Ataque de ransomware: qué debe hacer una empresa durante las primeras 24 horas

En las primeras 24 horas de un ataque de ransomware, la empresa debe aislar los sistemas afectados, preservar las evidencias, proteger las copias de seguridad, asegurar las identidades privilegiadas, activar el comité de crisis, evaluar si hubo robo de datos e iniciar las notificaciones legales y regulatorias. El orden de estas acciones importa tanto como las acciones en sí.

Por qué las primeras 24 horas deciden el resultado de un ataque de ransomware

Cuando aparece la nota de rescate, el atacante suele llevar días o semanas dentro de la red. Ha robado credenciales, ha escalado privilegios, ha localizado las copias de seguridad y, en la mayoría de los casos actuales, ya ha extraído datos. Es el modelo de doble extorsión: la empresa no solo debe recuperar sus sistemas, sino también gestionar la amenaza de publicación de su información.

Por eso las decisiones de las primeras horas determinan si el ciberataque se convierte en una interrupción de días o en una crisis de semanas. Los errores más costosos se repiten:

• Restaurar desde copias de seguridad sin comprobar que están limpias
• Apagar equipos y perder evidencias volátiles
• Coordinarse por un correo o un Teams comprometidos
• Dejar que la dirección improvise decisiones sobre el pago o la comunicación pública

La inteligencia artificial ha hecho más convincentes las campañas de phishing que suelen iniciar estos ataques, y los atacantes se mueven más rápido que nunca. Responder con un playbook ensayado, y no improvisando, es la diferencia entre un incidente controlado y una crisis empresarial.

Antes de empezar: roles y capacidad de decisión

Un ataque de ransomware exige decisiones técnicas, legales y de negocio en paralelo. Cada rol debe estar asignado de antemano, con un suplente:

• Responsable del incidente: coordina la respuesta, fija prioridades y mantiene la cronología. Es quien decide sobre el ritmo y el orden de las acciones.
• Responsable técnico: dirige la contención, la preservación de evidencias y el plan de recuperación.
• Asesoría jurídica y DPO: evalúan las obligaciones de notificación, la denuncia y las implicaciones de cualquier contacto con los atacantes.
• Comunicación: prepara los mensajes para empleados, clientes, socios y medios. Nada sale sin su revisión y la de jurídico.
• Sponsor de dirección: aprueba las decisiones de negocio, como parar operaciones, comunicar públicamente o valorar el rescate.
• Equipo DFIR externo: aporta análisis forense, caza de amenazas y experiencia en negociación y recuperación.
• Aseguradora de ciberriesgo: debe ser informada pronto, porque muchas pólizas exigen notificación temprana y proveedores aprobados.

Hora 0–1: detectar, declarar y aislar

Declare el incidente formalmente. En cuanto haya indicios fiables (archivos cifrados, nota de rescate, alertas de cifrado masivo), active el plan de respuesta. La declaración pone en marcha los roles y los relojes regulatorios.

Aísle sin apagar. Las guías para el público general lo resumen como «aísla los equipos afectados y desconecta de la red». En una empresa, eso significa:

• Aislar los equipos desde la consola EDR, deshabilitar el puerto del switch o, si no hay otra opción, retirar el cable de red y desactivar el Wi-Fi
• No apagar los equipos, porque la memoria contiene claves de cifrado, procesos maliciosos y conexiones activas que son evidencias valiosas
• Aplicar segmentación de red de emergencia para separar los servidores críticos, los controladores de dominio y la infraestructura de copias
• Cortar temporalmente los accesos remotos externos, como VPN o escritorio remoto, hasta conocer el vector de entrada

Active la comunicación fuera de banda. Asuma que el correo y Microsoft Teams pueden estar comprometidos o vigilados. Use canales alternativos acordados de antemano, como una lista telefónica, una aplicación de mensajería cifrada o un tenant de emergencia independiente.

Documente todo desde el primer minuto. Registre la hora, la persona y la acción en una cronología. Será la base del análisis forense y de las notificaciones.

Horas 1–4: contener y preservar

Preserve las evidencias. Antes de limpiar nada, capture:

• Memoria de los equipos clave
• Imágenes de disco cuando sea posible
• Registros de eventos, de firewall y de VPN
• La nota de rescate y muestras de archivos cifrados

En entornos Microsoft, exporte cuanto antes los registros de Entra ID y de auditoría de Microsoft 365, porque tienen periodos de retención limitados.

Proteja y verifique las copias de seguridad. Los atacantes buscan las copias para cifrarlas o borrarlas. Desconecte el sistema de copias del dominio comprometido, cambie sus credenciales y compruebe que existen copias inmutables o fuera de línea. No restaure nada todavía: una copia hecha después de la intrusión puede contener el software malicioso o puertas traseras del atacante.

Deshabilite las cuentas comprometidas y proteja el plano de identidad. Deshabilite las cuentas sospechosas, revoque sesiones y tokens, y revise las cuentas con privilegios. Si el directorio local está comprometido, la recuperación de identidades se convierte en la prioridad técnica (lo detallamos más abajo para entornos Microsoft).

Revise las acciones automáticas de su plataforma de seguridad. Si dispone de Microsoft Defender XDR, compruebe qué usuarios y dispositivos ha contenido ya la interrupción automática de ataques, y no revierta esas acciones sin una razón clara.

Contacte con ayuda especializada. Si no cuenta con capacidad DFIR interna, este es el momento de activar a su proveedor de respuesta a incidentes. INCIBE ofrece a empresas y ciudadanos su servicio antiransomware y la línea gratuita 017 de ayuda en ciberseguridad.

Horas 4–12: determinar el alcance del ataque

Con el ataque contenido, el objetivo es entender su alcance real antes de decidir cómo recuperar.

• Paciente cero y vector de entrada: los más habituales son el phishing, las credenciales robadas sin autenticación multifactor, las VPN y los accesos remotos expuestos, y las vulnerabilidades sin parchear por falta de actualizaciones de software.
• Movimiento lateral: qué cuentas y equipos usó el atacante para desplazarse, incluidos servidores, sistemas operativos heredados y servicios en la nube.
• Persistencia: tareas programadas, servicios nuevos, cuentas creadas, aplicaciones registradas o permisos OAuth concedidos que permitirían al atacante volver.
• Indicios de exfiltración: transferencias de datos inusuales, herramientas de sincronización o compresión, y conexiones a servicios de almacenamiento externos. Esta respuesta determina buena parte de las obligaciones de notificación.
• Identificación de la variante: conocer la familia de ransomware ayuda a predecir el comportamiento del grupo y a saber si existe un descifrador público. El servicio antiransomware de INCIBE puede ayudar a identificarla a partir de la nota de rescate y de muestras cifradas.

La guía #StopRansomware de CISA, disponible también en español, es una referencia internacional útil para esta fase.

Horas 12–24: decidir, notificar y planificar la recuperación

Evalúe las obligaciones de notificación. Si hay datos personales afectados, el RGPD exige notificar a la autoridad de control (en España, la AEPD) sin dilación indebida y, cuando sea posible, en un plazo de 72 horas desde que se tuvo conocimiento. El reloj ya corre, aunque todavía no se conozca todo el alcance: puede notificarse de forma inicial y completarse después.

Presente la denuncia. Denuncie ante la Policía Nacional o la Guardia Civil. Además de facilitar la investigación, muchas aseguradoras la exigen.

Coordine con la aseguradora. Revise la póliza, notifique formalmente el siniestro y confirme qué proveedores y gastos están cubiertos.

Prepare la comunicación. Defina qué se comunica, a quién y cuándo: empleados, clientes, proveedores y, si procede, medios. La transparencia controlada protege mejor la reputación que el silencio o las afirmaciones prematuras.

Diseñe un plan de recuperación limpia. La recuperación debe hacerse en este orden:

1. Identidades, a partir de un directorio saneado.
2. Infraestructura crítica.
3. Aplicaciones de negocio, en el orden de prioridad acordado.

Restaure solo desde copias limpias verificadas y en entornos aislados primero.

Plantee la decisión sobre el rescate con un marco, no con prisa. Lo tratamos en detalle más abajo.

¿A quién hay que notificar un ataque de ransomware en España?

Las obligaciones dependen del sector, del tipo de entidad y de los datos afectados. Esta tabla resume las principales vías, con su estado a octubre de 2026.

Revise siempre estas obligaciones con su asesoría jurídica: un mismo incidente puede activar varias a la vez.

Checklist de respuesta al ransomware (primeras 24 horas)

Si su organización aún no dispone de un plan formal, nuestro checklist de respuesta a incidentes de ciberseguridad es un buen punto de partida.

Respuesta al ransomware en entornos Microsoft

En la mayoría de los ataques actuales, la identidad es el verdadero objetivo. Recuperar el control de Microsoft Entra ID y de Active Directory es tan importante como recuperar los datos.

Microsoft Entra ID y cuentas privilegiadas:

• Use las cuentas de acceso de emergencia (break-glass) para mantener el control administrativo, y verifique que no han sido manipuladas.
• Revise las asignaciones de roles de Administrador global y otros roles privilegiados, y elimine cualquier asignación desconocida.
• Revoque las sesiones de los usuarios comprometidos y fuerce el restablecimiento de credenciales.
• Revise las aplicaciones registradas recientemente, los consentimientos OAuth, los cambios en la configuración de federación de dominios y las excepciones de acceso condicional. Son técnicas habituales de persistencia.
• Si Active Directory local está comprometido, siga la guía de Microsoft para recuperar el bosque, incluido el doble restablecimiento de la cuenta KRBTGT.

Microsoft Defender XDR: la interrupción automática de ataques puede contener usuarios y dispositivos comprometidos durante un ataque de ransomware en curso, limitando el movimiento lateral y el cifrado remoto. Revise sus acciones en el incidente correlacionado y use la búsqueda avanzada para reconstruir la cronología.

Defender para punto de conexión e Intune: aísle los dispositivos comprometidos desde Defender manteniendo la conexión con el servicio de seguridad, y use Intune para aplicar acciones remotas y verificar el cumplimiento de los equipos antes de devolverlos a producción.

Datos de Microsoft 365: la restauración de archivos de OneDrive, el historial de versiones de SharePoint y la retención de Exchange pueden recuperar contenido cifrado en la nube sin depender de copias externas. Antes, confirme que el atacante ya no tiene acceso.

¿Se debe pagar el rescate?

Es la decisión más difícil del incidente, y debe tomarla la dirección con información, no bajo presión. Estos son los factores que conviene ponderar:

• La postura de INCIBE. INCIBE recomienda no pagar el rescate, porque pagar no garantiza recuperar los datos y contribuye a financiar a los atacantes.
• Consideraciones legales y de sanciones. Pagar a un grupo o persona incluido en listas de sanciones de la UE o de otras jurisdicciones puede acarrear responsabilidades legales. Cualquier contacto con los atacantes debe estar coordinado con asesoría jurídica y, cuando proceda, con las fuerzas de seguridad.
• La realidad de la doble extorsión. Pagar no elimina el riesgo de que los datos robados se publiquen o se reutilicen, ni evita las obligaciones de notificación.
• El papel del seguro. Las pólizas varían mucho en lo que cubren y en sus condiciones. Revise la póliza con su corredor y su asesoría jurídica.
• La capacidad real de recuperación. La existencia de copias limpias y verificadas es el factor que más reduce la presión para pagar.

Este artículo no recomienda una opción concreta. La decisión debe documentarse, con su justificación, como parte del registro del incidente.

Errores habituales en las primeras 24 horas

• Apagar los equipos. Se pierden evidencias en memoria que pueden ser decisivas para el análisis forense.
• Restaurar antes de contener. Restaurar sin haber eliminado el acceso del atacante suele provocar un segundo cifrado.
• Confiar en copias sin verificar. Las copias pueden estar cifradas, borradas o contener persistencia del atacante.
• Coordinarse por canales comprometidos. El atacante puede estar leyendo el correo o Teams.
• Olvidar la identidad. Recuperar servidores sin sanear Entra ID y Active Directory deja la puerta abierta.
• Ignorar la exfiltración. Centrarse solo en el cifrado lleva a subestimar las obligaciones legales y el riesgo reputacional.
• Improvisar las decisiones de negocio. Sin roles ni criterios definidos, la presión de la nota de rescate impone el ritmo.

La prevención queda fuera del alcance de este artículo, pero tres medidas reducen drásticamente el impacto de un ataque:

• MFA en todos los accesos
• Copias de seguridad inmutables y probadas
• Una gestión rigurosa de actualizaciones

En nuestro artículo sobre por qué el backup es tan importante para los negocios explicamos cómo diseñar copias que resistan un ataque.

Conclusión

Un ataque de ransomware no se gana en el momento del cifrado, sino en las decisiones de las primeras 24 horas. Las empresas que salen mejor paradas comparten tres rasgos:

• Roles definidos de antemano
• Un playbook ensayado
• Capacidad para coordinar en paralelo la contención técnica, la protección de la identidad, las obligaciones legales y la comunicación

Ninguna de esas capacidades puede improvisarse durante un incidente. Frente a una ciberamenaza que evoluciona tan rápido, la preparación es la medida de ciberseguridad más rentable.

ne Digital ayuda a las organizaciones a crear y ensayar playbooks de respuesta al ransomware, y ofrece soporte DFIR durante incidentes activos en entornos Microsoft.

Solicite una evaluación de preparación frente a ransomware o conozca nuestro retainer de respuesta a incidentes para contar con un equipo experto antes de necesitarlo.