¿Qué recomiendan las autoridades?
Ante un ataque de ransomware, la pregunta llega cargada de presión: el negocio está detenido, los empleados no pueden trabajar y en la pantalla hay un reloj y una cifra. Conviene empezar por lo que dicen quienes ven miles de estos casos. El FBI, la CISA, la NSA y Europol, entre otras agencias, desaconsejan encarecidamente pagar. Sus motivos son consistentes: pagar no garantiza que recuperes la información, cada pago financia al ecosistema criminal y a sus próximos ataques, y entregar el dinero te identifica como una víctima dispuesta a pagar, lo que aumenta la probabilidad de que el mismo grupo —o uno asociado— vuelva a atacarte. No es una postura moralista, sino práctica: la evidencia acumulada muestra que pagar rara vez resuelve el problema y a menudo lo prolonga. Dicho esto, ninguna autoridad ignora que hay empresas contra las cuerdas, así que la decisión final recae en la organización; lo que sigue son los hechos que conviene tener sobre la mesa antes de tomarla.
Por qué pagar es arriesgado aunque parezca la salida rápida
La intuición dice que pagar es apretar un botón y recuperarlo todo. La realidad es bastante menos limpia. Según el informe Sophos State of Ransomware de 2025, las empresas que pagaron recuperaron en promedio solo cerca del 60% de sus datos; la restauración completa es la excepción, no la regla. La razón técnica es simple: las herramientas de descifrado que entregan los atacantes suelen ser lentas, defectuosas o incompletas, y no fueron hechas con el cuidado de un software comercial. A eso se suman casos peores: claves que llegan corruptas o que sencillamente no funcionan, y grupos que cobran y desaparecen sin entregar nada. Un ejemplo notorio fue el de un afiliado de BlackCat que, tras un ataque a una gran empresa de salud, vio cómo los operadores del grupo se quedaron con los 22 millones de dólares del rescate y se esfumaron. Pagar es, en el fondo, confiar en la palabra de quien ya demostró no tenerla. Y mientras tanto, el costo total del incidente —según el informe de IBM de 2025, en torno a los cinco millones de dólares de promedio— se acumula casi igual, se pague o no, por la interrupción, la restauración y el daño reputacional.
La trampa de la doble extorsión
Hay un argumento que parece inclinar la balanza hacia pagar: «si no pago, publican mis datos». Es la mecánica de la doble extorsión. Es real, pero engañoso. La mayoría de los ataques modernos —cerca del 78% según los análisis del sector— roban una copia de la información antes de cifrarla, en lo que se conoce como doble extorsión. El problema es que pagar no te devuelve esos datos robados ni te da ninguna garantía de que el grupo los borre. Nada impide que conserve la copia, la venda a terceros o la publique igualmente más adelante; de hecho, una vez que demostraste estar dispuesto a pagar, eres un objetivo más valioso. Estás pagando por una promesa de un delincuente, no por un resultado verificable. Esta es justamente la dinámica que hace tan peligroso al ransomware en el tejido empresarial, y la explicamos en el contexto local en ransomware en Panamá y las pymes. La conclusión incómoda es que pagar no cierra el riesgo de filtración; solo transfiere dinero.
¿Es legal pagar? El factor de las sanciones
Aquí entra una dimensión que muchas empresas descubren tarde. En varios países pagar un rescate no es ilegal en sí mismo, pero puede chocar con la normativa de sanciones. Organismos como la Oficina de Control de Activos Extranjeros (OFAC) del Tesoro de Estados Unidos, y sus equivalentes en otras regiones, mantienen listas de grupos y personas sancionadas; si el dinero termina en manos de una entidad sancionada, la empresa que pagó puede enfrentar responsabilidad legal, en algunos marcos incluso si lo hizo sin saber a quién pagaba. A esto se añaden las obligaciones de notificación: muchas normativas exigen reportar el incidente a las autoridades o a los afectados en plazos concretos, y no hacerlo acarrea sanciones propias. Como las reglas varían según la jurisdicción y el caso, este no es terreno para improvisar: antes de siquiera considerar un pago, una empresa debería consultar a asesoría legal que conozca su situación específica. No somos abogados, y por eso insistimos en que la dimensión legal se evalúe con un profesional.
¿Qué hacer antes de siquiera considerar pagar?
Antes de que la cifra en pantalla dicte la decisión, hay una secuencia que protege tanto los datos como las opciones futuras. Primero, aísla los equipos afectados de la red para frenar la propagación, pero no los apagues ni borres nada: conservar el estado es clave para lo que viene. Segundo, convoca de inmediato a respuesta a incidentes y a asesoría legal, y valora avisar a las autoridades. Tercero, preserva la evidencia con criterio forense, porque esas marcas permiten entender qué pasó, qué datos se tocaron y sostener un eventual proceso; es el trabajo que describimos en peritaje de evidencia digital. Cuarto, busca un descifrador gratuito: iniciativas como No More Ransom publican herramientas que descifran muchas familias de ransomware sin pagar un centavo. Quinto, evalúa tus copias: si tienes un respaldo inmutable y verificado, no necesitas negociar nada. Y una advertencia importante: desconfía de las empresas que prometen «recuperar» tus datos pero en realidad negocian y pagan al atacante en secreto, cobrándote una comisión por encima; no es recuperación, es un pago disfrazado. Cómo moverse en esos primeros momentos lo detallamos en la primera hora tras un ransomware.
La verdadera respuesta: no llegar a tener que decidir
Si algo enseña cada caso, es que la mejor posición frente a la pregunta «¿pagar o no?» es no tener que hacérsela. Y eso se construye antes, no durante. Una empresa con una copia de seguridad inmutable —que el atacante no puede cifrar ni borrar— y con la restauración probada de antemano vive el ataque de otra manera: aísla, limpia, restaura y sigue operando, sin entrar nunca en la mesa de negociación. Esa es la lógica de la regla 3-2-1-1-0 y de las copias inmutables y air gap: convertir un rescate en una opción irrelevante. No es casualidad que las organizaciones que se recuperan rápido y sin pagar sean, casi siempre, las que habían preparado esa copia. La inversión en prevención es ridícula comparada con el costo de un incidente, y es la única que cambia de verdad el resultado.
El papel de un laboratorio de recuperación
Conviene ser claros sobre qué hace —y qué no— un laboratorio serio en esta situación. Nuestro terreno es el dato y la evidencia, no el trato con el delincuente: no negociamos rescates ni pagamos a los atacantes. Lo que sí hacemos es ayudar a recuperar lo recuperable por vías técnicas —desde respaldos, descifradores legítimos o, cuando es viable, reconstrucción— y preservar la evidencia para el peritaje. Si tu empresa está bajo un ataque ahora mismo, podemos acompañarte en la recuperación de ransomware con esa frontera ética por delante. Y si llegaste a este artículo sin estar bajo ataque, aprovecha la calma para preparar lo único que de verdad te dará tranquilidad el día que toque: una copia que el ransomware no pueda alcanzar. Porque, como repetimos, el laboratorio que recupera también protege.
Preguntas frecuentes
No. El FBI, la CISA, Europol y otras agencias desaconsejan encarecidamente pagar. Pagar no garantiza recuperar los datos, financia futuros ataques y aumenta la probabilidad de volver a ser atacado, porque los grupos comparten listas de pagadores. La recomendación general es no pagar y buscar asesoría especializada antes de cualquier decisión.
No está garantizado. Según el informe Sophos de 2025, las empresas que pagaron recuperaron en promedio solo cerca del 60% de sus datos, y los descifradores de los atacantes suelen ser lentos, defectuosos o incompletos. Hay casos de claves corruptas o inservibles, e incluso de grupos que cobran y desaparecen sin entregar nada.
Depende de la jurisdicción y del grupo atacante. Organismos como la OFAC de Estados Unidos mantienen listas de sanciones, y pagar a un grupo sancionado puede acarrear responsabilidad legal incluso sin saberlo. Varias normativas también obligan a notificar el incidente. Por eso es imprescindible consultar asesoría legal antes de considerar un pago.
No hay ninguna garantía. La mayoría de los ataques modernos roban los datos antes de cifrarlos (doble extorsión), y nada impide que el grupo conserve, venda o publique esa información aunque pagues. Estás confiando en la palabra de un delincuente. Por eso pagar no resuelve el riesgo de filtración.
Aísla los equipos afectados, no borres nada y preserva la evidencia, y convoca de inmediato a respuesta a incidentes y asesoría legal. Revisa si existe un descifrador gratuito en iniciativas como No More Ransom, evalúa tus copias de seguridad y, si tienes una copia inmutable y probada, restaura desde ella. Desconfía de empresas que prometen recuperar pagando en secreto al atacante.