Ransomware: guía paso a paso de qué hacer en las primeras horas

¿Qué debes hacer si tus archivos aparecen cifrados con una nota de rescate? Lo primero es aislar el equipo de la red para frenar la propagación, sin pagar el rescate como primera opción. La secuencia correcta en las primeras horas puede ahorrarte tiempo, dinero y datos que sí son recuperables.

Paso 1: Aísla, no apagues de inmediato

Desconecta el cable de red o desactiva el WiFi del equipo afectado de inmediato, para evitar que el ransomware siga cifrando otros equipos o servidores en la misma red. Apagar el equipo por completo no siempre es lo primero que conviene: a veces interrumpe un cifrado a medias, dejando archivos parcialmente recuperables, y borra información en memoria que puede ser útil para identificar cómo entró el ataque. Aislar de la red sí, apagar de inmediato no siempre.

Paso 2: Identifica qué tan lejos llegó

Revisa qué otros equipos o servidores comparten la misma red, y si hay backups conectados que también pudieron ser alcanzados. Muchos ataques de ransomware buscan específicamente las unidades de backup antes de cifrar el resto, para eliminar la posibilidad de restaurar sin pagar.

Paso 3: No pagues el rescate todavía

Antes de considerar pagar, verifica si existe un desencriptador público conocido para esa variante específica de ransomware, y evalúa si hay backups no comprometidos. Pagar no garantiza recuperar los archivos, y financia directamente futuros ataques — es la última opción, no la primera.

Paso 4: Preserva la evidencia

No borres la nota de rescate ni los archivos cifrados. Son necesarios para identificar la variante del ataque y, si el caso lo requiere, para un reporte legal o de seguro.

Paso 5: Llama a especialistas en recuperación post-ransomware

A partir de aquí, un especialista puede analizar la variante, revisar si hay copias o snapshots no comprometidos, y evaluar de forma realista qué se puede recuperar sin pagar el rescate.