El ransomware es un programa que cifra todos tus archivos y te pide dinero para devolvértelos. Hace años atacaba a grandes empresas; hoy entra en talleres, clínicas, asesorías y tiendas, porque los ataques son automáticos y las pymes suelen tener menos defensas. La buena noticia es que protegerse no exige un departamento de informática. Exige hacer bien cinco cosas.
Cómo entra el ransomware en una pyme
Casi siempre por una de estas vías:
- Un correo engañoso. Una factura falsa, un aviso de paquete, un “documento compartido”. Alguien hace clic, mete su contraseña y el atacante ya está dentro.
- Una contraseña reutilizada o débil, sobre todo en el acceso remoto al servidor o al escritorio de la oficina.
- Un programa sin actualizar: el servidor, el router, el gestor de copias o el propio Windows.
- Un ordenador infectado que trae alguien de casa o un pendrive.
Una vez dentro, el atacante no cifra enseguida. Primero busca las copias de seguridad para borrarlas y se extiende por toda la red. Por eso las medidas que funcionan son las que limitan lo que puede hacer una vez ha entrado.
Copias de seguridad inmutables: lo que te salva
Si solo haces una cosa después de leer esto, que sea esta. Una copia de seguridad inmutable es una copia que no se puede modificar ni borrar durante un tiempo fijado, ni siquiera con la contraseña de administrador. Si el atacante entra y lo cifra todo, la copia sigue ahí.
Cómo se hace bien:
- Regla 3-2-1: tres copias de tus datos, en dos soportes distintos, una de ellas fuera del local. Hoy “fuera” suele ser la nube.
- Inmutabilidad activada en el destino: un almacenamiento en la nube con bloqueo de objetos o un servidor de copias que no permita borrar durante, por ejemplo, 30 días.
- Cuenta separada para las copias, con sus propias credenciales. Si el administrador cae, las copias no caen con él.
- Copia diaria como mínimo; en un negocio con TPV y facturación, varias veces al día.
- Alertas si una copia falla. Una copia que falla en silencio durante tres meses no es una copia.
El disco duro USB que se queda enchufado al servidor no cuenta. El atacante lo cifra con todo lo demás.
Doble factor, segmentación y actualizaciones
El doble factor (2FA) pide algo más que la contraseña para entrar: un código en el móvil, una notificación o una llave física. Con esto, una contraseña robada no sirve de nada.
Actívalo en este orden:
- Correo electrónico de la empresa (Microsoft 365, Google Workspace o el que uses). Es la llave de todo lo demás.
- Acceso remoto al servidor o a la oficina (VPN, escritorio remoto).
- Banca, pasarela de pagos, hosting, dominio y programa de facturación.
- Cuentas de administrador de cualquier sistema.
Acompáñalo con un gestor de contraseñas para el equipo, para que cada servicio tenga una distinta y nadie tenga que memorizarlas. Y elimina las cuentas de empleados que ya no están.
Lo segundo es segmentar la red: separarla en partes para que una infección no se extienda. En una pyme suele bastar con tres zonas: la de trabajo (ordenadores y servidor), la de dispositivos (TPV, cámaras, impresoras, datáfonos) y la de invitados (el wifi para clientes). El wifi de los clientes nunca debe ver el servidor. El TPV no necesita navegar por internet.
Y actualiza. El router, el servidor, los ordenadores, el gestor de copias. La mayoría de ataques aprovechan fallos que ya tenían parche. Si no tienes a nadie que lo haga, contrata a alguien que lo haga por ti una vez al mes.
El simulacro de recuperación
Tener copias no sirve si nunca has intentado restaurarlas. Un simulacro consiste en elegir un día, suponer que todo está cifrado y recuperar un servidor o un puesto completo desde la copia, midiendo cuánto tarda. Lo normal es descubrir sorpresas: una carpeta que no se copiaba, una licencia que no se puede reinstalar, una contraseña que nadie recuerda. Mejor descubrirlo un martes tranquilo que un lunes de pánico.
Hazlo al menos una vez al año y después de cualquier cambio importante en los sistemas. Deja por escrito los pasos y quién los ejecuta.
Qué hacer si ya ha pasado
Si una mañana ves archivos con extensiones raras y una nota de rescate:
- Desconecta de la red los equipos afectados (quita el cable o apaga el wifi). No apagues el servidor todavía si puedes evitarlo; puede haber pistas útiles.
- No pagues y no negocies por tu cuenta. Las autoridades lo desaconsejan y no garantiza nada.
- Llama a tu técnico o proveedor de sistemas y a la línea de ayuda gratuita de INCIBE, el 017.
- Denuncia ante la Policía Nacional o la Guardia Civil.
- Si hay datos personales afectados, el RGPD obliga a notificar a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que lo detectas, y a los afectados si el riesgo es alto.
- Restaura desde la copia inmutable en equipos limpios y cambia todas las contraseñas antes de volver a conectar.
Qué puede hacer Zeroframe
Hacemos una revisión de tu negocio y te decimos, en claro, por dónde podrían entrar y qué falta. Montamos copias inmutables con alertas, activamos el doble factor donde importa, separamos la red del TPV y del wifi de clientes y hacemos con tu equipo un simulacro de recuperación real. Todo con presupuesto cerrado y económico, pensado para un negocio pequeño, y con la opción de que nos encarguemos del mantenimiento cada mes. Escríbenos antes de que haga falta.