Un lunes a las 8:10 a.m., el equipo de ventas no puede abrir cotizaciones, el área administrativa pierde acceso al ERP y aparece una nota exigiendo pago por recuperar archivos. El ransomware en empresas mexicanas no es un incidente exclusivamente técnico: detiene facturación, afecta entregas, expone información confidencial y pone a Dirección frente a una decisión de alto impacto en pocas horas.
La pregunta no es si una organización tiene antivirus instalado. La pregunta es si puede detectar un ataque antes de que se propague, contenerlo sin paralizar toda la operación y recuperar sus datos sin depender de la promesa de un atacante. No hay nada 100% seguro, pero cerca del 95% de la seguridad depende de prevención, visibilidad y capacidad de respuesta.
Por qué el ransomware afecta tanto a la operación
El ransomware cifra archivos o bloquea sistemas para exigir un pago. Sin embargo, su evolución cambió el riesgo: muchos grupos primero roban información, identifican los activos más valiosos y después cifran servidores, equipos y respaldos accesibles. Así, aunque la empresa recupere parte de sus archivos, puede enfrentar una amenaza adicional de filtración.
Para una empresa de 25 a 500 equipos, unas horas sin correo, sistemas contables, archivos compartidos o plataformas de atención pueden convertirse en retrasos de cobranza, incumplimientos con clientes y decisiones tomadas con información incompleta. En sectores como manufactura, logística, salud, despachos profesionales y servicios financieros, la interrupción puede afectar incluso procesos que no parecen depender de TI, como embarques, atención a proveedores o cierre de nómina.
El punto crítico es que el ataque rara vez comienza con un servidor comprometido de forma espectacular. Con frecuencia inicia con una credencial robada, un correo de phishing, una contraseña reutilizada o una vulnerabilidad sin corregir. El atacante entra con discreción, explora la red y espera el momento de causar el mayor impacto.
Ransomware en empresas mexicanas: las brechas más comunes
La mayoría de las organizaciones no falla por una sola herramienta ausente. Falla por una combinación de controles desconectados, responsabilidades poco claras y una confianza excesiva en respaldos que nunca se han probado. Estas son las brechas que conviene revisar primero:
- Cuentas de correo sin autenticación multifactor y sin protección avanzada contra phishing, suplantación de identidad y archivos maliciosos.
- Equipos sin monitoreo continuo mediante EDR o MDR, capaces de identificar comportamientos anómalos y aislar un endpoint comprometido.
- Servidores, VPN, aplicaciones y dispositivos perimetrales con actualizaciones pendientes o accesos remotos demasiado amplios.
- Respaldos conectados permanentemente a la misma red, sin cifrado, inmutabilidad, copias separadas o pruebas reales de restauración.
- Usuarios con permisos administrativos innecesarios y carpetas compartidas accesibles para más personas de las que requiere la operación.
No todas las empresas necesitan la misma arquitectura. Una PyME con una operación centralizada puede iniciar por proteger correo, identidades, endpoints y respaldos críticos. Una organización con varias sedes, servidores locales, nube y personal remoto necesita además segmentación, monitoreo administrado y un plan de recuperación con prioridades por proceso.
Qué hacer en las primeras horas de un incidente
Cuando aparecen archivos cifrados o alertas de actividad sospechosa, la velocidad importa, pero actuar sin método puede ampliar el daño. Desconectar indiscriminadamente sistemas, reiniciarlos o borrar evidencia puede dificultar la investigación y la recuperación.
El primer objetivo es contener. Los equipos afectados deben aislarse de la red, sin apagarlos salvo que el protocolo técnico lo indique. También deben bloquearse cuentas comprometidas, sesiones activas y accesos remotos sospechosos. Si el correo o las credenciales fueron el punto de entrada, mantener esas puertas abiertas permite que el atacante recupere acceso.
Después, hay que determinar el alcance: qué equipos, servidores, cuentas, repositorios en la nube y unidades compartidas fueron afectados; cuándo comenzó la actividad; qué información pudo haber sido extraída, y qué procesos de negocio están detenidos. Este inventario guía las decisiones y evita restaurar un sistema vulnerable para volver a comprometerlo horas después.
La recuperación debe seguir un orden de negocio, no un orden de comodidad técnica. Por ejemplo, primero pueden requerirse identidad y comunicaciones; después, ERP, archivos operativos, aplicaciones comerciales o bases de datos. Cada restauración debe validarse en un entorno controlado, comprobando que el respaldo está íntegro y que la causa de entrada fue corregida.
Pagar un rescate no ofrece una garantía de descifrado, de eliminación de datos robados ni de que la organización deje de ser objetivo. Es una decisión que exige análisis técnico, operativo, legal y directivo. La mejor posición para no depender de esa decisión es contar con respaldos verificables y una ruta de recuperación ensayada.
La prevención que sostiene la continuidad operativa
La prevención efectiva no consiste en comprar una licencia y asumir que el riesgo desapareció. Requiere capas de protección coordinadas y revisadas con frecuencia. El correo debe filtrar phishing, enlaces maliciosos y suplantaciones; la identidad debe usar autenticación multifactor y mínimos privilegios; los endpoints deben reportar señales de ataque y permitir aislamiento remoto.
La protección perimetral y la gestión de vulnerabilidades reducen accesos no autorizados, pero no sustituyen la segmentación. Si un atacante compromete una computadora de usuario, la red debe limitar su capacidad para llegar a servidores, respaldos y sistemas críticos. Separar segmentos, revisar permisos y controlar accesos remotos reduce el radio de impacto.
Los respaldos merecen una conversación aparte. Tener una copia no equivale a poder recuperarse. Una política útil contempla copias frecuentes según el valor de los datos, almacenamiento separado, cifrado AES-256, retención definida y pruebas de restauración. También debe establecer el objetivo de tiempo de recuperación y el punto máximo de información que la empresa está dispuesta a perder. Dirección necesita conocer estos dos datos porque determinan el efecto real de un incidente.
La capacitación de usuarios completa el esquema, aunque no debe convertirse en una excusa para responsabilizarlos de todo. Las personas necesitan reconocer correos urgentes, dominios parecidos, solicitudes de pago inesperadas y pantallas de inicio de sesión fraudulentas. A la vez, la tecnología debe bloquear amenazas que una persona razonable podría no detectar bajo presión.
Un plan que Dirección y TI puedan ejecutar
Un plan de respuesta a ransomware debe ser breve, claro y accesible incluso cuando los sistemas principales no funcionan. Debe asignar responsables para decisiones técnicas, comunicación interna, relación con clientes y proveedores, y continuidad de procesos prioritarios. Si nadie sabe quién autoriza el aislamiento de un servidor o cómo se comunica una interrupción, se pierden minutos valiosos.
También conviene realizar simulacros. No se trata de generar alarmas, sino de responder preguntas concretas: ¿qué ocurre si Microsoft 365 no está disponible?, ¿qué archivos permiten facturar?, ¿dónde están las credenciales de emergencia?, ¿cuánto tarda una restauración?, ¿qué área valida que un sistema quedó operativo? Un ejercicio revela dependencias que no aparecen en un documento.
Los reportes ejecutivos deben traducir la ciberseguridad a decisiones: activos críticos protegidos, vulnerabilidades pendientes, intentos de phishing bloqueados, cobertura de respaldos, tiempos de respuesta y resultados de restauración. Así, TI obtiene prioridades claras y Dirección puede medir si la inversión reduce un riesgo operativo específico.
RealNet acompaña este proceso desde el diagnóstico hasta el monitoreo, la protección de correo y endpoints, los respaldos cifrados y la recuperación ante desastres. El valor no está en acumular herramientas, sino en configurarlas de acuerdo con la operación, probarlas y mantener una respuesta humana disponible cuando el riesgo se vuelve urgente.
La empresa que se prepara no asume que será invulnerable. Sabe qué debe proteger primero, cuánto tiempo puede operar sin cada sistema y cómo recuperar el control. Esa claridad convierte la seguridad y la confianza en decisiones que crean valor y generan cambios reales.
