México cerró 2025 entre los once países con más intentos de ransomware del mundo, y en América Latina solo Brasil recibe más ataques. La tendencia no ha bajado en 2026: durante el primer trimestre hubo instituciones financieras mexicanas afectadas, con grupos como LockBit y Qilin involucrados. Manufactura, salud, gobierno y banca encabezan la lista de objetivos.
En ZetTateK revisamos incidentes de este tipo todo el año, algunos en empresas que llegan a nosotros después del golpe. Y casi siempre aparece el mismo patrón: la diferencia entre un susto y una catástrofe no la marca el atacante. La marca la preparación.
Por eso preparamos esta guía para cualquier dirección general: qué hacer antes, durante y después de un ataque de ransomware.
¿Cómo entra el ransomware a una empresa?
Olvida la imagen del genio que rompe firewalls a fuerza bruta. En los casos reales, la puerta de entrada suele ser mucho más simple:
- Credenciales robadas por phishing: un correo convincente, alguien escribe su contraseña donde no debía y el atacante entra con llave propia.
- Accesos remotos expuestos: VPN o escritorio remoto publicados a internet sin autenticación multifactor.
- Vulnerabilidades sin parchar en servidores y aplicaciones visibles desde afuera.
- Proveedores comprometidos: el atacante entra por la puerta de un tercero con acceso a tu red.
El ransomware moderno opera como negocio: un grupo desarrolla la herramienta y sus afiliados la usan a cambio de una comisión. Y desde hace años aplican doble extorsión: cifran tu información y además la roban, con la amenaza de publicarla si no pagas. Por eso el respaldo, siendo indispensable, ya no alcanza por sí solo. Si el término te queda lejos, aquí explicamos qué es el ransomware y cómo funciona.
Antes del ataque: reducir la superficie y ensayar
Todo lo que de verdad importa en un incidente se decide meses antes de que ocurra. En orden de impacto, esto es lo que reviso primero en cualquier empresa:
Accesos. Autenticación multifactor en correo, VPN y cada acceso remoto, sin excepciones de directivos ni de proveedores. La mayoría de los casos que atendemos habría muerto en este punto.
Respaldos que restauran. Esquema 3-2-1 (tres copias, dos medios, una fuera de la empresa) con al menos una copia inmutable o fuera de línea, y pruebas de restauración con fecha y resultado. Un respaldo que nunca se ha probado es una esperanza, no un plan. Si esta parte te queda grande, existe el respaldo y recuperación ante desastres gestionado.
Detección en los equipos. Un EDR vigilado por personas puede cortar el cifrado en minutos; instalado y sin que nadie lo mire, solo documenta el desastre. Súmale red segmentada y privilegios mínimos: que un equipo de ventas comprometido no pueda tocar los servidores de producción.
Un plan ensayado. Plan de respuesta escrito, con roles y suplentes, y al menos un simulacro al año con dirección incluida. Como referencia técnica para armarlo recomiendo el perfil de ransomware del marco NIST, que ordena todo el ciclo: identificar, proteger, detectar, responder y recuperar.
Durante el ataque: ¿qué hacer en las primeras horas?
Supongamos que hoy amaneces con archivos cifrados y una nota de rescate. Las primeras horas definen el tamaño final del problema:
- Aísla, no apagues. Desconecta de la red los equipos afectados (cable y wifi), pero no los apagues: en la memoria viva queda evidencia que el análisis forense necesita.
- Corta los accesos remotos y rota las credenciales privilegiadas. El atacante suele seguir dentro mientras tú decides.
- Activa el plan: quién decide, quién opera, quién comunica. Una sola voz hacia clientes y autoridades.
- Preserva evidencia: bitácoras, la nota de rescate, imágenes de disco. La necesitarás para el seguro, para la denuncia y para entender qué pasó.
¿Y pagar el rescate? La postura de la guía #StopRansomware de CISA y el FBI es clara: no lo recomiendan. Pagar no garantiza recuperar la información, no evita que tus datos se publiquen y financia el siguiente ataque. En México además hay obligaciones legales si se comprometieron datos personales: la LFPDPPP exige notificar a los titulares afectados.
Si no cuentas con gente entrenada para esta fase, este es el momento exacto de llamar a un equipo de respuesta a incidentes disponible 24/7. Cada hora de improvisación se paga en días de operación detenida.
Después del ataque: recuperar sin reabrir la puerta
Recuperarse no es solo restaurar archivos. Antes de dar el incidente por cerrado, en el SOC exigimos cuatro cosas: restaurar desde copias verificadas (una restauración apresurada puede devolver también la puerta trasera del atacante), un análisis de causa raíz que responda cómo entraron, cuánto tiempo estuvieron y qué tocaron, el cierre del vector de entrada, y monitoreo reforzado durante las semanas siguientes. Los reincidentes existen: una parte importante de las víctimas vuelve a ser atacada en cuestión de meses, muchas veces por el mismo grupo.
Al final, un informe honesto a la dirección: costo real, tiempos de detección y recuperación, decisiones tomadas y qué se va a corregir. Ese documento vale más que cualquier presentación de proveedores.
La lista del CISO: 10 puntos para revisar esta semana
Imprime esta lista y revísala con tu equipo de TI. Cada “no” es una tarea con nombre y fecha:
- Autenticación multifactor activa en correo, VPN y todo acceso remoto.
- Inventario de sistemas expuestos a internet, con responsable y fecha del último parche.
- EDR en servidores y equipos, con alguien que lo vigile de verdad.
- Red segmentada: lo crítico separado de lo cotidiano.
- Respaldos 3-2-1 con al menos una copia inmutable o fuera de línea.
- Última prueba de restauración documentada, con fecha y resultado.
- Plan de respuesta impreso, con roles y teléfonos (si el ransomware cifra el servidor, también cifra el PDF del plan).
- Contactos de emergencia definidos: legal, forense, seguro y autoridades.
- Un simulacro de ransomware realizado en los últimos 12 meses.
- Acuerdo previo con un equipo de respuesta 24/7, propio o externo.
Ninguna empresa puede volverse imposible de atacar. Sí puede volverse difícil de extorsionar: con respaldos que restauran, accesos que resisten y un equipo que sabe qué hacer en la primera hora.
Si quieres saber en qué punto estás hoy, empieza por la lista de arriba. Y si prefieres que la revisemos contigo, solicita una evaluación de seguridad gratuita: en una sesión te decimos qué está sólido y qué urge cerrar.
