el rescate de inmediato, conserva los equipos tal como están para el análisis forense y activa el plan de continuidad de negocio si existe.

Sí, si el ataque ha afectado datos personales de clientes o empleados. El RGPD obliga a notificar a la AEPD en un máximo de 72 horas desde que se tiene conocimiento de la brecha. Si hay riesgo alto para los afectados —datos financieros, sanitarios o credenciales— también hay que comunicárselo a ellos directamente. El incumplimiento puede acarrear sanciones de hasta 10 millones de euros.

La recomendación de INCIBE, Europol y el FBI es no pagar. Según el Informe de Ciberpreparación 2025 de Hiscox, el 43% de las empresas que pagaron no recuperó sus datos completamente. Pagar además financia a los atacantes y puede convertirte en objetivo recurrente. Antes de decidir, consulta NoMoreRansom.org y evalúa el estado real de tus copias de seguridad con ayuda de un especialista.

Una copia es válida si sigue la regla 3-2-1: tres copias, en dos soportes distintos, con una copia offline o en un entorno completamente aislado de la red. Además, la restauración debe probarse periódicamente. Si las copias están conectadas a la misma red que los equipos infectados, probablemente también estén cifradas.

Depende del nivel de preparación previo. Sin plan de respuesta ni backups adecuados, entre 2 y 6 semanas. Con un plan de continuidad y copias actualizadas y probadas, el tiempo puede reducirse a 24-72 horas. El coste medio total de un ataque —rescate, paralización y recuperación— supera los 4 millones de euros para empresas medianas.

Las de mayor impacto son: copias de seguridad offline probadas regularmente, autenticación multifactor en todos los accesos remotos y correo, actualización y parcheo de sistemas, segmentación de red, formación y simulacros de phishing para empleados, y un plan de respuesta a incidentes documentado. Una auditoría de seguridad o pentest periódico permite identificar vulnerabilidades antes de que lo hagan los atacantes.