¿Por qué la primera hora es decisiva?
El ransomware no es un accidente puntual, sino el final visible de una intrusión que muchas veces lleva días dentro. Cuando aparece la nota de rescate, el atacante ya hizo su trabajo, y ahora la película la diriges tú. Lo que se decide en los primeros sesenta minutos —si se contiene el cifrado, si se preserva la evidencia, si no se cometen errores irreversibles— marca la diferencia entre un susto con recuperación ordenada y una pérdida total con semanas de parálisis. La consigna de esa primera hora es sencilla de enunciar y difícil de cumplir bajo el pánico: rapidez, sí, pero ordenada. Mejor tres pasos correctos que diez apresurados.
Aísla, pero no apagues
La prioridad inmediata es cortar la propagación. Desconecta los equipos afectados de la red: quita el cable, desactiva el Wi-Fi y el VPN, o cierra los puertos en el switch. Si no puedes aislar máquina por máquina y el cifrado avanza, considera dejar la red entera fuera de línea. Pero hay un matiz crítico que mucha gente hace al revés: no apagues los equipos. Apagar destruye la memoria volátil, y en esa memoria a veces vive la clave de cifrado o evidencia clave para entender el ataque. Solo se apaga como último recurso, cuando el cifrado se propaga activamente y no hay otra forma de aislar. Un detalle más: coordina el aislamiento y comunícate por vías alternas, como llamadas telefónicas, porque si el atacante sigue dentro y percibe que lo descubriste, puede acelerar el cifrado o moverse a otros sistemas antes de quedar aislado.
No reinicies ni borres nada
El segundo error frecuente es querer «limpiar» de inmediato. En la primera hora, preservar pesa más que limpiar. Si el incidente puede acabar en un caso legal, esa preservación es el primer paso de un peritaje con validez probatoria. No reinicies las máquinas —el reinicio borra esa memoria que podría contener la clave—, no borres archivos sospechosos y no empieces a formatear. En su lugar, documenta: fotografía la nota de rescate y la pantalla con un teléfono (no con el equipo afectado), anota la hora, los primeros síntomas y qué se vio. Esa evidencia —imágenes de disco, captura de memoria, registros, indicadores de compromiso— es lo que después permite identificar la variante, entender por dónde entraron y, a veces, encontrar un descifrador. Cada dato que se destruye en el apuro es una puerta de recuperación que se cierra.
¿Debo pagar el rescate?
La respuesta corta: no bajo presión, y nunca como primer reflejo. Lo analizamos a fondo en ¿pagar o no el rescate de ransomware?. Pagar parece el atajo, pero los números desmienten esa promesa. Según informes de 2025, cerca de la mitad de las organizaciones que pagaron no recuperaron todos sus datos, y pagar marca a la empresa como un blanco dispuesto, lo que invita a ataques repetidos. Hay además un riesgo legal real: transferir fondos a ciertos grupos puede infringir sanciones internacionales. La decisión de pagar, si llega siquiera a plantearse, no se toma en caliente ni la toma una sola persona: se consulta con la asesoría legal y con la aseguradora, y solo después de haber agotado las alternativas de recuperación. En la primera hora, esa pregunta todavía no toca.
El cifrado no es lo único: la doble extorsión
Conviene asumir desde el principio que el problema es más grande que los archivos bloqueados. La mayoría de los grupos actuales practican la doble extorsión: antes de cifrar, copian y se llevan tus datos, y luego amenazan con publicarlos. Eso cambia el cálculo del incidente, porque aunque restaures todo desde una copia, la información ya pudo salir. Por eso, parte del trabajo de las primeras horas es estimar el alcance: qué sistemas están cifrados, qué datos pudieron exfiltrarse y qué variante es la responsable. Tratar el caso solo como «recuperar archivos» y no como una posible fuga de datos es subestimarlo, con consecuencias legales y de reputación que llegan después.
Avisa a las personas correctas
Un incidente de ransomware deja de ser un problema de IT en cuestión de minutos. Avisa pronto, y por vías alternas al correo y al chat corporativo, que podrían estar comprometidos:
- La dirección y los responsables del negocio, con actualizaciones regulares y honestas del estado.
- El equipo de IT o tu proveedor gestionado, para coordinar la contención técnica.
- La aseguradora cibernética, si la hay: muchas pólizas exigen el aviso en 24 a 72 horas, y avisar tarde puede anular la cobertura.
- La asesoría legal, para evaluar obligaciones de notificación y el manejo de una posible fuga de datos.
- Las autoridades, que a veces conocen descifradores o detalles de la variante que ayudan a la recuperación.
¿Cuándo y cómo restaurar?
La restauración es la meta, pero hacerla mal reinicia el problema. Tres reglas la ordenan. Primero, restaura solo desde una copia que el ataque no pudo tocar: una copia inmutable o fuera de línea, no la que estaba conectada y que el ransomware probablemente cifró también. Segundo, prueba esa copia en un entorno aislado antes de confiar en ella, porque a veces los respaldos están incompletos o corruptos y eso se descubre justo al intentar restaurar. Y tercero, no restaures hasta haber parcheado la vulnerabilidad por la que entraron: si reconstruyes sobre el mismo agujero, el sistema se reinfecta y vuelves al punto de partida. Tampoco reconectes equipos limpios a una red que aún podría estar infectada.
La lección de fondo: copias inmutables y un plan probado
Todo incidente de ransomware confirma la misma verdad incómoda: la diferencia entre las empresas que se recuperan en un día y las que tardan semanas no está en lo que hacen durante el ataque, sino en lo que prepararon antes. Las que salen bien tienen copias que el atacante no puede cifrar —respaldos inmutables o aislados por air-gap— y un plan de respuesta que ya ensayaron, no uno que improvisan en el peor momento. Por eso la inversión más rentable en seguridad no es una herramienta más, sino un respaldo bien diseñado y probado: convierte un secuestro de datos en una restauración molesta pero sobrevivible.
Cuándo llamar a un especialista
Si no tienes copias, si los respaldos también quedaron cifrados, si no existe un descifrador para tu variante o si el equipo no tiene experiencia en respuesta a incidentes, es momento de pedir ayuda profesional, y cuanto antes mejor: cada hora que pasa se pierde evidencia. Un servicio de recuperación de ransomware trabaja siempre sobre copias forenses de los discos, identifica la variante y busca vías de descifrado sin arriesgar los originales. Y cuando el incidente tiene aristas legales —una fuga de datos, un litigio—, se articula con el peritaje informático forense para preservar la cadena de custodia. Pedir ayuda a tiempo no es admitir derrota: es lo que mantiene abiertas las puertas de recuperación que el pánico tiende a cerrar.
Preguntas frecuentes
No como primera opción. Conviene aislarlos de la red —desconectar el cable, desactivar Wi-Fi y VPN— pero mantenerlos encendidos, porque apagar destruye la memoria volátil, donde a veces se conserva la clave de cifrado o evidencia valiosa. Solo se apaga si el cifrado se está propagando y no hay forma de aislar de otra manera.
No bajo presión y nunca de inmediato. Según informes de 2025, cerca de la mitad de quienes pagaron no recuperaron todos sus datos; pagar invita a nuevos ataques y puede infringir sanciones internacionales. La decisión, si llega a plantearse, se toma con asesoría legal y la aseguradora, después de agotar las alternativas.
Solo si son copias que el ataque no pudo tocar. Los atacantes buscan y cifran los respaldos conectados; la defensa real son copias inmutables o fuera de línea, verificadas con pruebas de restauración. Y antes de restaurar hay que parchear la vulnerabilidad de entrada, o el sistema se reinfecta.
A la dirección, al equipo de IT o tu proveedor gestionado, a la aseguradora cibernética (muchas pólizas exigen aviso en 24 a 72 horas), a la asesoría legal y a las autoridades. Conviene usar vías de comunicación alternas, como el teléfono, por si el atacante sigue dentro de los sistemas.
A menudo sí: restaurando desde una copia limpia, usando un descifrador gratuito si existe para esa variante (proyectos como No More Ransom), o con recuperación profesional. Por eso preservar la evidencia y no destruir datos en la primera hora deja abiertas más vías de recuperación.