Protección contra ransomware: 7 medidas que realmente funcionan

El ransomware ya no es solo cosa de grandes corporaciones. Las pequeñas y medianas empresas españolas son hoy el objetivo n.º 1 porque tienen suficiente dinero para el rescate, pero equipos de IT internos reducidos. Este artículo presenta 7 medidas concretas para la protección contra ransomware que detienen la gran mayoría de los ataques, sin rodeos de marketing.

1. MFA para TODOS, no solo para administradores

La mayoría de los ataques exitosos comienzan con el robo de una contraseña de usuario (phishing, reutilización de contraseñas). La autenticación multifactor (MFA) detiene el 99% de estos ataques. La higiene básica es: MFA para Microsoft 365, VPN, RDP y accesos de administración, sin excepciones.

2. Backup bajo la regla 3-2-1 (y restauración verificada)

Backup 3-2-1 significa: 3 copias de datos, en 2 soportes distintos, 1 copia fuera de las instalaciones (offsite). Para el ransomware, son clave dos requisitos adicionales:

• Backup inmutable (immutable): una copia que el atacante (incluso como administrador) no puede borrar ni cifrar.
• Pruebas de restauración periódicas: comprobar al menos una vez al mes que realmente se puede restaurar. Un backup que nunca se ha restaurado no existe.

3. Segmentación de red con VLAN y cortafuegos

Una red plana (todos en la misma subred) significa que el ransomware infecta todo en cuestión de horas. La segmentación por VLAN (usuarios, servidores, invitados, IoT, cámaras) limita drásticamente los daños. Para las pymes españolas, esto es factible sin inversiones ingentes.

4. EDR en lugar de antivirus clásico

El antivirus clásico busca firmas conocidas. El ransomware moderno las evade en horas. EDR (Endpoint Detection & Response) – p. ej., Microsoft Defender for Business, SentinelOne, CrowdStrike – observa el comportamiento de los procesos y detiene el cifrado tras los primeros archivos.

5. Parcheado regular de sistemas

Las vulnerabilidades críticas (Exchange, dispositivos VPN, hipervisores) son la puerta de entrada más común. Establezca un ciclo de parcheado:

1. Vulnerabilidades críticas (CVSS 9+): en 72 horas.
2. Otras actualizaciones: en 2 semanas.
3. Firmware de equipos de red: trimestral.

6. Limitación de privilegios de administrador

Principio de mínimo privilegio (least privilege): nadie trabaja a diario como administrador. Para tareas administrativas, use una cuenta separada (y un PC/PAW dedicado). Si infectan un dispositivo administrativo, se acabó el juego.

7. Preparación de un plan de respuesta (y simulacro)

Toda la prevención del mundo no elimina el riesgo a 0. Por ello, prepare un plan por escrito: quién avisa a quién, cómo aislamos los sistemas infectados, quién es el contacto legal/PR, cuándo notificamos a la Agencia de Protección de Datos. Realice un simulacro al menos una vez al año.

Evaluamos su preparación frente al ransomwareRealizamos una evaluación rápida del estado y preparamos un plan de fortificación en 2 semanas.

¿Pagamos el rescate si ocurre?

La recomendación de las agencias de seguridad europeas (ENISA) y del INCIBE es: NO. El pago no garantiza la restauración, financia nuevos ataques y le marca como 'objetivo dispuesto' para la próxima vez.

¿Con qué frecuencia probar la restauración del backup?

Mínimo una restauración parcial mensual (algunos archivos/VM) y al menos una vez al año un simulacro de restauración completa de un sistema crítico (p. ej., ERP).

¿Cubren las aseguradoras los daños?

Los ciberseguros existen en España, pero las aseguradoras exigen pruebas de medidas de seguridad básicas (MFA, backup, EDR). Sin estas, la póliza no indemniza.

¿Cuánto cuesta implementar las 7 medidas?

Para una pyme de 20–50 empleados, un presupuesto razonable es de 3.000–8.000 EUR para el despliegue inicial, y luego costes operativos anuales (licencias EDR, backup) de unos 1.500–3.000 EUR. Mucho menos que un solo incidente de ransomware.