Ransomware en su empresa: qué hacer en las primeras horas

¿Qué es un ransomware y por qué importa cada hora?

Un ransomware es un programa malicioso que cifra los archivos y los sistemas de una empresa para pedir un rescate a cambio de liberarlos. El Ministerio de Tecnologías de la Información y las Comunicaciones (Ministerio TIC) lo describe como un software que «secuestra datos, bloquea o filtra información».

Muchos atacantes, además, copian la información antes de cifrarla y amenazan con publicarla. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) llama a esa combinación «doble extorsión».

Según el Data Breach Investigations Report de Verizon, 2026, el ransomware estuvo presente en el 48% de las brechas que analizó. El mismo informe dice que las organizaciones pequeñas se ven afectadas de forma desproporcionada.

Lo que se haga en las primeras horas define cuánto se propaga el ataque, qué se puede recuperar y qué evidencia queda para saber por dónde entró. Esta guía resume esos primeros pasos. No reemplaza el apoyo de un equipo de respuesta a incidentes ni la asesoría de su abogado.

¿Qué hacer en las primeras horas?

1. Desconecte de la red los equipos afectados, sin apagarlos. Quite el cable de red o desconéctelos del wifi. Si son muchos, desconecte la red desde el switch (el equipo que la conecta). Apague un equipo solo si no hay otra forma de aislarlo: al apagarlo se pierde la evidencia que está en la memoria. En la nube, tome una instantánea (snapshot) de los discos para la investigación forense.

2. Coordine por fuera de la red atacada. Hable por teléfono, no por el correo ni el chat de la empresa: el atacante puede estar leyéndolos. Aísle los equipos de forma coordinada, para no avisarle que ya lo descubrieron.

3. Conserve la evidencia. No borre archivos ni registros, no formatee y no reinstale todavía. Tome fotos de la nota de rescate y guarde una copia de ella y de algunos archivos cifrados. Sin evidencia es muy difícil saber por dónde entró el atacante y si se llevó información.

4. Proteja las copias de respaldo. Desconecte de la red las que no se hayan afectado y no las conecte a un equipo infectado. Muchos ransomware buscan las copias a su alcance para borrarlas o cifrarlas.

5. No pague ni negocie sin asesoría. No les responda a los atacantes por su cuenta, y menos desde el correo de la empresa. Más abajo explicamos qué tener en cuenta antes de pagar.

6. Avise a su aseguradora, si tiene póliza de ciberriesgo. Revise la póliza antes de contratar proveedores o de decidir un pago: allí están las condiciones de aviso y de cobertura.

7. Busque un equipo de respuesta a incidentes. Si en su empresa nadie ha manejado un incidente así, pida apoyo externo pronto. Anote desde el principio qué pasó, a qué hora y qué decisiones se tomaron: ese registro sirve para el informe forense, para la aseguradora y para la SIC.

8. Revise qué tiene que reportar. Si se afectaron datos personales, hay un plazo de 15 días hábiles para el reporte a la SIC. Lo explicamos en a quién avisar.

¿Qué conviene evitar?

• Apagar o reiniciar todos los equipos «para ver si se arregla».
• Formatear antes de conservar la evidencia.
• Conectar las copias de respaldo a la red infectada para ver si sirven.
• Instalar programas de descifrado o de recuperación que no vienen de una fuente confiable.

¿Se pueden recuperar los archivos cifrados?

A veces sí y a veces no. Nadie serio puede prometerlo antes de saber qué ransomware es y qué copias tiene su empresa. Estas son las vías, en orden:

1. Sus copias de respaldo fuera de línea. Es la vía más confiable. La CISA recomienda restaurar desde copias cifradas y desconectadas de la red, empezando por los sistemas críticos y en una red limpia. Antes de restaurar, compruebe que la copia no esté cifrada ni infectada.

2. Un descifrador público, si existe para ese ransomware. El proyecto No More Ransom, impulsado por Europol y la policía de los Países Bajos, publica herramientas para descifrar archivos sin pagar el rescate. Su herramienta Crypto Sheriff identifica el ransomware con dos archivos cifrados de máximo 1 megabyte (MB) o con la nota de rescate. El mismo proyecto advierte que «no todos los tipos de ransomware tienen solución» y que pueden añadirse claves en el futuro: por eso conviene guardar una copia de los archivos cifrados.

3. Rehacer lo que no se pueda recuperar, a partir de otras fuentes: correos enviados, sistemas en la nube, documentos impresos o información de clientes y proveedores.

Desconfíe de quien le prometa recuperarlo todo sin haber revisado su caso.

¿Debe pagar el rescate?

Es una decisión de la gerencia, con su abogado y su aseguradora. Conviene tomarla con información técnica: qué se afectó, qué copias sirven y qué datos se llevaron. Antes de decidir, tenga en cuenta:

• Pagar no garantiza recuperar los archivos. Así lo advierten la CISA, el FBI (la policía federal de Estados Unidos) y otras agencias en sus alertas sobre ransomware.
• No More Ransom recomienda no pagar. También advierte que pagar no garantiza la solución.
• Pagar no deshace el incidente. Los datos que el atacante ya copió siguen en sus manos, y las obligaciones de reporte siguen ahí.
• Muchas víctimas no pagan. Según el Data Breach Investigations Report de Verizon, 2026, el 69% de las víctimas de ransomware de su estudio no pagó.

¿Cómo volver a operar y reducir el riesgo de que se repita?

• Reconstruya en orden de prioridad, empezando por los sistemas críticos para la operación y en una red limpia.
• Restaure desde copias fuera de línea que haya comprobado antes.
• Cambie las contraseñas de las cuentas afectadas cuando el entorno ya esté limpio y reconstruido; si lo hace antes, un atacante que siga dentro puede capturar las nuevas.
• Encuentre por dónde entró y ciérrelo. Según el Data Breach Investigations Report de Verizon, 2026, la explotación de vulnerabilidades fue la vía de entrada más común entre las brechas en las que se conoce por dónde entró el atacante (31%). Si no se cierra la entrada, el atacante puede volver por el mismo camino.
• Revise si salieron datos. Cambia lo que debe reportar y a quién.
• Refuerce lo básico: copias de respaldo fuera de línea y probadas, autenticación de dos factores, actualizaciones al día y protección de equipos con detección y respuesta.

¿Cómo lo ayudamos?

Pralogy es una empresa colombiana de ciberseguridad que acompaña a empresas. Lo atiende nuestro equipo de ingeniería.

En un ransomware guiamos la contención con su equipo de tecnología o con su proveedor, investigamos con cadena de custodia y le entregamos un informe forense con la línea de tiempo y los hechos separados de las hipótesis. Ese informe le sirve de soporte técnico para el reporte a la SIC y para su aseguradora. La parte legal la lleva su abogado.

No le prometemos recuperar los archivos: le decimos con honestidad qué se puede recuperar y qué no.

¿Está pasando ahora? Llame al +57 300 912 7577 o escriba por WhatsApp para consultar la disponibilidad de atención. Vea cómo atendemos un incidente.

Si algo vuelve a pasar, que lo atienda alguien que ya conoce su entorno: vea cómo funciona el acompañamiento continuo.