# Ransomware y nube: por qué la sincronización no te salva sola

> Qué hace un ransomware con tus carpetas sincronizadas, cómo devolver Google Drive, OneDrive o Dropbox a una fecha anterior y qué hacer el día del ataque.

Un **ransomware** que cifra los archivos de un ordenador conectado a Google Drive, OneDrive o Dropbox no se queda en ese equipo: la aplicación de sincronización sube las versiones cifradas a la nube y las reparte a los demás dispositivos. Los tres servicios permiten devolver los archivos a un momento anterior al ataque, con plazos de entre 25 días y un año según el servicio y el plan, siempre que se limpien antes los equipos infectados y se actúe dentro de ese margen.

**En resumen**

1. La sincronización trata un archivo cifrado por un ransomware como una modificación normal y lo sube a la nube y a los demás equipos conectados.
2. OneDrive restaura la cuenta a cualquier punto de los últimos 30 días para suscriptores de Microsoft 365, Google Drive restaura en bloque las revisiones de los últimos 25 días y Dropbox Rewind retrocede dentro del historial de versiones del plan.
3. El INCIBE aconseja no pagar el rescate, aislar el equipo, restaurar desde un sistema limpio y, si hay datos personales afectados, notificarlo a la autoridad de protección de datos en 72 horas.


## Ransomware en la nube: qué se sincroniza y cómo se recupera

Un ransomware es un programa malicioso que cifra tus archivos y pide un rescate a cambio de la clave. Cuando infecta un ordenador (computadora) con carpetas sincronizadas, el daño no se queda en ese equipo, y por eso ocupa un lugar propio en [la seguridad del almacenamiento online](/guias/almacenamiento-en-la-nube/seguridad/) de cualquier negocio. El INCIBE ofrece a las empresas españolas un [servicio de ayuda contra el ransomware](https://www.incibe.es/empresas/te-ayudamos/servicio-antiransomware) con los pasos de respuesta y prevención.

La respuesta corta: la sincronización no te protege, porque copia el daño en segundos. Pero la nube sí te da algo que un disco local no tiene: versiones anteriores y herramientas para devolver cientos de archivos a una fecha previa al ataque. Funcionan bien con dos condiciones: limpiar antes los equipos y no dejar pasar el plazo.

![Cronología en cuatro momentos de un ataque de ransomware a una carpeta sincronizada. Lunes a las 9:00, todo en orden: el portátil, la nube y los demás equipos tienen la misma versión. Lunes a las 11:20, el ataque: un ransomware cifra los archivos del portátil. Lunes a las 11:21, la sincronización: la aplicación de la nube sube los archivos cifrados y los reparte. Martes a las 10:00, la salida: limpiar los equipos y restaurar la nube a una hora anterior al ataque. Plazos para restaurar en octubre de 2026: OneDrive, 30 días; Google Drive, 25 días; Dropbox, de 30 a 365 días según el plan.](/images/esquemas/almacenamiento-en-la-nube/seguridad-ransomware-sincronizacion.svg)

### Por qué la sincronización no distingue un ataque de un cambio

La aplicación de Google Drive, OneDrive o Dropbox tiene una tarea: que la carpeta de tu portátil (laptop), la de la nube y la de tus otros equipos sean idénticas. Cuando un ransomware reescribe un presupuesto con datos cifrados, para ella es un presupuesto modificado, igual que si lo hubieras editado tú. Lo sube y lo distribuye. Si el ataque además renombra los archivos, la nube recibe cientos de archivos «nuevos» y cientos de borrados.

Los proveedores han empezado a reaccionar. Google anunció en marzo de 2026 la [disponibilidad general de su detección de ransomware](https://workspaceupdates.googleblog.com/2026/03/ransomware-detection-and-file-restoration-for-Google-Drive-now-generally-available.html) en Drive para ordenadores, que pausa la sincronización cuando detecta un cifrado masivo, en las ediciones Business Standard y Plus, Enterprise y las versiones Standard y Plus de Education y Frontline. OneDrive también avisa por notificación y correo cuando detecta un ataque. Son buenas redes, no garantías.

### Las herramientas de restauración de cada servicio

Esta tabla recoge lo que ofrece cada proveedor según su documentación, consultada en octubre de 2026:

| Servicio | Herramienta | Hasta cuándo | Quién la tiene |
|---|---|---|---|
| OneDrive | **Restaurar OneDrive**, en la configuración de la web | Cualquier punto de los últimos 30 días | Suscriptores de Microsoft 365, con cuenta personal o de empresa |
| Google Drive | **Restaurar versiones de archivos**, en la configuración de la web | Revisiones de los últimos 25 días | Cuentas de Workspace y personales, según Google |
| Dropbox | **Dropbox Rewind**, en la configuración de la carpeta | Dentro del historial de versiones: 30, 180 o 365 días según el plan | Planes de pago |

Tres detalles cambian el resultado. En OneDrive, si el servicio ha detectado el ataque, [la restauración propone sola una fecha](https://support.microsoft.com/es-es/office/restaurar-onedrive-fa231298-759d-41cf-bcd0-25ac53eb8a15) anterior a la infección. En Google Drive, la [restauración en bloque](https://support.google.com/drive/answer/16482799?hl=es) no deja elegir archivos concretos y no incluye los archivos de Documentos o Presentaciones de Google, que según la compañía no se ven afectados por el ransomware. En Dropbox, [Rewind](https://help.dropbox.com/es-la/delete-restore/rewind) solo retrocede dentro del historial de versiones del plan, que es de 30 días en Basic, Plus y Family.

### El día del ataque: el orden importa

Una inmobiliaria de cuatro personas en Málaga descubre un lunes a media mañana que los contratos del portátil de una agente tienen una extensión extraña y que hay una nota de rescate en el escritorio. Estos son los pasos, en este orden:

1. **Aísla el equipo.** Desconéctalo de la red, cable y wifi, como recomienda el INCIBE, para que el ataque no se propague.
2. **Corta la sincronización.** Cierra la sesión de la nube en ese equipo. Si no sabes cuál está infectado, Dropbox aconseja cerrar la sesión en todos los dispositivos desde la web.
3. **No pagues.** El INCIBE recuerda que pagar no garantiza recuperar los datos y financia a los atacantes.
4. **Limpia o reinstala los equipos afectados.** Microsoft advierte de que restaurar antes de limpiar puede hacer que los archivos se vuelvan a cifrar.
5. **Restaura la nube** a una hora anterior al ataque con la herramienta de tu servicio.
6. **Vuelve a conectar con cuidado.** Dropbox recomienda borrar la carpeta local con los archivos cifrados antes de iniciar sesión otra vez, para que se descarguen las versiones recuperadas.
7. **Avisa.** En España, la línea 017 del INCIBE orienta gratis sobre el incidente. Si hay datos personales de clientes o empleados afectados, el INCIBE recuerda que debe notificarse a la autoridad de protección de datos, la AEPD, en un plazo de 72 horas, y aconseja denunciar ante la Policía Nacional o la Guardia Civil. En otros países, las obligaciones dependen de su ley de protección de datos.

### Lo que la nube no cubre

Las herramientas de restauración tienen tres límites que conviene conocer antes de necesitarlas.

- **El plazo.** Un ataque descubierto al cerrar el trimestre puede quedar fuera de la ventana de 25 o 30 días.
- **La cuenta.** Las versiones y la restauración viven dentro de la misma cuenta. Si el atacante la controla, o si pierdes el acceso, pierdes también la salida.
- **Lo que no se sincroniza.** Los archivos que solo están en el escritorio de un equipo, fuera de las carpetas de la nube, no tienen versiones que restaurar.

Por eso el INCIBE insiste en hacer copias de seguridad periódicas y comprobar que se pueden restaurar: una copia fuera de la cuenta es lo único que funciona cuando falla todo lo demás.

### Cuando el ataque empieza por una cuenta robada

No todos los ransomware entran por un adjunto. A veces el atacante consigue primero la contraseña de la nube y desde ahí borra o cifra. Si sospechas que es tu caso, sigue también los pasos para [recuperar el control de una cuenta comprometida](/guias/almacenamiento-en-la-nube/seguridad/cuenta-robada/) antes de restaurar nada.

### El ransomware en el mapa de riesgos de la nube

El ransomware es uno de los riesgos que la nube cambia de forma, no el único. Ver [cuánto protege la nube frente a un disco local](/guias/almacenamiento-en-la-nube/seguridad/es-segura/), riesgo por riesgo, ayuda a decidir dónde poner el esfuerzo antes del próximo susto.