El ransomware en 2026 no llega como un titular de un hospital americano. Llega como un lunes a las 08:12 en una gestoría de Santa Cruz, en un hotel del sur o en un despacho que abre las carpetas del servidor y ve extensiones raras, un fichero README y la sensación de que el día se ha acabado antes de empezar. En Infofase llevamos más de veinte años viendo cómo las PYMES de Tenerife reaccionan a un incidente: unas apagan todo a lo loco, otras pagan a ciegas y otras llaman cuando ya han machacado las evidencias. Este artículo no vende miedo. Es un playbook de las primeras 24 horas: qué aislar, qué no tocar, a quién avisar y cómo restaurar sin convertir el desastre en dos desastres.
Si buscas un producto milagroso, no está aquí. Si quieres una secuencia que un gerente, un administrativo o un técnico interno puedan seguir sin improvisar, sigue leyendo. Luego, cuando pase el susto —o mejor, antes—, encaja esto con una estrategia de ciberseguridad para empresas y con copias que se puedan restaurar de verdad, no con un disco USB que nadie ha probado desde 2022.
Qué ha cambiado en 2026 (y por qué una PYME canaria no está «fuera del radar»)
Hace una década el ransomware era ruidoso: un wallpaper, una cuenta de Bitcoin y un cifrado masivo del equipo local. Hoy el patrón habitual es más paciente. El atacante entra por un correo creíble, por una VPN con contraseña reutilizada, por un escritorio remoto expuesto o por un proveedor que tiene acceso a vuestra red. Se mueve lateralmente. Roba correo y documentos. Y solo entonces cifra, a menudo en horario de menor vigilancia. El doble o triple chantaje —cifrar, amenazar con filtrar, amenazar con avisar a clientes— es lo habitual, no la excepción.
En Canarias hay un factor extra que no aparece en los manuales escritos desde Madrid: la distancia. Un partner que «pasa el lunes» o un técnico que tiene que volar no sirve a las 09:00 de un martes con la facturación parada. Por eso el plan de respuesta no puede depender de un héroe. Tiene que caber en una hoja, estar impreso o en un canal que no sea el mismo servidor comprometido, y asignar nombres reales: quién corta la red, quién habla con el personal, quién llama al proveedor de copias, quién decide si se notifica a la AEPD.
Tampoco es cierto que «somos demasiado pequeños». Los grupos automatizan. Un ERP de diez usuarios, un NAS con facturas de cinco años y un correo de Microsoft 365 mal configurado valen dinero. El coste no es solo el rescate. Es el lunes sin cobrar, el hotel sin check-in, la clínica sin agenda y la reputación cuando un cliente recibe un correo enviado desde vuestra cuenta.
Antes de entrar en las horas, una honestidad: si no tenéis copias fuera del edificio y desconectadas del dominio, el playbook de restauración se acorta y el de recuperación forense se alarga. Por eso este plan se lee junto a la regla 3-2-1 explicada para gerentes y a un checklist de ciberseguridad para PYMES canarias. El incidente se gestiona el día D; se evita (o se acorta) los 364 días anteriores.
Hora 0 a 2: aislar sin apagar a lo loco
El impulso más humano es arrancar el cable o pulsar el botón de apagado de todos los torres. Entendible. Y a menudo contraproducente. Apagar en caliente un servidor que está cifrando puede corromper volúmenes, interrumpir copias a medias y borrar de la RAM indicadores que un técnico usaría para saber cómo entraron. El objetivo de las dos primeras horas no es «arreglar». Es contener: que el cifrado no salte a otro VLAN, a otro NAS, a Microsoft 365 o al portátil del gerente que se ha llevado a casa.
La secuencia práctica que usamos con PYMES de la isla es esta. Primero, no pagar, no negociar y no ejecutar el «decryptor» que el atacante adjunta. Segundo, desconectar de la red los equipos que muestren el rescate o actividad anómala: cable, WiFi, VPN. Si hay un switch gestionable, mejor bajar el puerto o la VLAN que cortar la luz del CPD. Tercero, dejar de usar el correo corporativo desde esos equipos. Si el atacante tiene la bandeja, cada «he visto un archivo raro» reenviado es información para él y, a veces, un vector más.
Identificad un canal limpio. WhatsApp personal del responsable, una SIM de voz, una cuenta que no esté en el mismo tenant. El teléfono de Infofase es el 922 276 335; el WhatsApp +34 653 551 192. No es publicidad: es para que no tengáis que buscar el número en un servidor cifrado. Quien llame debe poder decir tres cosas: qué se ve (mensaje, extensión, qué carpetas), qué se ha tocado ya (apagados, restauraciones a lo bruto, pagos) y si hay copia conocida fuera.
No formateéis. No «restaureis por encima» sin saber si la copia está limpia. No conectéis el disco USB de backup al mismo PC infectado «solo un momento para ver». Ese momento es cómo se cifran las copias. Si un compañero ya ha pagado o ha escrito al atacante, decídselo al técnico: cambia el escenario legal y el de negociación, y evita que alguien más lo haga por su cuenta.
En oficinas con WiFi de invitados mezclado con la red de trabajo, el aislamiento es más sucio. Un portátil de un comercial en la terraza puede seguir montando la unidad de red. Cortad VPN, deshabilitad temporalmente el acceso remoto y, si hace falta, bajad el SSID corporativo. Es molesto. Es menos molesto que cifrar el segundo servidor a las 11:00.
- Desconectad de red los equipos con síntomas; no los apaguéis todos de golpe si hay un servidor en proceso de cifrado o de backup.
- Cortad VPN, RDP y accesos de proveedores hasta que alguien con criterio los reabra.
- Usad un canal de voz o mensajería que no dependa del dominio comprometido.
- Anotad hora, quién vio qué y qué se desenchufó. Ese papel vale más que la memoria del viernes.
Horas 2 a 8: evidencias, alcance y la decisión de no pagar a ciegas
Cuando el incendio deja de extenderse, llega la pregunta que todo el mundo quiere oír: «¿cuánto tardamos en volver?». La respuesta honesta depende de tres cosas que aún no sabéis a las 10:00: qué se ha cifrado, si hay exfiltración y si las copias están intactas. Esta franja del día es de diagnóstico, no de heroísmo.
Un técnico con cabeza mira logs de firewall, de ESET o del antivirus que tengáis, inicios de sesión raros, tareas programadas nuevas, cuentas de administrador creadas de madrugada y el estado de las copias (última correcta, inmutabilidad, si el NAS responde). Si el entorno es Microsoft 365, hay que revisar reglas de reenvío, aplicaciones OAuth dudosas y buzones con acceso delegado. El ransomware de 2026 a menudo vive también en la nube: no basta con «el servidor de la trastienda».
Sobre pagar. No vamos a hacer moralina de salón. Hay sectores donde un día parado duele más que una cifra. Dicho esto, pagar a ciegas es la peor variante: no hay garantía de descifrado, a veces el decryptor es lento o incompleto, y el atacante ya tiene una víctima que paga. En España, además, el pago puede chocar con obligaciones de notificación, con el seguro si lo hay, y con el hecho de que financiar un delito no cierra el incidente. Si hay póliza ciber, llamad al mediador antes de transferir nada. Si no hay póliza, no improviséis un Bizum internacional.
La decisión de pagar, si alguna vez se contempla, solo tiene sentido después de saber si existe una restauración limpia. Muchas PYMES pagan porque nadie había probado el backup. Eso no es una decisión: es una consecuencia. En Infofase preferimos invertir esas horas en validar la copia y en recuperación de datos de discos que el cifrado o el apagado brusco hayan dejado a medias, antes que en conversar con un buzón anónimo.
Documentad. Fotografiad la pantalla del rescate, el ID de la víctima, la dirección de contacto del atacante, sin clicar enlaces desde un equipo de producción. Esa documentación sirve para la denuncia, para el seguro y para no reabrir el mismo vector en dos semanas.
Comunicación: personal, clientes y el papel (real) de las autoridades
El silencio interno es un acelerador de pánico. A las dos horas la oficina ya ha visto que «no va el programa» y ha empezado a inventar teorías. Un mensaje corto, por el canal limpio, basta: estamos ante un incidente de seguridad; no encendáis equipos sospechosos; no paguéis ni escribáis al autor; no enviéis facturas ni bases de datos por WhatsApp «para trabajar desde casa»; hay un responsable de comunicación (un nombre).
Hacia fuera, la prisa es el enemigo. Un correo a todos los clientes a las 11:00 admitiendo un «hackeo masivo» sin saber si se han filtrado datos genera más daño que una nota a las 18:00 con hechos. Pregunta útil: ¿hay indicios de exfiltración o solo cifrado local? ¿Hay datos de carácter personal afectados? Si la respuesta es sí o es «no lo sabemos aún», el reloj de notificación a la AEPD (72 horas desde que tenéis conocimiento razonable del incidente con datos personales) empieza a contar. No es lo mismo un portátil de un comercial con una hoja de Excel que el servidor de una clínica. Tampoco es lo mismo inventar un comunicado legalista que llamar a vuestro delegado de protección de datos o al asesor que realmente os lleva el RGPD.
La denuncia en comisaría o ante la Policía / Guardia Civil (grupo de delitos tecnológicos) no restaura el ERP. Sí crea un rastro si hay seguro, si hay que acreditar diligencia o si más adelante aparece una filtración. Hacedla cuando tengáis una cronología mínima, no cuando aún estáis desenchufando switches.
Si sois colegio o centro con menores, la comunicación a familias exige otro tono y otro cuidado. No reutilicéis el párrafo de una gestoría. El artículo de backups y AEPD de este mismo blog entra en retención y encargados; aquí basta una regla: no minimicéis ni dramatizéis. Hechos, alcance conocido, medidas y un canal de preguntas.
Restaurar con cabeza: 3-2-1, copias sucias y el orden que evita el segundo cifrado
Restaurar es la parte que todo el mundo imagina como un botón. En la práctica es una cadena: validar que la copia no está cifrada ni infectada, elegir un punto de restauración anterior a la intrusión (no solo anterior al cifrado), levantar primero identidad y archivos críticos, y no reconectar a la red sucia el servidor «ya restaurado». Si el atacante sigue teniendo una cuenta de administrador o un acceso VPN, el segundo cifrado llega el mismo día.
La regla 3-2-1 —tres copias, dos soportes, una fuera— no es un eslogan de marketing. Es la diferencia entre «volvemos el martes» y «llamamos a un laboratorio». La copia en el mismo NAS que el atacante ha montado como unidad de red no cuenta como fuera. La copia en un disco que el becario enchufa cada viernes y deja en el cajón del servidor, tampoco. Una copia cloud con retención e inmutabilidad, o un rotativo offline que no se monta en el dominio, sí. En Tenerife, «fuera» puede ser un datacenter, un tenant cloud o un rotativo que viaja; no hace falta un bunker. Hace falta que el ransomware no tenga credenciales para borrarla.
Orden que recomendamos. Uno: no restaurar encima del volumen cifrado sin imagen o evidencia. Dos: restaurar en un entorno controlado o, al menos, con el servidor aislado. Tres: cambiar contraseñas de administrador local, de dominio y de copias después de contener, no en el mismo escritorio comprometido. Cuatro: aplicar parches y credenciales nuevas antes de reabrir VPN. Cinco: recuperar primero lo que para el dinero (facturación, agenda, pasarela, almacén) y después el archivo histórico. La gente pedirá el buzón de 2019; el negocio pide el albarán de hoy.
Si no hay copia usable, entramos en otro terreno: discos que aún se pueden clonar, volúmenes a medias, y la conversación honesta de qué se ha perdido. Ahí el servicio de copias de seguridad en la nube ya no es preventivo: es la deuda que se paga cara. Un laboratorio de recuperación no deshace un cifrado moderno de un ransomware serio; a veces sí salva un disco que se apagó mal o un volumen que no llegó a cifrarse entero. No prometáis a la plantilla «se recupera todo» en la hora 6.
Cuando el polvo baja, revisad también los equipos que nadie considera «servidor»: impresoras con disco, NAS de fotos del marketing, un PC de almacén con una carpeta compartida sin contraseña. El coste oculto de hardware zombi —equipos viejos, colas y dispositivos que nadie parchea— aparece en la guía sobre flotas e impresoras. En un incidente, esos nodos son el rincón donde el atacante deja persistencia o donde se os olvida una copia de facturas en un disco USB.
Horas 12 a 24: continuidad, lecciones y lo que no se improvisa el martes
Pasada la contención y, si hay suerte, una restauración limpia, el negocio quiere abrir. Es legítimo. El error es reabrir con las mismas puertas. En las últimas horas del primer día conviene un mínimo: MFA en correo y VPN, cuentas de ex-empleados deshabilitadas, RDP fuera de Internet, ESET o el EDR que tengáis reinstalado y reportando, y un recuento de qué datos han podido salir. El endurecimiento fino —segmentación, endurecimiento de Active Directory, formación— no cabe en 24 horas. Sí cabe no repetir la misma contraseña de «Admin2020».
Haced un escrito interno de una página: cronología, decisiones, qué se restauró, qué falta, quién habla con clientes. Ese documento es la semilla del informe para el seguro, para dirección y para no discutir de memoria en tres semanas. Si trabajáis con un partner, pedid que el parte no sea un PDF vacío de «se resolvió incidencia».
La continuidad no es solo IT. ¿Podéis facturar en papel o en un Excel local un día? ¿El hotel puede hacer check-in offline? ¿La clínica tiene una copia de la agenda del día? Esas preguntas se contestan en enero, no a las 20:00 del incidente. Un proyecto de infraestructura integral —servidor, red, identidades y copias pensadas juntas— reduce el radio de explosión; no lo elimina. Nadie os venderá cero riesgo con honestidad.
Al día siguiente, programad una revisión en frío: cómo entraron, qué falló en las copias, qué formación falta, qué contrato de servicios informáticos cubre la siguiente madrugada. El ransomware de 2026 se cobra en empresas que trataron la seguridad como un antivirus de consumo y el backup como un disco en el armario. El playbook de 24 horas salva el lunes. El plan de los doce meses siguientes evita que el playbook se use dos veces.
Preguntas frecuentes
¿Hay que apagar todos los ordenadores en cuanto se ve el mensaje de rescate?
No de forma automática. Desconectad de la red los equipos afectados y cortad VPN o RDP. Apagar servidores en pleno cifrado o en medio de una copia puede empeorar el daño en disco y borrar pistas. Un técnico os dirá qué se puede bajar de forma segura. El error clásico en Tenerife —y en cualquier isla— es que alguien «apaga el rack» y luego no hay forma de saber qué se cifró y qué no.
¿Se debe pagar el rescate para recuperar antes?
No lo recomendamos como primer plan ni como plan oculto. Pagar no garantiza descifrado, no borra la copia que el atacante ya tiene y puede complicar el seguro y las notificaciones. Primero se valida si hay restauración 3-2-1 limpia. Solo en escenarios extremos, con asesoramiento legal y de la póliza, se valora. Pagar a ciegas desde el móvil del gerente es la peor versión de esa decisión.
¿En cuánto tiempo hay que avisar a la AEPD?
Si el incidente afecta a datos personales y es probable que entrañe un riesgo para los derechos de las personas, el RGPD habla de notificación a la autoridad de control sin dilación indebida y, de ser posible, dentro de 72 horas desde que se tiene conocimiento. Eso no significa un comunicado público inmediato ni inventar un alcance. Significa no esperar tres semanas «a ver si se arregla». Consultad a quien os lleve el RGPD; nosotros aportamos la cronología técnica.
¿Un antivirus habría evitado el ataque?
A veces sí, a veces no. Un EDR bien gestionado y un filtro de correo recortan muchos accesos. No recortan una VPN con contraseña robada ni un proveedor con RDP abierto. El ransomware se evita con capas: identidad, copias inmutables, parches, menos exposición y personas que no clican el PDF de «factura urgente» a las 19:40. El antivirus solo es una capa.
¿Podemos seguir trabajando en portátiles personales mientras tanto?
Solo si esos portátiles no montan las unidades infectadas, no se meten por la VPN sucia y no copian el malware «para recuperar archivos». Mejor un entorno limpio, datos mínimos y la copia validada. Trabajar desde el Mac de casa con la carpeta de red del servidor cifrado es una forma elegante de ampliar el incidente.
¿Qué hacemos si no tenemos copia fuera de la oficina?
Lo decimos sin rodeos: el margen se estrecha. Se intenta recuperación de volúmenes no cifrados del todo, se valora laboratorio y se asume pérdida. El siguiente paso, cuando el negocio vuelva, es dejar de fingir que un NAS en el mismo rack es un plan. Llamad; el número es el 922 276 335. El after es más caro que haber tenido una copia cloud bien hecha.
