# Ransomware

> Un ransomware es un programa malicioso que cifra o bloquea los archivos de un equipo y exige el pago de un rescate a cambio de devolver el acceso.

Un **ransomware** es un tipo de programa malicioso que «secuestra» un equipo: cifra o bloquea sus archivos, y a menudo los de las unidades conectadas, y exige un rescate para devolver el acceso. A veces amenaza además con publicar la información robada. Entra sobre todo por correos, mensajes y equipos sin actualizar. Para un autónomo o una pyme, la protección decisiva es una copia de seguridad reciente y desconectada, porque pagar no garantiza recuperar nada.

**En resumen**

1. El ransomware cifra o bloquea los archivos de un equipo y de las unidades conectadas a él, y exige un pago para devolver el acceso.
2. El INCIBE recomienda no pagar nunca el rescate, porque el pago no garantiza recuperar la información.
3. La mejor defensa es combinar copias de seguridad desconectadas y con varias versiones, equipos actualizados y prudencia con correos y adjuntos.


## Qué es un ransomware

Un ransomware es un programa malicioso que te deja sin acceso a tus propios archivos y te pide dinero para devolvértelo. Normalmente lo consigue cifrándolos: los documentos siguen ahí, pero nadie puede abrirlos sin una clave que solo tiene el atacante.

El INCIBE lo define en su [página sobre ransomware para empresas](https://www.incibe.es/empresas/tematicas/ransomware) como un código malicioso que «secuestra» equipos y dispositivos conectados a internet, impide el acceso a la información y amenaza con destruirla o difundirla si no se paga. La palabra combina el inglés *ransom*, rescate, con *software*.

### La cerradura cambiada durante la noche

Llegas un lunes a la oficina y la puerta del archivo tiene una cerradura nueva. Dentro están todos tus expedientes. En la puerta, una nota: si quieres la llave, paga. Y una posdata: «hemos fotocopiado algunos documentos; si no pagas, los repartiremos».

Las preguntas que te haces en ese momento son las de una víctima de ransomware. ¿Me darán la llave si pago? ¿Abrirá todas las puertas? ¿Volverán la semana que viene, sabiendo que pago? ¿Y qué pasa con las fotocopias? Ninguna tiene una respuesta tranquilizadora, porque todo depende de la palabra de quien entró de noche.

Ahora imagina que, cada viernes, alguien de la oficina se lleva una copia completa del archivo a otro edificio, al que el intruso no tiene acceso. La cerradura nueva sigue siendo un disgusto, pero ya no es una catástrofe: abres la copia y sigues trabajando. Las fotocopias, eso sí, siguen siendo un problema aparte. Esa es toda la estrategia frente al ransomware: tener algo que el atacante no pueda alcanzar.

### Cómo entra y qué hace, paso a paso

1. **Entra.** El INCIBE cita como vías habituales la ingeniería social, los correos electrónicos y los SMS, los equipos y dispositivos vulnerables y otros programas maliciosos ya instalados. Un [correo de phishing](/glosario/seguridad-y-privacidad/phishing/) con un adjunto es un comienzo clásico.
2. **Se instala y se extiende.** Según el CCN-CERT, el centro de respuesta a incidentes del Centro Criptológico Nacional de España, el ransomware suele propagarse por la red a través de las unidades compartidas, y algunas variantes roban credenciales para moverse a otros equipos.
3. **Cifra.** Ataca los archivos del equipo, sea un ordenador (computadora) de mesa o un portátil (laptop), y los de todo lo que tiene conectado: memorias USB, discos externos y unidades de red.
4. **Se sincroniza.** Si el equipo tiene carpetas sincronizadas con la nube, la versión cifrada de los archivos sube también, como cualquier otro cambio. Solo el historial de versiones del servicio, si existe y llega lo bastante atrás, permite volver al estado anterior.
5. **Pide el rescate.** Deja una nota con instrucciones de pago y, en algunos casos, la amenaza de publicar la información que ha copiado.

![Esquema de hasta dónde llega un ransomware desde un portátil infectado. Quedan cifrados el disco USB conectado al portátil, la unidad de red o NAS montada con permiso de escritura y la carpeta sincronizada, cuya versión cifrada sube a la nube. Solo queda intacta la copia de seguridad desconectada, guardada fuera del alcance del portátil.](/images/esquemas/glosario/ransomware-hasta-donde-llega.svg)

### Las primeras horas

Si un día ves archivos que no se abren, con extensiones extrañas, o una nota de rescate en el escritorio, el orden de los pasos importa. Este resumen sigue la guía de gestión de incidentes de ransomware del CCN-CERT ([BP/21](https://angeles.ccn-cert.cni.es/es/recursos-formativos/30-bp-21-gestion-de-incidentes-de-ransomware)) y las recomendaciones del INCIBE:

1. **Desconecta el equipo de la red**: cable y wifi. El CCN-CERT lo resume como «tirar del cable», para evitar que el cifrado alcance las unidades de red si aún no ha terminado.
2. **Si nadie sabe detener el proceso malicioso**, el CCN-CERT recomienda apagar el equipo manualmente y de inmediato.
3. **No borres ni formatees nada todavía.** Haz una foto de la nota de rescate y aparta algún archivo cifrado: sirven para identificar el tipo de ransomware.
4. **Pide ayuda.** En España, el [servicio de ayuda ante ransomware del INCIBE](https://www.incibe.es/empresas/te-ayudamos/servicio-antiransomware) atiende a las empresas afectadas, también a través de la línea 017. En cualquier país, el proyecto [No More Ransom](https://www.nomoreransom.org/es/index.html), con Europol y la policía de los Países Bajos entre sus socios, ofrece herramientas de descifrado para algunas familias de ransomware.
5. **Restaura desde una copia limpia**, anterior a la infección, en un equipo desinfectado o reinstalado.
6. **Cambia las contraseñas** de la red y de las cuentas a las que se accedía desde el equipo.
7. **Si había datos personales de clientes o empleados** y trabajas en la Unión Europea, el RGPD obliga a notificar la violación de seguridad a la autoridad de protección de datos, en España la AEPD, en un plazo de 72 horas salvo que sea improbable que suponga un riesgo para las personas. Presenta también una denuncia.

### ¿Y si pagas?

El INCIBE es claro: recomienda «no pagar nunca el rescate», porque hacerlo «no es garantía de recuperar el acceso a la información». El CCN-CERT añade que el pago «sólo premia su campaña» y anima a los atacantes a seguir. No More Ransom recuerda lo mismo: la recomendación general es no pagar.

Hay además un argumento práctico. Pagar no borra las copias que el atacante haya hecho de tus datos, ni cierra la puerta por la que entró. Y te señala como alguien que paga.

### Un ejemplo: una asesoría en Zaragoza

Una asesoría laboral de cuatro personas en Zaragoza descubre un lunes por la mañana que los archivos de su disco en red no se abren. Hay una nota de rescate en cada carpeta.

La asesoría desconecta todos los equipos de la red y llama al 017. Tiene dos copias: una nocturna en un servicio en la nube con treinta días de versiones y un disco externo que se actualiza cada viernes y se guarda desconectado. La copia en la nube del domingo por la noche ya contiene archivos cifrados, porque el ataque empezó el sábado; la del viernes está limpia. Tras reinstalar los equipos, restaura la versión del viernes y pierde solo lo que alguien había tocado durante el fin de semana.

Queda la parte menos visible. Como en el disco había nóminas y datos de clientes, la asesoría analiza con ayuda técnica si los datos se copiaron y valora la notificación a la AEPD dentro de las 72 horas. También cambia todas las contraseñas y denuncia el ataque.

### Ideas erróneas sobre el ransomware

- **«Solo atacan a grandes empresas».** Muchos ataques son automáticos: buscan equipos sin actualizar y personas que abran un adjunto, sin mirar el tamaño de la empresa.
- **«Lo tengo todo en la nube, no me afecta».** La [sincronización de carpetas](/glosario/nube-y-copias-de-seguridad/sincronizacion/) replica los archivos cifrados igual que los buenos. El historial de versiones ayuda, con los plazos y límites de cada plan.
- **«Mi disco externo es mi copia».** Si está siempre conectado, el CCN-CERT advierte que se cifra con el resto. La guía BP/21 recomienda guardar varias copias de un mismo dato, para tener una anterior al cifrado, y una copia periódica aislada y desconectada de la red.
- **«Si pago, se acaba el problema».** Ni la clave está garantizada ni las copias robadas desaparecen.

### Qué puedes hacer hoy

1. **Revisa tus [copias de seguridad](/glosario/nube-y-copias-de-seguridad/copia-de-seguridad/)**: al menos una debe estar desconectada o fuera del alcance de tus equipos, y con varias versiones.
2. **Prueba una restauración** de una carpeta completa, para saber cuánto tardas.
3. **Activa las actualizaciones automáticas** del sistema y de los programas en todos los equipos.
4. **Trabaja a diario con una cuenta sin permisos de administrador** y revisa qué unidades de red puede modificar cada persona.
5. **Escribe un plan de una página**: a quién llamar, dónde están las copias, quién decide. El día que lo necesites no será el momento de improvisarlo.

Para organizar las copias y la nube de tu negocio frente a este riesgo, consulta la guía para [guardar los archivos del negocio en la nube](/guias/almacenamiento-en-la-nube/).