En las primeras 24 horas de un ataque de ransomware, la empresa debe aislar los sistemas afectados, preservar las evidencias, proteger las copias de seguridad, asegurar las identidades privilegiadas, activar el comité de crisis, evaluar si hubo robo de datos e iniciar las notificaciones legales y regulatorias. El orden de estas acciones importa tanto como las acciones en sí.
Cuando aparece la nota de rescate, el atacante suele llevar días o semanas dentro de la red. Ha robado credenciales, ha escalado privilegios, ha localizado las copias de seguridad y, en la mayoría de los casos actuales, ya ha extraído datos. Es el modelo de doble extorsión: la empresa no solo debe recuperar sus sistemas, sino también gestionar la amenaza de publicación de su información.
Por eso las decisiones de las primeras horas determinan si el ciberataque se convierte en una interrupción de días o en una crisis de semanas. Los errores más costosos se repiten:
La inteligencia artificial ha hecho más convincentes las campañas de phishing que suelen iniciar estos ataques, y los atacantes se mueven más rápido que nunca. Responder con un playbook ensayado, y no improvisando, es la diferencia entre un incidente controlado y una crisis empresarial.
Un ataque de ransomware exige decisiones técnicas, legales y de negocio en paralelo. Cada rol debe estar asignado de antemano, con un suplente:
Declare el incidente formalmente. En cuanto haya indicios fiables (archivos cifrados, nota de rescate, alertas de cifrado masivo), active el plan de respuesta. La declaración pone en marcha los roles y los relojes regulatorios.
Aísle sin apagar. Las guías para el público general lo resumen como «aísla los equipos afectados y desconecta de la red». En una empresa, eso significa:
Active la comunicación fuera de banda. Asuma que el correo y Microsoft Teams pueden estar comprometidos o vigilados. Use canales alternativos acordados de antemano, como una lista telefónica, una aplicación de mensajería cifrada o un tenant de emergencia independiente.
Documente todo desde el primer minuto. Registre la hora, la persona y la acción en una cronología. Será la base del análisis forense y de las notificaciones.
Preserve las evidencias. Antes de limpiar nada, capture:
En entornos Microsoft, exporte cuanto antes los registros de Entra ID y de auditoría de Microsoft 365, porque tienen periodos de retención limitados.
Proteja y verifique las copias de seguridad. Los atacantes buscan las copias para cifrarlas o borrarlas. Desconecte el sistema de copias del dominio comprometido, cambie sus credenciales y compruebe que existen copias inmutables o fuera de línea. No restaure nada todavía: una copia hecha después de la intrusión puede contener el software malicioso o puertas traseras del atacante.
Deshabilite las cuentas comprometidas y proteja el plano de identidad. Deshabilite las cuentas sospechosas, revoque sesiones y tokens, y revise las cuentas con privilegios. Si el directorio local está comprometido, la recuperación de identidades se convierte en la prioridad técnica (lo detallamos más abajo para entornos Microsoft).
Revise las acciones automáticas de su plataforma de seguridad. Si dispone de Microsoft Defender XDR, compruebe qué usuarios y dispositivos ha contenido ya la interrupción automática de ataques, y no revierta esas acciones sin una razón clara.
Contacte con ayuda especializada. Si no cuenta con capacidad DFIR interna, este es el momento de activar a su proveedor de respuesta a incidentes. INCIBE ofrece a empresas y ciudadanos su servicio antiransomware y la línea gratuita 017 de ayuda en ciberseguridad.
Con el ataque contenido, el objetivo es entender su alcance real antes de decidir cómo recuperar.
La guía #StopRansomware de CISA, disponible también en español, es una referencia internacional útil para esta fase.
Evalúe las obligaciones de notificación. Si hay datos personales afectados, el RGPD exige notificar a la autoridad de control (en España, la AEPD) sin dilación indebida y, cuando sea posible, en un plazo de 72 horas desde que se tuvo conocimiento. El reloj ya corre, aunque todavía no se conozca todo el alcance: puede notificarse de forma inicial y completarse después.
Presente la denuncia. Denuncie ante la Policía Nacional o la Guardia Civil. Además de facilitar la investigación, muchas aseguradoras la exigen.
Coordine con la aseguradora. Revise la póliza, notifique formalmente el siniestro y confirme qué proveedores y gastos están cubiertos.
Prepare la comunicación. Defina qué se comunica, a quién y cuándo: empleados, clientes, proveedores y, si procede, medios. La transparencia controlada protege mejor la reputación que el silencio o las afirmaciones prematuras.
Diseñe un plan de recuperación limpia. La recuperación debe hacerse en este orden:
Restaure solo desde copias limpias verificadas y en entornos aislados primero.
Plantee la decisión sobre el rescate con un marco, no con prisa. Lo tratamos en detalle más abajo.
Las obligaciones dependen del sector, del tipo de entidad y de los datos afectados. Esta tabla resume las principales vías, con su estado a octubre de 2026.
| Organismo | Cuándo | Plazo | Fuente |
|---|---|---|---|
| AEPD | Si hay una brecha de datos personales que suponga un riesgo para las personas | Sin dilación indebida y, si es posible, en 72 horas | RGPD, art. 33 |
| Personas afectadas | Si la brecha supone un alto riesgo para sus derechos y libertades | Sin dilación indebida | RGPD, art. 34 |
| INCIBE-CERT | Incidentes en el sector privado; obligatorio para operadores de servicios esenciales y proveedores de servicios digitales | Según el RDL 12/2018 y el RD 43/2021 | Marco NIS vigente |
| CCN-CERT | Organismos del sector público y entidades sujetas al ENS | Sin dilación ante incidentes con impacto significativo | RD 311/2022 (ENS) |
| Banco de España, CNMV o DGSFP | Entidades financieras ante incidentes graves relacionados con las TIC | Inicial: 4 horas desde su clasificación como grave y no más de 24 horas desde la detección. Intermedia: 72 horas. Final: 1 mes | DORA y su normativa de desarrollo |
| Policía Nacional o Guardia Civil | Siempre recomendable; a menudo exigido por la aseguradora | Lo antes posible | Denuncia penal |
| Autoridad NIS2 | Entidades esenciales e importantes | Alerta temprana: 24 horas. Notificación: 72 horas. Informe final: 1 mes | NIS2, art. 23. En España, el anteproyecto de transposición sigue en tramitación |
Revise siempre estas obligaciones con su asesoría jurídica: un mismo incidente puede activar varias a la vez.
| Franja | Acción | Responsable | Hecho |
|---|---|---|---|
| 0–1 h | Declarar el incidente y activar el comité de crisis | Responsable del incidente | |
| 0–1 h | Aislar equipos sin apagarlos | Responsable técnico | |
| 0–1 h | Cortar VPN y accesos remotos externos | Responsable técnico | |
| 0–1 h | Activar la comunicación fuera de banda | Responsable del incidente | |
| 1–4 h | Capturar memoria, registros y la nota de rescate | DFIR | |
| 1–4 h | Desconectar y proteger el sistema de copias de seguridad | Responsable técnico | |
| 1–4 h | Deshabilitar cuentas comprometidas y revocar sesiones | Responsable técnico | |
| 1–4 h | Revisar las acciones automáticas de contención | Responsable técnico | |
| 1–4 h | Notificar a la aseguradora y activar el DFIR externo | Responsable del incidente | |
| 4–12 h | Identificar el paciente cero y el vector de entrada | DFIR | |
| 4–12 h | Buscar persistencia y movimiento lateral | DFIR | |
| 4–12 h | Evaluar indicios de exfiltración | DFIR / Jurídico | |
| 4–12 h | Identificar la variante de ransomware | DFIR | |
| 12–24 h | Determinar las obligaciones de notificación | Jurídico / DPO | |
| 12–24 h | Presentar la denuncia | Jurídico | |
| 12–24 h | Aprobar el plan de comunicación | Comunicación / Dirección | |
| 12–24 h | Verificar copias limpias y aprobar el plan de recuperación | Responsable técnico / Dirección |
Si su organización aún no dispone de un plan formal, nuestro checklist de respuesta a incidentes de ciberseguridad es un buen punto de partida.
En la mayoría de los ataques actuales, la identidad es el verdadero objetivo. Recuperar el control de Microsoft Entra ID y de Active Directory es tan importante como recuperar los datos.
Microsoft Entra ID y cuentas privilegiadas:
Microsoft Defender XDR: la interrupción automática de ataques puede contener usuarios y dispositivos comprometidos durante un ataque de ransomware en curso, limitando el movimiento lateral y el cifrado remoto. Revise sus acciones en el incidente correlacionado y use la búsqueda avanzada para reconstruir la cronología.
Defender para punto de conexión e Intune: aísle los dispositivos comprometidos desde Defender manteniendo la conexión con el servicio de seguridad, y use Intune para aplicar acciones remotas y verificar el cumplimiento de los equipos antes de devolverlos a producción.
Datos de Microsoft 365: la restauración de archivos de OneDrive, el historial de versiones de SharePoint y la retención de Exchange pueden recuperar contenido cifrado en la nube sin depender de copias externas. Antes, confirme que el atacante ya no tiene acceso.
Es la decisión más difícil del incidente, y debe tomarla la dirección con información, no bajo presión. Estos son los factores que conviene ponderar:
Este artículo no recomienda una opción concreta. La decisión debe documentarse, con su justificación, como parte del registro del incidente.
La prevención queda fuera del alcance de este artículo, pero tres medidas reducen drásticamente el impacto de un ataque:
En nuestro artículo sobre por qué el backup es tan importante para los negocios explicamos cómo diseñar copias que resistan un ataque.
Un ataque de ransomware no se gana en el momento del cifrado, sino en las decisiones de las primeras 24 horas. Las empresas que salen mejor paradas comparten tres rasgos:
Ninguna de esas capacidades puede improvisarse durante un incidente. Frente a una ciberamenaza que evoluciona tan rápido, la preparación es la medida de ciberseguridad más rentable.
ne Digital ayuda a las organizaciones a crear y ensayar playbooks de respuesta al ransomware, y ofrece soporte DFIR durante incidentes activos en entornos Microsoft.
Solicite una evaluación de preparación frente a ransomware o conozca nuestro retainer de respuesta a incidentes para contar con un equipo experto antes de necesitarlo.