El ransomware en pymes es hoy la amenaza más costosa del panorama digital español. En 2025, el 31% de las pymes españolas sufrió al menos un ataque. De las que pagaron el rescate, solo el 57% recuperó sus datos. Y la mayoría tardó semanas en retomar la operativa normal.
Este artículo explica qué es el ransomware, cómo actuar en las primeras horas, qué obligaciones legales tienes y cómo evitar que vuelva a ocurrir.
¿Qué es el ransomware y cómo afecta a las pymes?
El ransomware es un malware que cifra tus archivos y exige un pago —normalmente en criptomonedas— a cambio de la clave que los desbloquea. En los últimos años ha evolucionado hacia la doble extorsión: primero roban los datos, luego los cifran, y amenazan con publicarlos si no pagas.
El modelo Ransomware as a Service (RaaS) ha democratizado estos ataques: grupos criminales alquilan el malware a terceros sin conocimientos técnicos, que se quedan con un porcentaje del rescate. Según el informe de Google Threat Intelligence Group (2025), los ciberdelincuentes han desplazado su foco hacia pymes precisamente porque sus defensas son más débiles.
Vectores de entrada más habituales:
| Vector de entrada | Frecuencia estimada | Cómo mitigarlo |
| Phishing / email malicioso | ~65% de los casos | Formación, filtros de correo, MFA |
| RDP expuesto a internet | ~15% | Cerrar puerto, usar VPN |
| VPN sin parchear | ~10% | Gestión de parches regular |
| Credenciales robadas (dark web) | ~7% | MFA, monitorización de credenciales |
| Otros (USB, supply chain…) | ~3% | Políticas de dispositivos, auditoría |
Las 5 fases de un ataque de ransomware
Entender la secuencia ayuda a cortar el ataque antes de que llegue al cifrado.
1. Acceso inicial
El atacante entra, normalmente a través de un clic en un email de phishing o una credencial comprometida.
2. Reconocimiento silencioso
Durante días o semanas, se mueve por la red mapeando activos, escalando privilegios y localizando las copias de seguridad. Esta fase suele pasar completamente desapercibida.
3. Exfiltración de datos
En los ataques de doble extorsión, los datos se copian antes de cifrarlos. Esto añade una segunda palanca de presión sobre la víctima.
4. Cifrado masivo
En minutos, todos los archivos accesibles quedan inutilizables. Las copias de seguridad conectadas a la misma red también suelen cifrarse.
5. Extorsión
Aparece la nota de rescate. Los grupos más organizados fijan un plazo y publican un contador regresivo para presionar el pago.
Protocolo de respuesta: qué hacer en las primeras horas
La velocidad de respuesta en las primeras horas determina la diferencia entre una recuperación rápida y semanas de paralización.
Paso 1 — Aisla sin apagar
Desconecta los equipos afectados de la red (cable y Wi-Fi) de inmediato. No los apagues: apagar el equipo destruye la memoria RAM, que puede contener evidencias forenses clave como claves de cifrado en tránsito.
Paso 2 — Evalúa el alcance
¿Cuántos equipos están afectados? ¿Ha llegado al servidor de ficheros? ¿Están comprometidas las copias de seguridad? Necesitas esta información antes de tomar cualquier decisión.
Paso 3 — Activa el plan de continuidad
Si existe un Plan de Continuidad de Negocio, este es el momento de ejecutarlo. Identifica qué procesos críticos pueden mantenerse de forma alternativa mientras se trabaja en la recuperación.
Paso 4 — Llama a especialistas
Si no tienes capacidades internas, el tiempo perdido buscando respuestas cuesta caro. Un equipo de respuesta a incidentes de ciberseguridad puede analizar el malware, identificar qué datos han sido exfiltrados y acompañarte en la recuperación desde el primer momento.
Paso 5 — Cumple las obligaciones legales
Ver sección siguiente.
Paso 6 — No pagues todavía
La decisión de pagar o no requiere información que no tienes en los primeros minutos: estado real de las copias de seguridad, tipo de ransomware, existencia de herramientas de descifrado gratuitas.
Obligaciones legales: lo que debes notificar y en qué plazo
Un ataque de ransomware que afecta a datos personales no es solo un problema técnico. Genera obligaciones legales inmediatas que muchas pymes desconocen.
| Obligación | Plazo | Base legal | A quién notificar |
| Notificación de brecha de datos | 72 horas desde que se tiene conocimiento | RGPD Art. 33 | AEPD |
| Comunicación a afectados | Sin dilación indebida si hay riesgo alto | RGPD Art. 34 | Clientes / empleados afectados |
| Notificación a CCN-CERT | Inmediata | Ley NIS | Obligatorio OSE/PSD; voluntario para resto |
| Denuncia ante autoridades | Cuanto antes | Código Penal | Policía Nacional / Guardia Civil |
El incumplimiento del plazo de 72 horas ante la AEPD puede acarrear sanciones de hasta 10 millones de euros o el 2% de la facturación anual. Y si los afectados tienen un riesgo alto —exposición de datos financieros, sanitarios o credenciales— también hay que notificárselo directamente a ellos.
¿Pagar el rescate? La decisión más difícil
La posición oficial de INCIBE, Europol y el FBI es clara: no pagar. Pagar no garantiza la recuperación: según el Informe de Ciberpreparación 2025 de Hiscox, el 43% de las empresas que pagaron no recuperó sus datos completamente. Además, pagar financia organizaciones criminales, puede convertirte en objetivo recurrente y en algunas jurisdicciones puede generar responsabilidad legal.
Antes de tomar cualquier decisión, evalúa estas alternativas:
- NoMoreRansom.org: Proyecto de Europol con herramientas de descifrado gratuitas para decenas de familias de ransomware. Es el primer sitio que debes consultar.
- Análisis forense: a veces es posible recuperar claves en memoria o versiones previas de archivos.
- Auditoría de copias de seguridad: un especialista puede determinar si los backups están realmente limpios y son restaurables.
Cómo recuperarte: los pasos en orden
Una vez contenido el incidente, la recuperación sigue esta secuencia:
- Análisis forense para identificar el vector de entrada, el alcance real y si el atacante sigue activo en la red.
- Limpieza y reimagen de los equipos afectados. No basta con desinfectarlos: deben formatearse y reconstruirse desde cero para eliminar posibles puertas traseras.
- Restauración desde backups validados, solo desde copias anteriores al incidente y verificadas como limpias.
- Cambio masivo de credenciales en toda la organización y activación de MFA en todos los accesos.
- Monitorización reforzada durante las semanas siguientes para detectar reinfecciones o presencia residual del atacante.
- Revisión post-incidente documentada: qué ocurrió, qué falló y qué debe mejorar.
7 medidas preventivas para no volver a ser víctima
La mejor respuesta al ransomware es no necesitarla. Estas son las medidas con mayor impacto real para pymes:
| Medida | Impacto | Dificultad |
| Copias de seguridad offline (regla 3-2-1) | Muy alto | Media |
| MFA en todos los accesos remotos y correo | Muy alto | Baja |
| Gestión de parches y actualizaciones | Alto | Baja-Media |
| Segmentación de red | Alto | Media-Alta |
| Formación y simulacros de phishing | Alto | Baja |
| Plan de respuesta a incidentes documentado | Alto | Media |
| Auditoría de seguridad o pentest periódico | Muy alto | Media |
La regla 3-2-1 significa: 3 copias, en 2 soportes distintos, con 1 copia offline o en un entorno completamente aislado de la red. Y deben probarse periódicamente: una copia no probada no es una copia.
Más del 90% de los ataques empieza por un error humano. Los simulacros de phishing y la concienciación de empleados son además subvencionables a través de FUNDAE.
Un pentest o auditoría de seguridad periódica permite identificar vulnerabilidades antes de que lo hagan los atacantes. Es la diferencia entre descubrir tus puntos débiles en un entorno controlado o en medio de una crisis.
Si no tienes responsable de seguridad interno, el modelo de CISO as a Service permite acceder a ese perfil sin el coste de una contratación a jornada completa. Y si debes cumplir con NIS2 o ISO 27001, la consultoría de compliance integra la gestión del riesgo de ransomware dentro del marco normativo.
El ransomware es la amenaza más costosa para las pymes españolas hoy. No porque sea inevitable, sino porque la mayoría de las empresas que lo sufren no tenían preparadas las defensas básicas: copias de seguridad offline probadas, MFA activado y un plan de respuesta mínimo documentado.
Si tu empresa ya tiene esas bases, el riesgo se reduce drásticamente. Si no las tiene, el momento de implementarlas es ahora, antes de necesitarlas.
