Ransomware: cómo prevenirlo en una pyme

El ransomware es un programa malicioso que cifra los archivos de una empresa y exige un pago para devolver el acceso; muchas bandas además roban los datos y amenazan con publicarlos. Una pyme lo previene con verificación en dos pasos, parches al día, respaldos aislados y un plan de respuesta.

Cifrar significa convertir la información en un código ilegible que solo se abre con una clave, y esa clave la tienen los atacantes. El problema ya no es exclusivo de grandes corporativos: el Data Breach Investigations Report 2026 de Verizon encontró ransomware en 48% de las brechas analizadas, frente a 44% del año anterior, y señala que las organizaciones pequeñas se ven afectadas de forma desproporcionada. La prevención empieza en cómo están montados tus servidores, cuentas y respaldos, por eso conviene revisarla junto con tu infraestructura en la nube diseñada para recuperarse de un ataque.

Cómo entra el ransomware a una empresa mexicana

El estudio The State of Ransomware in Mexico 2026 de Sophos encuestó entre enero y marzo de 2026 a 84 organizaciones mexicanas de 100 a 5,000 empleados que sufrieron un ataque. Sus causas técnicas más comunes fueron:

• Credenciales comprometidas (usuarios y contraseñas en manos del atacante), en 39% de los ataques: la proporción más alta de todos los países del estudio.
• Correo malicioso, en 24%.
• Vulnerabilidades explotadas, en 18%.

Traducido: la mayoría entra con una contraseña robada o adivinada, con un correo que alguien abrió o por un programa sin actualizar. Las credenciales suelen salir de filtraciones de otros servicios, de contraseñas repetidas o de sitios falsos a los que alguien llegó por phishing, mensajes que se hacen pasar por una empresa conocida; aquí explicamos cómo funciona el phishing y cómo frenarlo en tu equipo.

Un caso típico de pyme es el escritorio remoto. El RDP (protocolo de escritorio remoto de Windows) permite manejar una computadora a distancia, y si queda abierto a internet con una contraseña débil, los atacantes lo encuentran con programas automáticos. El INCIBE, el Instituto Nacional de Ciberseguridad de España, recomienda priorizar una VPN (una conexión cifrada a la red de la empresa) en lugar de los programas de escritorio remoto expuestos.

Cuánto cuesta un ataque de ransomware

El rescate es solo una parte. En el mismo estudio de Sophos, la demanda mediana en México fue de 540,000 dólares y el costo promedio de recuperación, sin contar el rescate, fue de 752,000 dólares. Ese costo incluye tiempo sin operar, horas del personal, equipos, red y oportunidades perdidas. El 64% de las organizaciones mexicanas se recuperó en una semana o menos, y el 12% tardó entre uno y seis meses.

Esas cifras corresponden a empresas de 100 empleados o más, así que en una pyme más chica los montos pueden ser menores. Lo que no cambia es el golpe relativo: para cualquier negocio, una semana sin facturar, sin inventario o sin acceso a los expedientes de clientes duele más que casi cualquier inversión en prevención. Imagina un despacho contable en Puebla con todos sus expedientes cifrados en plena temporada de declaraciones anuales: el daño se mide en pesos y también en clientes perdidos.

Plan anti-ransomware en 5 capas

Ninguna medida sola detiene el ransomware. En CloudStudio recomendamos pensar en cinco capas, de modo que si una falla, la siguiente frene el ataque:

Para los equipos, suma una protección de endpoints (las computadoras y servidores de la empresa) con detección de comportamiento, conocida como EDR. A diferencia de un antivirus tradicional, que busca archivos conocidos, un EDR vigila acciones sospechosas, como un programa que empieza a cifrar cientos de archivos por minuto, y puede aislar el equipo.

Respaldos: la capa que decide si puedes recuperarte

Si las otras cuatro capas fallan, el respaldo es lo único que te permite volver a operar sin negociar con nadie. Según Sophos, el 58% de las organizaciones mexicanas con datos cifrados usó respaldos para recuperarlos, frente a 68% en el reporte de 2025. El mismo estudio recomienda probar los respaldos con regularidad y guardarlos desconectados o en formato inmutable, es decir, que nadie pueda modificarlos ni borrarlos durante un periodo, ni siquiera con una cuenta de administrador.

Esto importa porque muchos ataques buscan primero los respaldos conectados a la red y los cifran junto con todo lo demás. Una carpeta sincronizada con la nube tampoco basta: si los archivos se cifran en la computadora, la versión cifrada se sube también. Para elegir dónde y cómo guardar tus copias, revisa esta guía sobre cómo elegir un respaldo en la nube para tu empresa.

La prueba de fuego es lo que en CloudStudio llamamos el simulacro de restauración: una vez por trimestre, elige un sistema importante (la contabilidad, el CRM o el sitio web) y restáuralo completo desde el respaldo en un entorno de prueba. Mide cuánto tardaste y anota qué faltó. Si nunca lo has hecho, no sabes si tus respaldos sirven.

Qué hacer en la primera hora de un ataque

La señal suele ser obvia: archivos con extensiones raras, que no abren, y una nota con instrucciones de pago. Actúa en este orden:

1. Aísla los equipos afectados: desconecta el cable de red y el wifi. Desconecta también discos externos y unidades compartidas.
2. Avisa a tu responsable de sistemas o a tu proveedor técnico, y suspende las tareas de respaldo automático para que no sobrescriban las copias sanas.
3. No borres nada ni reinstales todavía. Toma fotos de la nota de rescate y anota la hora en que empezó todo.
4. Cambia las contraseñas críticas desde un equipo limpio, empezando por correo, administradores y nube.
5. Identifica la variante y busca si existe un descifrador gratuito en No More Ransom, el proyecto respaldado por Europol y la policía de los Países Bajos.
6. Restaura desde la copia limpia más reciente solo después de limpiar los equipos y cerrar la vía de entrada.
7. Repórtalo al 088 de la Guardia Nacional y, si se expusieron datos personales de clientes o empleados, revisa con tu abogado el aviso que exige el artículo 19 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Esto es orientación general, no asesoría legal.

¿Conviene pagar el rescate?

La recomendación de las autoridades es no pagar. El INCIBE aconseja no hacerlo nunca, porque pagar no garantiza recuperar la información y financia nuevos ataques, y No More Ransom advierte que no hay garantía de recibir la clave después del pago. Aunque te devuelvan el acceso, los datos robados pueden publicarse o venderse igual.

En la práctica, cada vez menos víctimas pagan. En el informe de Verizon, el 69% de las víctimas de ransomware no pagó, y la mediana de lo pagado fue de 139,875 dólares. En México la tendencia fue otra: según Sophos, el 47% de las organizaciones afectadas pagó y recuperó sus datos, frente a 23% en el reporte de 2025. Con respaldos probados, esa decisión ni siquiera se plantea.

En CloudStudio recomendamos que las cinco capas formen parte de un esquema de mantenimiento con monitoreo, parches y respaldos verificados, y que el plan de respuesta exista en papel antes de necesitarlo. Si quieres una visión más amplia, la guía práctica de ciberseguridad para tu negocio incluye un plan de 30 días para empezar.

Preguntas frecuentes

¿Un antivirus basta contra el ransomware?

No. Un antivirus detecta archivos maliciosos conocidos, pero muchos ataques entran con credenciales robadas y usan herramientas legítimas del sistema. Necesitas verificación en dos pasos, parches, una protección tipo EDR y, sobre todo, respaldos aislados.

¿Cuánto tarda una empresa en recuperarse de un ransomware?

Según el estudio de Sophos sobre México, el 64% de las organizaciones afectadas se recuperó en una semana o menos, y el 12% tardó entre uno y seis meses. La diferencia la marcan los respaldos probados y un plan de respuesta: con un simulacro reciente sabes cuántas horas tarda restaurar cada sistema.

¿El ransomware puede cifrar mis archivos en Google Drive o OneDrive?

Sí, si la carpeta está sincronizada con una computadora infectada: los archivos cifrados se suben como versiones nuevas. El historial de versiones de estos servicios puede ayudar a recuperarlos, pero no sustituye un respaldo separado e inmutable.

¿Puedo recuperar mis archivos sin pagar?

A veces. Si tienes respaldos limpios, sí. Si no, revisa en No More Ransom si existe un descifrador para la variante que te atacó, y guarda los archivos cifrados por si aparece uno más adelante.

Si quieres saber cuántas de las cinco capas ya tiene tu empresa, cuéntanos cómo están tus equipos y respaldos y te ayudamos a cerrar las que falten antes de que alguien las encuentre.