Eran las 06:42 de un lunes cualquiera cuando María, dueña de una distribuidora alimentaria en el polígono de Las Atalayas, llegó a la oficina antes que nadie. Encendió su equipo y se encontró con una pantalla negra con letras rojas. Ningún archivo de la red abría: ni los pedidos del fin de semana, ni la contabilidad, ni las facturas pendientes de cobrar. Solo un mensaje en inglés exigiendo el equivalente a 38.000 euros en bitcoin para devolverle el acceso a 28 años de información de su empresa.
María llamó al informático autónomo que les llevaba el mantenimiento. La respuesta fue la peor posible: «Tengo backup, pero está en el mismo NAS que la red. Y no sé si estará cifrado también». Lo estaba. La empresa estuvo 9 días sin facturar. Perdió tres clientes históricos. Pagó 14.500 euros a un equipo forense, otros 6.200 al gestor de protección de datos, y aún tuvo que justificar a la AEPD por qué notificó la brecha 11 días después en vez de los 72 horas que marca el RGPD.
Esta historia no es ficción ni un caso aislado. En 2025, el 31 % de las pymes españolas sufrió un intento serio de ransomware, según los datos consolidados que INCIBE publicó en febrero de 2026. El coste medio del incidente, contando rescate, parada operativa, recuperación y daño reputacional, ronda ya el 1,8 millones de euros. Y el dato más demoledor: solo el 57 % de las pymes que pagan el rescate recuperan realmente sus datos. Un 31 % se encuentra con que la clave de descifrado no funciona, y un 29 % vuelve a ser atacado en los meses siguientes.
Por eso este artículo no va de prevención. Va de algo que casi ninguna pyme alicantina tiene escrito: el plan paso a paso para recuperar la empresa cuando el ataque ya ha ocurrido. El día negro. Lo que tu equipo debería poder leer mientras tú estás en shock.
Las primeras 4 horas son las que marcan la diferencia
La inmensa mayoría de pymes pierde la batalla en las primeras horas del ataque, y casi siempre por el mismo motivo: actúan por instinto y borran las pruebas que necesitarán después. Estos son los errores más caros y más frecuentes:
Lo que NO debes hacer
- No apagues los equipos infectados. Parece contraintuitivo, pero apagarlos destruye la memoria RAM, donde queda parte de la huella del atacante. Sin esa información el forense no puede reconstruir cómo entraron ni qué se llevaron.
- No reinicies servidores. Por el mismo motivo. Un reinicio puede activar mecanismos de cifrado en cadena que aún no se habían ejecutado.
- No borres el mensaje de rescate. Contiene metadatos que ayudan a identificar al grupo atacante. Hay grupos cuya clave ya está liberada gratis en el portal No More Ransom.
- No contactes con los atacantes por tu cuenta. Aunque sea para «ver opciones». Cualquier conversación inicial es usada después en tu contra para subir el rescate.
- No conectes el portátil del jefe «solo para sacar un pedido urgente». Es la forma número uno de propagar el cifrado al último equipo limpio que quedaba en la red.
Lo que sí debes hacer en la primera hora
- Desconecta físicamente los equipos de la red. Cable, Wi-Fi y VPN. Aislamiento total, pero sin apagar.
- Avisa al partner informático y al responsable de protección de datos. Empieza el reloj de las 72 horas del RGPD desde que tienes constancia razonable del incidente.
- Reporta a INCIBE-CERT en el 017. El reporte es gratuito y orienta sobre si el ataque puede tener descifrador público.
- Pon a la plantilla en parada técnica controlada, con instrucciones escritas. Nada de improvisar con WhatsApp.
Las 5 fases para recuperar una pyme después del ataque
Un plan de respuesta a incidentes serio para una pyme no es un dossier de 200 páginas. Es un documento corto, claro y accionable que cualquier persona del equipo pueda seguir aunque el responsable de sistemas esté de vacaciones. Estas son las cinco fases que no se pueden saltar:
Fase 1 — Contención (hora 0 a hora 6)
Aislar la red. Identificar qué equipos están cifrados y cuáles no. Cortar accesos VPN externos. Cambiar de inmediato las contraseñas del correo administrativo y de los servicios críticos (banca, gestoría, ERP en la nube si lo hubiera). El objetivo es parar la hemorragia, no recuperar nada todavía.
Fase 2 — Diagnóstico forense (horas 6 a 48)
Aquí entra el equipo técnico. Se hace una imagen forense de los discos afectados, se identifica el vector de entrada (correo de phishing, RDP expuesto, vulnerabilidad sin parchear, credencial filtrada), y se determina si hubo exfiltración de datos. Este dato es crítico: si los atacantes copiaron información antes de cifrarla, la notificación a la AEPD pasa de ser opcional a obligatoria, y cambia la estrategia de comunicación con clientes.
Fase 3 — Restauración (horas 48 a 120)
Solo se restaura desde backups inmutables y verificados. Restaurar a la red original es un error: hay que crear una red limpia paralela, reinstalar los servidores desde cero, restaurar los datos a esa red, y solo cuando esté todo limpio reconectar los equipos cliente. Una pyme con copias offsite y un buen orden de restauración (primero ERP/correo, después ficheros de uso interno, por último datos históricos) puede estar facturando en 3 días. Sin esa preparación, hablamos de semanas.
Fase 4 — Obligaciones legales (en paralelo, desde el día 1)
El RGPD obliga a notificar a la AEPD en un plazo máximo de 72 horas desde que se tiene constancia del incidente si hay datos personales afectados, vía el formulario de comunicación de brechas. Las sanciones por no notificar llegan al 2 % de la facturación anual o 10 millones de euros, lo que sea mayor. Si hay datos especialmente sensibles (salud, financieros, menores), hay que comunicar también a los afectados. Esto se prepara con el responsable legal, no improvisando.
Fase 5 — Cierre y aprendizaje (semana 2 en adelante)
Análisis post-incidente, refuerzo de las medidas que fallaron, formación del equipo, revisión del seguro ciber si lo había. Y, sobre todo, actualizar el plan con todo lo aprendido. El siguiente ataque viene; lo único que se decide ahora es si te encuentra preparado.
¿Y si pago el rescate? La respuesta honesta de 2026
Casi todas las pymes lo plantean en las primeras 48 horas. La respuesta es incómoda: pagar el rescate es la peor opción en casi todos los escenarios. No solo porque solo el 57 % recupera los datos, ni porque el 31 % se encuentra con claves rotas. Es porque pagar te marca como objetivo dispuesto a pagar: el 29 % de las pymes que pagaron volvieron a ser atacadas el mismo año, según el informe Sophos State of Ransomware 2025.
Además, en algunos casos el pago a determinados grupos puede vulnerar las sanciones internacionales OFAC, lo que añade una capa de riesgo legal. Si la pyme tiene un seguro ciber, este suele cubrir consultoría forense, gastos legales y lucro cesante, pero cada vez menos aseguradoras cubren el pago del rescate y muchas exigen como condición previa que se hayan agotado las vías de restauración técnica.
La regla 3-2-1-1-0 ya no es opcional
El estándar de copias de seguridad ha evolucionado precisamente porque el ransomware moderno cifra también las copias conectadas. Hoy se habla de 3-2-1-1-0: tres copias de los datos críticos, en dos medios distintos, una de ellas offsite, una inmutable (no se puede modificar ni borrar durante un periodo definido) y con cero errores de restauración verificados periódicamente. El número que más se olvida es el cero: una copia que no se ha probado no es una copia, es una esperanza.
En 2025 INCIBE gestionó 122.223 incidentes (un 26 % más que el año anterior), de los cuales 392 fueron ransomware empresarial. La curva no va a bajar. La diferencia entre las pymes que sobreviven a un ataque y las que cierran tres meses después suele ser media tarde de trabajo: la que dedicaron a redactar el plan de respuesta antes de necesitarlo.
El plan que tu pyme debería tener escrito hoy
Un buen plan de respuesta a incidentes para una pyme de 10 a 80 empleados ocupa entre 6 y 12 páginas. Contiene: contactos críticos (técnico, legal, AEPD, seguro), orden de restauración por prioridad de negocio, plantillas de comunicación a clientes y proveedores, checklist de las primeras 4 horas, y un calendario de simulacros anuales. Porque un plan que no se ensaya, falla cuando llega el día.
En Softnet llevamos casi tres décadas acompañando a pymes alicantinas en todas las fases de la ciberseguridad, desde el backup inmutable hasta los simulacros de respuesta. Si quieres revisar cómo está tu empresa preparada para el día que toque, puedes echar un vistazo a nuestros servicios de seguridad informática para empresas en Alicante o consultarnos directamente. El mejor momento para escribir este plan fue ayer. El segundo mejor momento es hoy, mientras todavía es tu decisión y no tu emergencia.