Un ataque de ransomware no comienza cuando aparece una nota de rescate en las pantallas. Generalmente empieza días o semanas antes: un correo de phishing que alguien abrió, una contraseña reutilizada, una vulnerabilidad sin corregir o un respaldo que nunca se probó. Por eso, las mejores prácticas contra ransomware deben tratarse como una decisión de continuidad operativa, no como una compra aislada de tecnología.
Para una dirección general, el impacto va más allá de los archivos cifrados. Se detienen ventas, facturación, atención al cliente, producción y decisiones basadas en información. También se pone en riesgo la reputación de la empresa y, en ataques de doble extorsión, la confidencialidad de datos de clientes, colaboradores y proveedores. La pregunta útil no es si una empresa puede ser atacada, sino cuánto tardaría en detectar, contener y recuperar una operación crítica.
Las mejores prácticas contra ransomware empiezan por el negocio
No todos los sistemas tienen el mismo valor ni requieren la misma prioridad de recuperación. El primer paso es construir un inventario real de activos: servidores, equipos, aplicaciones, cuentas administrativas, servicios en la nube, buzones de correo, repositorios de archivos, máquinas virtuales y datos sensibles. A cada activo debe asignársele un responsable, una criticidad y un tiempo máximo aceptable sin operar.
Este ejercicio permite definir dos métricas que orientan las decisiones. El RTO establece cuánto tiempo puede permanecer detenido un proceso antes de afectar seriamente al negocio. El RPO determina cuánta información puede perderse como máximo entre un respaldo y otro. Una empresa puede tolerar recuperar archivos administrativos al día siguiente, pero quizá no puede permitirse perder las órdenes de venta generadas durante una hora.
Sin estas definiciones, es frecuente invertir en herramientas que protegen partes visibles de la operación, mientras permanecen expuestos los sistemas que sostienen ingresos, logística o servicio al cliente. La protección debe seguir la prioridad del negocio.
Reduzca las puertas de entrada más comunes
El correo electrónico sigue siendo una de las rutas preferidas para entregar malware, robar credenciales o iniciar fraudes de suplantación. Protegerlo requiere filtros especializados contra phishing, análisis de adjuntos y enlaces, autenticación de dominios y políticas claras sobre pagos, cambios de cuentas bancarias y solicitudes urgentes. Ningún filtro detecta todo, pero reduce de forma importante la exposición antes de que el mensaje llegue al usuario.
La capacitación también es un control operativo. No basta con una presentación anual que enumere amenazas. Los colaboradores necesitan reconocer señales concretas: dominios parecidos a los de un proveedor, archivos comprimidos inesperados, solicitudes de contraseña, facturas no solicitadas y mensajes que presionan para actuar sin validar. Conviene medir reportes de correos sospechosos y convertir cada evento en aprendizaje, no en una búsqueda de culpables.
Las credenciales requieren la misma atención. Active autenticación multifactor en correo, VPN, plataformas administrativas y aplicaciones que manejan información crítica. El acceso con un segundo factor no elimina el riesgo, pero limita el daño cuando una contraseña se filtra. A esto se suma el principio de mínimo privilegio: cada persona y sistema debe contar solo con los accesos indispensables para cumplir su función.
Las cuentas con permisos administrativos merecen un tratamiento diferenciado. Deben ser pocas, estar separadas de las cuentas de uso diario, protegerse con multifactor y revisarse regularmente. Un atacante que compromete una cuenta privilegiada puede desactivar defensas, borrar respaldos y propagarse con mayor velocidad.
Proteja endpoints, red y vulnerabilidades
Una computadora sin parches, un servidor expuesto o un equipo personal conectado sin controles pueden convertirse en el punto de entrada. La gestión de actualizaciones debe cubrir sistemas operativos, navegadores, aplicaciones de oficina, VPN, equipos de red y software de terceros. No se trata de instalar actualizaciones a ciegas: se requiere inventario, pruebas cuando aplique y un proceso que asegure que los parches realmente quedaron instalados.
En los endpoints, un antivirus tradicional ya no es suficiente por sí solo. Las soluciones EDR permiten detectar comportamientos asociados con ransomware, como cifrado masivo de archivos, ejecución anómala de scripts, escalamiento de privilegios o movimientos laterales. Cuando el equipo interno no tiene capacidad para vigilar alertas de forma continua, un servicio MDR aporta monitoreo especializado, investigación y acciones de contención con mayor rapidez.
La segmentación de red también cambia el alcance de un incidente. Si todos los equipos, servidores y recursos comparten acceso amplio, una intrusión puede extenderse de un área a otra. Separar entornos críticos, limitar protocolos innecesarios y controlar conexiones remotas reduce la capacidad de propagación. La configuración exacta depende de la operación: una planta, una oficina administrativa y un entorno de trabajo remoto enfrentan necesidades distintas.
El respaldo solo sirve si se puede recuperar
Muchas empresas descubren tarde que tener copias de seguridad no equivale a poder recuperarse. Un respaldo puede estar incompleto, sin cifrado, conectado permanentemente a la red o almacenado con las mismas credenciales comprometidas. En un ataque, esas condiciones permiten que también sea cifrado o eliminado.
Una política eficaz suele basarse en el criterio 3-2-1: mantener al menos tres copias de la información, en dos medios distintos y una fuera del entorno principal. Para procesos críticos, conviene incorporar copias inmutables o aisladas, que no puedan modificarse durante un periodo definido. Los respaldos deben proteger datos locales, máquinas virtuales, servidores y entornos Microsoft 365, porque correo, OneDrive, SharePoint y Teams también pueden verse afectados por borrado malicioso o cifrado sincronizado.
La prueba de restauración es el momento de la verdad. Probar una recuperación parcial cada cierto tiempo y realizar ejercicios de recuperación de sistemas críticos permite comprobar tiempos, integridad de datos, dependencias y responsables. Si recuperar un servidor requiere localizar contraseñas, licencias, configuraciones o personal que no está disponible, el plan todavía no está listo.
Prepare una respuesta antes del incidente
Durante un incidente, los primeros minutos importan. La organización necesita saber quién decide, quién aísla equipos, cómo se conserva evidencia, qué servicios se priorizan y cómo se informa a dirección, colaboradores, clientes o proveedores cuando corresponde. Un plan de respuesta a incidentes no debe quedarse en un documento guardado: debe ensayarse con escenarios realistas.
Ante una sospecha de ransomware, la prioridad inicial suele ser contener, no reiniciar ni borrar evidencia. Aislar el equipo afectado de la red, deshabilitar cuentas comprometidas, revisar accesos remotos y preservar registros ayuda a frenar la propagación y entender el alcance. Después se determina qué datos fueron afectados, si existió extracción de información y qué ruta de recuperación es más segura.
Pagar un rescate no garantiza recuperar la información, eliminar accesos persistentes ni evitar que datos robados se publiquen. Además, puede prolongar la crisis si la empresa vuelve a operar sobre sistemas sin haber identificado la causa raíz. La recuperación debe incluir limpieza, validación de seguridad, restauración priorizada y monitoreo reforzado.
Mida la seguridad como un riesgo de operación
La seguridad mejora cuando se convierte en un proceso revisable. Dirección y TI necesitan reportes ejecutivos que muestren activos protegidos, cobertura de multifactor, estado de respaldos, vulnerabilidades pendientes, incidentes detectados, tiempos de respuesta y resultados de pruebas de restauración. Estos indicadores permiten tomar decisiones antes de que una alerta se transforme en interrupción.
No hay nada 100% seguro. Sin embargo, cerca del 95% de la seguridad recae en la prevención: controles bien configurados, personas capacitadas, respaldos verificables y vigilancia continua. Esa prevención no significa vivir en alarma; significa operar con evidencia de que la empresa puede resistir y recuperarse.
En RealNet, la conversación parte de ese principio: no vender tecnología aislada, sino acompañar decisiones que protejan la continuidad. Un diagnóstico de correo, endpoints, respaldos, accesos y procesos críticos permite definir prioridades reales, implementar controles y revisar resultados de manera continua.
La medida más valiosa no es cuántas herramientas tiene una organización, sino cuánto tiempo tardaría en volver a operar de forma segura. Empezar por responder esa pregunta convierte la ciberseguridad en seguridad y confianza para el negocio.
