Ransomware: cómo atacan a una PYME y cómo responder

Hay una idea peligrosa muy extendida: «somos pequeños, no interesa». La realidad es la contraria. Los grupos de ransomware atacan a las PYMEs precisamente porque suelen tener menos controles, menos personal dedicado a seguridad y menos margen para sobrevivir a una parada de días o semanas. La extorsión se cobra en horas, y el daño se paga durante meses.

Esta guía no es alarmismo: es la mecánica real del ataque y el plan que deberías tener antes de necesitarlo.

Qué es el ransomware y por qué te eligen a ti

El ransomware es software malicioso que cifra tus archivos y después pide un rescate para devolverte el acceso. Ese modelo de negocio funciona en dos direcciones: cuanto más crítico es el sistema, más urge pagar; y cuanto menos preparada está la empresa, más probable es que acabe pagando.

Hoy los grupos profesionales combinan cifrado con robo de datos: copian tu información antes de bloquearla y luego amenazan con publicarla si no pagas. Se conoce como doble extorsión, y funciona incluso si restauras las copias de seguridad — porque la amenaza no es el cifrado, sino la filtración.

Cómo entran (casi nunca es «hackeando»)

Entrar no requiere un ataque sofisticado contra ti. Basta con una puerta abierta:

• Escritorio remoto expuesto a Internet sin doble factor. Es la vía número uno: la pantalla de acceso de tu servidor está visible desde cualquier parte del mundo, y solo la protege una contraseña.
• Phishing con adjuntos o enlaces. Un archivo que parece una factura, una «actualización de seguridad», un currículum… El clic lo ejecuta todo. Lo explicamos con detalle en cómo detectar phishing dirigido.
• Credenciales robadas y reutilizadas. La misma contraseña en varios servicios acaba publicada en filtraciones: entra con ella y prueba si le funciona. Es exactamente lo que ocurrió en el incidente de Snowflake.
• Vulnerabilidades sin parchear. Los fallos críticos se explotan igual años después de tener parche; lo vimos en estas cinco vulnerabilidades.
• Terceros y proveedores. Un acceso compartido con tu gestoría, tu informático o tu agencia se convierte en tu puerta si a ellos les comprometen.

Qué ocurre durante el ataque

Un ataque con éxito sigue un guion bastante predecible:

1. Acceso y movimiento lateral. Entran por una puerta y desde ahí buscan servidores, copias de seguridad y cuentas con más permisos.
2. Robo de datos. Exportan lo valioso: facturación, expedientes, cuentas bancarias, datos de clientes.
3. Desactivación de defensas. Antivirus parados, registros borrados, copias de seguridad cifradas o eliminadas.
4. Cifrado y extorsión. Bloquean los sistemas y te dan un plazo con una cifra. A veces «negocian», casi siempre subiendo el precio.

El daño real casi nunca es el rescate: son los días de parada, los clientes que se van, la facturación perdida y el coste de reconstruir todo con prisa.

¿Pagar? Casi nunca es la respuesta

• No garantiza recuperar nada. Hay grupos que no entregan las claves, o las entregan mal. Pagas y vuelven a pedirte más.
• Financia y señala. Ponerte en la lista de «clientes que pagan» te convierte en objetivo recurrente.
• Puede ser ilegal. Si el grupo está sancionado internacionalmente, pagarle puede vulnerar la normativa de sanciones.
• Y no resuelve el problema de fondo. Si no cierras la puerta por la que entraron, te volverán a visitar.

Lo que de verdad te protege

No hace falta un presupuesto de gran empresa. Estos seis controles reducen drásticamente el problema:

• Copias de seguridad 3-2-1 y probadas. Tres copias, en dos soportes distintos, una desconectada o externa a la red. Y sobre todo: haz una restauración de prueba de verdad, no confíes en que «debería funcionar».
• Doble factor en todo acceso remoto. Escritorio remoto, VPN, correo, paneles. Sin esto, tu contraseña es la única cerradura.
• Actualiza lo que se ve desde Internet. VPN, servidores, firewalls, web. Son los blancos de la primera ola de ataques.
• Segmenta la red. Que el ordenador de administración no esté en la misma red que el equipo de recepción. Y que las copias no sean alcanzables con las credenciales de trabajo.
• Cuentas limpias. Sin usuarios antiguos con acceso, sin credenciales compartidas, sin permisos de administrador para toda la plantilla.
• Monitoriza y ensaya. Alertas de accesos raros y un simulacro anual de «¿qué hacemos si nos cifran todo?».

Si te atacan: los primeros 60 minutos

1. Aísla lo afectado. Desconecta de la red los equipos comprometidos. No los apagues sin más: puede destruir evidencia útil. Si duda, consulta antes de tocar.
2. No borres ni reinstales nada. La escena del incidente es tu mejor información para saber cómo entraron.
3. Reúne al equipo y llama a profesionales. Dirección, responsable IT y asesor legal. Si no tienes experto propio, es el momento de llamar a uno.
4. Denuncia y reporta. La denuncia activa posibles ayudas y la cooperación internacional. En España puedes reportar incidentes en INCIBE.
5. Si hay datos personales comprometidos, evalúa la notificación a la AEPD en 72 horas — es una obligación legal bajo el RGPD, la filtración entra dentro de tus obligaciones.
6. Restaura desde copias limpias y cambia credenciales. Solo después de entender qué pasó y de cerrar la puerta de entrada.

Prepárate antes de que pase

Ninguna empresa pequeña puede permitirse improvisar un secuestro de sistemas. Lo que marca la diferencia no es lo que hagas durante el ataque, sino lo que hayas preparado antes: copias que restauran, doble factor activo, acceso remoto cerrado y un plan de una página con los teléfonos a los que llamar.

Si no sabes por dónde empezar, tu primer paso es saber qué se ve de tu empresa desde fuera. Nuestra auditoría OSINT gratuita te lo entrega en un informe en 72 horas, sin acceder a tus sistemas. Y si quieres comprobar la resistencia real de tu red, lo hacemos con un pentesting autorizado por escrito.