# Ransomware: han cifrado los archivos de la empresa y piden un rescate

> Archivos cifrados y una nota que pide un rescate. Qué hacer en la primera hora, qué no tocar y dónde ver si existe un descifrador gratuito.

Fuente: https://mehanhackeado.es/ransomware · Revisado: 2026-10-23 · Autor: equipo de inteligencia de QuantumSec (Quantumsec S.L.)

## En 30 segundos

**Lo primero:** Desconecta de la red los equipos afectados, cable y wifi, sin apagarlos. Y desconecta también las copias de seguridad que sigan conectadas.

1. Aísla sin apagar (10 min)
2. Identifica el ransomware (10 min)
3. Llama a profesionales y a INCIBE-CERT (15 min)
4. Cambia credenciales desde un equipo limpio (30 min)
5. Si hay datos personales, notifica a la AEPD (30 min)
6. Restaura solo cuando la puerta esté cerrada (60 min)

Tiempo total aproximado: 155 minutos. Ayuda gratuita y confidencial: llama al 017 (INCIBE).

## ¿Cómo sé si me ha pasado?

- Archivos que no se abren y tienen una extensión nueva.
- Una nota de rescate en el escritorio o en cada carpeta.
- Servidores o equipos que dejan de responder a la vez.

## Pasos

### 1. Aísla sin apagar (10 min)

Saca de la red los equipos afectados y protege las copias de seguridad que aún estén limpias desconectándolas.

### 2. Identifica el ransomware (10 min)

Haz foto de la nota de rescate y anota la extensión de los archivos. No More Ransom, de la policía europea, tiene descifradores gratuitos para algunas familias.

Enlace oficial: [No More Ransom](https://www.nomoreransom.org/es/index.html)

### 3. Llama a profesionales y a INCIBE-CERT (15 min)

INCIBE-CERT te orienta gratis. Para contener y recuperar necesitarás un equipo de respuesta a incidentes: cuanto antes entre, menos se pierde.

Enlace oficial: [Reporta el incidente a INCIBE-CERT](https://www.incibe.es/empresas/te-ayudamos/reporta-tu-incidente)

### 4. Cambia credenciales desde un equipo limpio (30 min)

Administradores, VPN y accesos remotos. Casi todos los ransomware entran por un acceso remoto o una cuenta con contraseña robada.

### 5. Si hay datos personales, notifica a la AEPD (30 min)

Hoy casi todos los grupos roban los datos antes de cifrar. Si hay datos de clientes o empleados, tienes 72 horas para notificar la brecha.

### 6. Restaura solo cuando la puerta esté cerrada (60 min)

Desde copias que estuvieran desconectadas, y solo después de saber por dónde entraron. Si no, vuelven a cifrarlo todo.

## No hagas esto

- No pagues: no garantiza recuperar nada y te marca como alguien que paga.
- No borres la nota de rescate ni reinstales a ciegas.
- No subas archivos sensibles a webs de «descifrado» que no sean No More Ransom o tu equipo de respuesta.

## Para que no vuelva a pasar

- Copias desconectadas y probadas (regla 3-2-1).
- Doble factor en VPN, correo y escritorio remoto.
- Parches al día en lo que está expuesto a internet.

## Preguntas frecuentes

### ¿Hay que pagar el rescate de un ransomware?

No. No garantiza recuperar los datos, financia el siguiente ataque y, si los robaron, pueden publicarlos igualmente.

### ¿Existe un descifrador gratis para mi ransomware?

Para algunas familias, sí. Compruébalo en No More Ransom, el proyecto de Europol y las policías europeas.

### ¿Tengo que avisar a la AEPD de un ransomware?

Si afecta a datos personales, sí: el RGPD obliga a notificar la brecha en 72 horas desde que la conoces.

## Dónde pedir ayuda y denunciar

- 017 de INCIBE: gratuito y confidencial, de 8:00 a 23:00, todos los días del año. WhatsApp 900 116 117, Telegram @INCIBE017.
- INCIBE-CERT (empresas): https://www.incibe.es/empresas/te-ayudamos/reporta-tu-incidente · incidencias@incibe-cert.es
- Policía Nacional (091): denuncia por internet en https://denuncias.policia.es/OVD/ o en comisaría. La denuncia por internet solo es válida si la firmas en la comisaría que elijas, como mucho 72 horas después.
- Guardia Civil (062): denuncia por internet en https://guardiacivil.sede.gob.es/categoria?idCat=100375 o en un puesto. Con firma electrónica (certificado digital), y no hace falta ir después en persona. Adjunta el extracto del banco si hubo cargos.
- Si el delito está pasando ahora: 112, 091 (Policía Nacional) o 062 (Guardia Civil).

## Fuentes oficiales

- [No More Ransom](https://www.nomoreransom.org/es/index.html)
- [Reporta el incidente a INCIBE-CERT](https://www.incibe.es/empresas/te-ayudamos/reporta-tu-incidente)
- [INCIBE · Tu Ayuda en Ciberseguridad (017)](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad)
- [Policía Nacional · denuncia por internet](https://denuncias.policia.es/OVD/)
- [Guardia Civil · denuncia por internet](https://guardiacivil.sede.gob.es/categoria?idCat=100375)