Ataque de ransomware: qué hacer en las primeras 48 horas, a quién llamar y cuándo notificar
Una secuencia serena para los dos primeros días de un ataque de ransomware: contener, llamar, decidir, notificar y restaurar.
En este tema: Tecnología y datos 18
Si está leyendo esto en pleno ataque de ransomware, haga primero tres cosas: desconecte de la red los equipos afectados sin borrarlos, guarde la nota de rescate y llame a su proveedor de TI y, si tiene ciberseguro, a la línea de incidentes de la aseguradora. En España también puede llamar al 017, la línea de ayuda del Instituto Nacional de Ciberseguridad (INCIBE), gratuita y confidencial (fuente: INCIBE, noviembre de 2026). Después vuelva a esta página.
Para todos los demás, esto es el ensayo. El ransomware es menos frecuente que otros incidentes: INCIBE contabilizó 357 casos en 2024, frente a 21.571 de phishing (fuente: INCIBE, marzo de 2025), y el 3,57% de las empresas españolas de 10 o más empleados sufrió en 2023 una caída de sus servicios TIC por un ataque externo, como ransomware o denegación de servicio (fuente: Eurostat, junio de 2026). Pero cuando llega, los dos primeros días deciden cuánto daño añadido se produce, y las decisiones son difíciles de tomar por primera vez: qué desconectar, a quién llamar, si pagar, qué plazo corre ya.
Aislar, conservar, llamar y después decidir. Desconecte los sistemas afectados en lugar de borrarlos, conserve las pruebas, forme un equipo de incidentes y llame a su proveedor de TI, a su aseguradora y a especialistas. INCIBE aconseja no pagar nunca el rescate. Si hay datos personales afectados y riesgo para las personas, en España y el resto de la UE se notifica a la autoridad de protección de datos en un máximo de 72 horas (fuente: AEPD, noviembre de 2026).
- Contener
- Llamar
- Notificar
- Restaurar
La primera hora de un ataque de ransomware: aislar, conservar, organizarse
El reflejo es apagarlo todo o ponerse a limpiar. Las dos cosas pueden destruir lo que necesitará después.
INCIBE aconseja aislar de inmediato los equipos con ransomware y clonar sus discos duros antes de desinfectarlos (fuente: INCIBE, noviembre de 2026). La CISA, la agencia de ciberseguridad de Estados Unidos, indica que solo conviene apagar un equipo si no se puede desconectar de la red (fuente: CISA, septiembre de 2023).
El NCSC del Reino Unido lo plantea como una decisión que hay que tomar: desconectar conserva pruebas forenses; apagar puede hacer que se pierdan (fuente: NCSC del Reino Unido, octubre de 2026).
- 1AislarDesenchufe los cables de red y apague el wifi de los equipos afectados, también los equipos portátiles que estén en casa. Si el ataque se extiende, el proveedor de TI puede cortar la conexión a internet.
- 2No borrar ni restaurar todavíaReinstalar destruye las huellas de cómo entró el atacante. La CISA aconseja tomar una imagen del sistemaImagen del sistemaUna copia exacta de un disco, y a ser posible de la memoria, para que los investigadores estudien el ataque sin alterar el original. y de la memoria de una muestra de equipos afectados (fuente: CISA, septiembre de 2023).
- 3Proteger las copiasDesconecte el almacenamiento de las copias y detenga las tareas de copia, para que los archivos cifrados no sobrescriban las copias buenas.
- 4Conservar las pruebasGuarde la nota de rescate, con una captura de pantalla que INCIBE pide adjuntar al reportar el incidente (fuente: INCIBE, noviembre de 2026), y conserve los correos y cualquier dirección de pago o enlace de chat. Asegure los registros de servidores, correo y cortafuegos antes de que se sobrescriban.
- 5Abrir un registro de decisiones y cambiar de canalAnote qué se encontró y cuándo, qué se decidió, quién lo decidió y por qué (fuente: NCSC del Reino Unido, octubre de 2026). Dé por hecho que el atacante lee el correo y el chat: la CISA aconseja comunicarse por otras vías, como el teléfono (fuente: CISA, septiembre de 2023).
A quién llamar en las primeras horas
Primero, tres llamadas: el proveedor de TI, la línea de incidentes de la aseguradora y los especialistas en respuesta. El CSIRT nacional y la policía, el mismo día.
| Quién | Cuándo | Qué esperar |
|---|---|---|
| Proveedor de TI o equipo interno | De inmediato | Contiene el daño y da una primera imagen; compruebe ahora que su contrato incluye un teléfono fuera de horario. |
| Línea de incidentes del ciberseguro | De inmediato, si tiene póliza | La póliza puede fijar condiciones sobre especialistas, abogados o negociadores; llame antes de contratar a nadie. |
| Especialistas en respuesta | En pocas horas | Los especialistas en respuesta a incidentesEspecialistas en respuesta a incidentesEmpresas que investigan un ataque, lo contienen y guían la recuperación; en inglés, DFIR (análisis forense digital y respuesta a incidentes). investigan, contienen y guían la recuperación. |
| INCIBE-CERT y su línea de ayuda, en España | El mismo día | INCIBE-CERT, el centro de respuesta de referencia para ciudadanos y entidades privadas, atiende 24x7x365; el 017 es gratuito y confidencial y atiende consultas de 8:00 a 23:00 (fuente: INCIBE, noviembre de 2026). |
| Abogado o delegado de protección de datos | El mismo día | Valora los datos personales, los contratos y los plazos de notificación. |
| Policía | El mismo día | Vea en la sección cuatro dónde denunciar. |
Dé al incidente un equipo pequeño con suplentes, incluido un directivo que decida sobre el dinero. El NCSC del Reino Unido aconseja una estructura clara, con autoridad para decidir sobre contención, recuperación y comunicación (fuente: NCSC del Reino Unido, octubre de 2026).
Pagar el rescate: lo que dicen las autoridades y el riesgo de sanciones
INCIBE y el proyecto policial No More Ransom desaconsejan pagar. Si aun así se plantea, la decisión es de la dirección y tiene riesgos legales.
INCIBE es tajante: no pagar nunca, porque pagar no garantiza recuperar la información y fomenta estos ataques (fuente: INCIBE, noviembre de 2026). No More Ransom, el portal de Europol y la policía de los Países Bajos con herramientas gratuitas de descifrado, da la misma recomendación general: el dinero ayuda a que el ransomware continúe y no hay garantía de recibir la clave (fuente: No More Ransom, noviembre de 2026).
| Ámbito | Posición y reglas |
|---|---|
| España | INCIBE recomienda no pagar nunca y denunciar el incidente ante las Fuerzas y Cuerpos de Seguridad del Estado (fuente: INCIBE, noviembre de 2026). |
| Unión Europea | Desde junio de 2024, el régimen de sanciones de la UE por ciberataques incluye a responsables de campañas de ransomware, y las personas y empresas de la UE no pueden poner fondos a disposición de quienes figuran en la lista (fuente: Consejo de la UE, junio de 2024). En mayo de 2026 la lista sumaba 19 personas y 7 entidades, y se prorrogó hasta mayo de 2027 (fuente: Consejo de la UE, mayo de 2026). |
| Estados Unidos | La OFAC, la oficina de sanciones del Tesoro, puede multar aunque quien paga no supiera que el destinatario estaba sancionado, también a empresas extranjeras cuyo pago haga que una persona o empresa estadounidense, como un banco, infrinja las sanciones (fuente: Departamento del Tesoro de EE. UU., septiembre de 2021). |
Deje el contacto con los atacantes a especialistas, implique a su aseguradora y a su abogado, compruebe las listas de sanciones e informe a la policía. La OFAC considera un atenuante importante una denuncia completa y temprana (fuente: Departamento del Tesoro de EE. UU., septiembre de 2021).
Cuándo notificar: datos personales, normas sectoriales y denuncia
Varios plazos pueden empezar a correr en cuanto usted conoce el ataque; averigüe el primer día cuáles le afectan.
Para la Agencia Española de Protección de Datos (AEPD), el ransomware que cifra datos personales, o los sistemas que los tratan, causa una brecha de disponibilidad aunque no se haya copiado nada; si no puede descartarse que los datos salieran, afecta también a la confidencialidad (fuente: AEPD, junio de 2021).
Si es probable un riesgo para los derechos y libertades de las personas, el responsable notifica sin dilación indebida y, a ser posible, en 72 horas desde que tiene constancia; si el riesgo es alto, informa también a los afectados, y todas las brechas se documentan, se notifiquen o no (fuente: AEPD, noviembre de 2026). El plazo incluye fines de semana y festivos, y se puede notificar por fases (fuente: AEPD, junio de 2021). En España se notifica, por lo general, en la sede electrónica de la AEPD, que ofrece la herramienta Asesora Brecha.
En América Latina las reglas varían. En México, la ley de protección de datos de 2025 obliga a informar de inmediato a las personas de las vulneraciones que afecten de forma significativa a sus derechos patrimoniales o morales (fuente: Cámara de Diputados de México, noviembre de 2025). En Colombia, el responsable reporta los incidentes de seguridad con datos personales a la Superintendencia de Industria y Comercio en los 15 días hábiles siguientes a detectarlos (fuente: SIC de Colombia, abril de 2021).
Normas sectoriales y equipos nacionales de respuesta
En la UE, la Directiva NIS2 se aplica, por regla general, a las entidades medianas y grandes de dieciocho sectores críticos (fuente: Comisión Europea, julio de 2026). Ante un incidente significativo, estas envían a su CSIRTCSIRTEquipo de respuesta a incidentes de seguridad informática: un equipo, a menudo nacional, que recibe avisos de incidentes y ofrece apoyo. de referencia una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes (fuente: INCIBE, noviembre de 2026). A noviembre de 2026, España no había completado la transposición, e INCIBE indica que los CSIRT y las autoridades competentes se conocerán con la ley española (fuente: INCIBE, noviembre de 2026). Mientras tanto, los operadores críticos, los de servicios esenciales y los proveedores de servicios digitales ya deben notificar sus incidentes según el Real Decreto 43/2021 (fuente: INCIBE, noviembre de 2026).
En Chile, ante un incidente con efectos significativos, la Ley Marco de Ciberseguridad obliga a las instituciones a las que se aplica a enviar al CSIRT Nacional una alerta temprana en un máximo de tres horas, una actualización en 72 horas, o en 24 si un operador de importancia vital ve afectados sus servicios esenciales, y un informe final en 15 días corridos desde la alerta (fuente: Diario Oficial de Chile, abril de 2024).
| Dónde | A quién |
|---|---|
| España, denuncia | Policía Nacional, Guardia Civil, Ertzaintza, Mossos d'Esquadra o Policía Foral; INCIBE recomienda denunciar para ayudar a investigar el origen del delito (fuente: INCIBE, noviembre de 2026). |
| España, CSIRT | INCIBE-CERT para empresas y ciudadanos; CCN-CERT para el sector público (fuente: Comisión Europea, julio de 2025). |
| México, Colombia y otros países | La policía o fiscalía especializada en delitos informáticos y el CSIRT nacional. Busque hoy los datos y anótelos en su lista de contactos. |
Cómo informar al personal, a los clientes y a los proveedores
El silencio no funciona: la gente nota la caída igualmente. Diga lo que sabe, lo que aún no sabe y cuándo llegará la siguiente actualización.
El NCSC del Reino Unido aconseja canales controlados y coordinados, con alternativas si los de la empresa no son fiables. Actualice al personal aunque la información sea escasa, diga a los clientes cuándo volverán los servicios y cómo reconectarse, y cuente con que los proveedores pidan garantías de que el incidente no les afectará (fuente: NCSC del Reino Unido, octubre de 2026).
- Un portavoz: todas las preguntas de fuera van a una sola persona.
- Un canal limpio: teléfono, SMS o una aplicación acordada de antemano, hasta que el correo sea seguro.
- Aviso de mensajes falsos: diga a los clientes que las peticiones de pago o de datos en su nombre pueden ser falsas, y cómo comprobarlo.
- Descanso para quien trabaja: el NCSC del Reino Unido aconseja imponer y respetar turnos de descanso contra la fatiga y el agotamiento (fuente: NCSC del Reino Unido, octubre de 2026).
Restaurar desde copias limpias, reconstruir y aprender
Restaurar antes de que el atacante esté fuera es el error más caro del segundo día.
El NCSC del Reino Unido advierte que recuperar sin estar seguro de que el atacante ha salido puede reiniciar el incidente; aconseja dar por hecho que las copias pueden estar comprometidas y cambiar las credenciales, también las de las cuentas con privilegios (fuente: NCSC del Reino Unido, octubre de 2026). INCIBE pide cambiar todas las contraseñas de red y de cuentas en línea posibles (fuente: INCIBE, noviembre de 2026). Después, reconstruya y restaure desde copias desconectadas, por orden de prioridad de los servicios críticos (fuente: CISA, septiembre de 2023).
Busque primero unas operaciones mínimas viablesOperaciones mínimas viablesEl nivel más bajo de actividad con el que la organización puede seguir funcionando de forma segura, según el NCSC del Reino Unido. y después el resto. Las copias que sobreviven a un ataque se explican en copias de seguridad.
Lecciones aprendidas
La recuperación suele durar más de lo que la dirección espera (fuente: NCSC del Reino Unido, octubre de 2026). Cuando los sistemas funcionen, revise de forma estructurada qué pasó, qué supuestos fallaron y dónde estorbaron los planes (fuente: NCSC del Reino Unido, octubre de 2026). Dé a cada mejora un responsable y una fecha, y contraste cómo entró el atacante con las medidas de ciberseguridad básica.
¿Hasta qué punto está preparada su empresa para un ataque de ransomware?
Responda las afirmaciones para su organización y vea por dónde empezar.
- 1El personal sabe que debe desconectar un equipo sospechoso en lugar de borrarlo, y a quién llamar a cualquier hora.
- 2Una lista impresa recoge los teléfonos de urgencias del proveedor de TI, de la aseguradora y del equipo de incidentes.
- 3Hay un equipo de incidentes con suplentes, que incluye a quien decide sobre el dinero y sobre la comunicación.
- 4La dirección ha acordado de antemano cómo decidiría ante una petición de rescate, incluida la comprobación de sanciones.
- 5Sabemos qué plazos de notificación nos aplican: protección de datos, normas sectoriales y contratos con clientes.
- 6Hay mensajes preparados para el personal y los clientes, y una forma de llegar a ellos sin el correo de la empresa.
- 7Al menos una copia está desconectada o es inmutable, y se ha probado la restauración completa de un sistema importante.
- 8Tras cada incidente o ejercicio se registran las lecciones, con un responsable y un plazo.
Guías relacionadas
Manual de actuación, lista de contactos y mensajes de ejemplo
A continuación encontrará un manual de actuación con las funciones y los pasos de los dos primeros días, una lista de contactos para imprimir y mensajes de ejemplo para el personal y los clientes.
Preguntas frecuentes
¿Podemos recuperar los archivos sin pagar?
¿Hay que denunciar aunque ya lo hayamos resuelto?
¿Y si el ataque entró a través de nuestro proveedor de TI?
¿Cuánto tarda la recuperación?
- INCIBE: Respuesta a incidentes de INCIBE-CERT (noviembre de 2026)
- INCIBE: Ransomware, temáticas para empresas (noviembre de 2026)
- INCIBE: Preguntas frecuentes sobre NIS2 (noviembre de 2026)
- AEPD: Guía para la notificación de brechas de datos personales (junio de 2021)
- Consejo de la UE: Cyber-attacks, six persons added to EU sanctions list (junio de 2024)
- Diario Oficial de Chile: Ley 21.663, Ley Marco de Ciberseguridad (abril de 2024)