Una pyme se protege del ransomware con cinco medidas que frenan la mayoría de ataques: MFA en todos los accesos remotos y el correo, parches rápidos en equipos expuestos a internet, copias de seguridad con una copia fuera de línea o inmutable que se prueba restaurando, protección EDR en los equipos y permisos mínimos. Si el ataque ya ocurrió, lo primero es aislar los equipos afectados sin apagarlos, activar tu plan de respuesta y no tomar decisiones sobre el rescate sin asesoría legal y técnica.
Qué es el ransomware y qué es la doble extorsión
El ransomware es un software malicioso que cifra los archivos y sistemas de una organización para exigir un pago a cambio de la clave de descifrado. Durante años el problema se resolvía, en teoría, con buenos backups. Hoy ya no basta: la mayoría de grupos practica la doble extorsión, que consiste en robar datos antes de cifrarlos y amenazar con publicarlos o venderlos si no pagas.
Esto cambia la conversación para una pyme. Aunque puedas restaurar todo desde un backup, la fuga de datos de clientes, empleados o proveedores sigue siendo un incidente de seguridad de datos personales con consecuencias legales y reputacionales. Por eso la prevención tiene que cubrir dos frentes: que no te puedan cifrar y que no puedan sacar información sin que lo detectes.
Las pymes no son un objetivo menor. Los atacantes automatizan la búsqueda de servidores vulnerables y credenciales filtradas, así que no te eligen por tu tamaño sino porque encontraron una puerta abierta.
Cómo entra el ransomware a una empresa pequeña
En casi todos los casos que se analizan públicamente, el acceso inicial llega por una de estas cuatro vías:
- Phishing: un correo o mensaje que roba credenciales o instala un programa de acceso remoto. Con IA generativa estos mensajes ya no tienen faltas de ortografía; lo explicamos en nuestra guía sobre phishing con IA y deepfakes.
- Escritorio remoto (RDP) o VPN expuestos sin MFA: un servidor con RDP abierto a internet y una contraseña débil o reutilizada es una de las entradas más explotadas.
- Equipos de borde sin parches: firewalls, VPN SSL, routers y appliances de acceso remoto con vulnerabilidades conocidas. Los atacantes explotan estas fallas días u horas después de que se publican.
- Credenciales robadas o compradas: contraseñas filtradas en otras brechas o capturadas por malware de tipo infostealer en el computador personal de un empleado.
Una vez dentro, el atacante suele pasar días o semanas moviéndose por la red, escalando privilegios, borrando copias de seguridad y extrayendo datos. El cifrado es el último paso, no el primero. Esa ventana es tu oportunidad para detectarlo.
Controles de prevención priorizados para una pyme
No necesitas un presupuesto corporativo, pero sí un orden. Esta tabla prioriza los controles por el impacto que tienen frente a los vectores anteriores, en línea con la guía #StopRansomware de CISA:
| Prioridad | Control | Qué frena |
|---|---|---|
| 1 | MFA en correo, VPN, acceso remoto, nube y cuentas de administrador (idealmente resistente a phishing: llaves FIDO2 o passkeys) | Credenciales robadas y phishing |
| 2 | Cerrar RDP a internet y parchear equipos de borde en días, no meses | Explotación de vulnerabilidades conocidas |
| 3 | Backups 3-2-1-1-0 con copia offline o inmutable y pruebas de restauración | La pérdida de datos por cifrado |
| 4 | EDR (detección y respuesta en endpoints) en todos los equipos y servidores | Ejecución de malware y movimiento lateral |
| 5 | Mínimo privilegio: cuentas de administrador separadas, sin usuarios de oficina con permisos de administrador local | Escalamiento de privilegios |
| 6 | Segmentación de red: servidores, backups y estaciones de trabajo en redes separadas | Propagación del cifrado |
| 7 | Seguridad del correo: filtrado, SPF, DKIM y DMARC, macros de Office bloqueadas en archivos externos | Phishing y suplantación de dominio |
Usa el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA para decidir qué parchear primero: si una falla de tu firewall o VPN aparece ahí, se está usando en ataques reales. Si tu infraestructura está en la nube, la misma lógica aplica a cuentas e identidades; revisa nuestro checklist de hardening de AWS.
Backups que sí resisten un ransomware: la regla 3-2-1-1-0
Los atacantes buscan y borran los backups antes de cifrar. Un NAS conectado a la misma red, con las mismas credenciales de dominio, suele caer junto con todo lo demás. La regla 3-2-1-1-0, muy usada en la industria, resume lo que funciona:
- 3 copias de los datos (la original y dos respaldos).
- 2 tipos de almacenamiento distintos.
- 1 copia fuera de la oficina o en otra región de la nube.
- 1 copia offline o inmutable, que nadie pueda borrar ni modificar durante su periodo de retención, ni siquiera un administrador.
- 0 errores en las pruebas de restauración.
El último número es el que casi nadie cumple. Programa una prueba de restauración al menos trimestral de un sistema completo (por ejemplo, el ERP o la base de datos de clientes) y mide cuánto tarda. Si restaurar toma cuatro días y tu negocio no tolera más de uno, ese es un hallazgo crítico que conviene descubrir en una prueba, no durante un ataque.
Protege también las credenciales del sistema de backup: cuenta separada, MFA y fuera del dominio principal.
Qué hacer en las primeras horas de un ataque
La lista de respuesta de la guía #StopRansomware de CISA, FBI, NSA y MS-ISAC es una buena base. Adaptada a una pyme:
- Aísla los equipos afectados. Desconéctalos de la red (cable y Wi-Fi). Si son muchos, desconecta la red a nivel de switch. Coordina por teléfono, no por el correo corporativo, que podría estar comprometido.
- No apagues los equipos salvo como último recurso. Apagarlos destruye evidencia en memoria que ayuda a entender cómo entró el atacante.
- Activa tu plan de respuesta y convoca al equipo: gerencia, TI, asesor legal y tu proveedor de seguridad. Si no tienes plan, nuestra guía de plan de respuesta a incidentes te da una plantilla.
- Prioriza qué sistemas restaurar primero según una lista de activos críticos definida de antemano.
- Preserva evidencia: nota de rescate, logs del firewall, del EDR y de la nube. Haz copias antes de limpiar nada.
- Cambia credenciales desde un equipo limpio, empezando por cuentas de administrador, correo y backups.
- Verifica que los backups estén limpios antes de restaurar, para no reinstalar el acceso del atacante.
¿Pagar o no pagar el rescate?
Las agencias que publican la guía #StopRansomware no recomiendan pagar: pagar no garantiza que recuperes los archivos ni que los datos robados se borren, y financia nuevos ataques. En la práctica, muchas víctimas que pagan reciben descifradores lentos o incompletos y siguen expuestas a la publicación de datos.
La decisión final es de la empresa, pero debe tomarse con información: confirma primero si tus backups permiten restaurar, consulta si existe un descifrador gratuito para esa variante (el proyecto No More Ransom los recopila) y obtén asesoría legal, ya que pagar a grupos sancionados puede generar problemas legales adicionales. Nunca negocies directamente sin asesoría especializada.
Obligaciones de notificación en Ecuador
Si el ataque afecta datos personales, y casi siempre lo hace, entra en juego la Ley Orgánica de Protección de Datos Personales (LOPDP):
- Notificación a la autoridad (art. 43): el responsable del tratamiento debe notificar la vulneración de seguridad a la Superintendencia de Protección de Datos Personales tan pronto sea posible y a más tardar en el término de cinco días desde que tuvo constancia de ella, salvo que sea improbable que afecte los derechos de las personas. Si un proveedor (encargado) sufre la brecha, debe avisarte a más tardar en dos días.
- Notificación a los titulares (art. 46): si la vulneración conlleva un riesgo para los derechos de las personas, debes avisarles sin dilación, dentro de tres días desde que conociste el riesgo, en lenguaje claro y con recomendaciones.
- Canal y forma: la Superintendencia ha emitido normativa técnica sobre cómo notificar, incluido su sistema en línea. Como el marco se ha ido reformando y reglamentando, valida el procedimiento vigente con tu asesor legal.
Además puedes reportar el incidente a EcuCERT, el centro de respuesta a incidentes de ARCOTEL, y presentar la denuncia ante la Fiscalía. Para el detalle técnico del cumplimiento, consulta nuestra guía técnica de la LOPDP.
Errores comunes que vemos en pymes
- Tener backups pero nunca haber restaurado uno completo.
- MFA en el correo, pero no en la VPN, el firewall o la consola de administración de la nube.
- Un antivirus tradicional sin monitoreo: nadie mira las alertas de madrugada o en feriado, que es cuando suelen ejecutarse los ataques.
- El proveedor externo de TI con una cuenta de administrador compartida y sin MFA.
- Pensar que estar en la nube equivale a estar respaldado: si borran o cifran el bucket o la base de datos, el proveedor no siempre tiene una copia para ti.
Si no sabes cuáles de estos puntos aplican a tu empresa, una evaluación de ciberseguridad con prueba de intrusión externa lo revela antes de que lo descubra un atacante.
Preguntas frecuentes
¿Un antivirus es suficiente para protegerse del ransomware?
No. Un antivirus tradicional detecta malware conocido, pero muchos ataques usan herramientas legítimas de administración y credenciales robadas que no disparan alertas. Necesitas EDR con alguien que revise sus alertas, MFA en los accesos, parches en los equipos de borde y backups inmutables. El antivirus es una capa; no es la estrategia completa.
¿Cuánto tarda una pyme en recuperarse de un ransomware?
Depende sobre todo de la calidad de los backups y de si existe un plan. Con copias inmutables probadas y un inventario de sistemas críticos, la operación básica puede volver en días. Sin backups utilizables, la recuperación puede tomar semanas y exigir reconstruir sistemas desde cero. La investigación forense y la notificación legal suelen correr en paralelo y extender el proceso.
¿Tengo que notificar un ransomware a la Superintendencia de Protección de Datos?
Si el ataque comprometió datos personales, la LOPDP obliga al responsable del tratamiento a notificar a la autoridad a más tardar en el término de cinco días desde que tuvo constancia, salvo que sea improbable un riesgo para los titulares. Si hay riesgo para las personas, también debes avisarles. Documenta tu análisis aunque concluyas que no corresponde notificar.
¿Los backups en la nube protegen contra el ransomware?
Solo si el atacante no puede borrarlos. Un backup en la nube accesible con las mismas credenciales que tu red puede ser eliminado. Busca retención inmutable u objetos bloqueados, una cuenta separada con MFA para administrar los respaldos y pruebas periódicas de restauración. Esa combinación es lo que convierte una copia en una defensa real.
¿Qué hago si el atacante amenaza con publicar los datos?
Trátalo como una fuga de datos confirmada o probable: activa tu plan, preserva evidencia, determina con ayuda forense qué datos salieron, prepara la notificación a la autoridad y a los afectados, y busca asesoría legal antes de cualquier contacto con los atacantes. Pagar no garantiza que los datos se borren.
Conclusión
El ransomware no es un problema exclusivo de grandes empresas, y tampoco requiere un presupuesto enorme para reducirlo. MFA, parches en los equipos expuestos, backups inmutables que se prueban, EDR y permisos mínimos cierran la mayoría de puertas. Lo que marca la diferencia el día del ataque es haber preparado la respuesta y las obligaciones de notificación antes de necesitarlas.
En MisterProSoft evaluamos tu exposición real con pruebas de intrusión, revisamos tu configuración de nube y backups, y te ayudamos a armar el plan de respuesta. Conoce nuestro servicio de ciberseguridad o agenda una consulta gratuita.