El ransomware dejó de ser un problema de grandes corporaciones para convertirse en una amenaza cotidiana para cualquier PYME. Un solo equipo comprometido puede cifrar archivos compartidos, servidores y copias de seguridad en cuestión de horas, y dejar el negocio parado. Para protegerse hacen falta varias capas que se refuerzan entre sí. En este artículo repasamos qué hace tan dañino al ransomware y cómo construir una defensa realista en la que el backup es la última línea.
Por qué el ransomware es tan dañino para una PYME
El ransomware es tan dañino para una pyme porque el impacto rara vez se limita a recuperar unos ficheros. El daño real es el tiempo de parada: días sin facturar, sin atender clientes ni acceder a sistemas críticos. A eso se suma la posible filtración de datos, con sus implicaciones de RGPD, la pérdida de confianza de clientes y el coste de la propia recuperación. Una pyme tiene menos margen que una gran empresa para absorber semanas de interrupción, y ahí es donde un incidente se vuelve existencial. El contexto no ayuda: España cerró 2025 como segundo país del mundo en ataques de ransomware, con cerca de un tercio de las pymes atacadas, y pagar no garantiza nada. Es conocido el caso de una textil valenciana que pagó 28.000 € de rescate y no recuperó sus datos. Por eso conviene invertir antes en prevención que después en rescate.
La defensa se hace por capas
Ningún antivirus ni firewall detiene por sí solo todos los ataques; la estrategia que funciona es la defensa en profundidad, varias barreras independientes que reducen la probabilidad de que un atacante avance y, si entra, limitan hasta dónde llega. En la práctica eso significa combinar parches al día, control de accesos con doble factor, segmentación de red, protección del correo, monitorización que detecte comportamiento anómalo y copias de seguridad fuera del alcance del atacante. Lo hemos comprobado en incidentes reales: una web comprometida durante semanas se acabó detectando porque un backup incremental salió anómalamente grande. La capa de backup hizo además de capa de detección y permitió fechar el ataque y restaurar desde una copia limpia. Ninguna de estas barreras es cara por separado; lo caro es no tener ninguna cuando toca. Estas son las capas que más impacto tienen con menos esfuerzo:
- Parcheo y actualizaciones: mantener sistemas operativos, aplicaciones y firmware al día cierra las puertas que más se explotan. Un proceso de actualización gestionado y monitorizado evita que un equipo olvidado se convierta en la vía de entrada.
- Mínimo privilegio: cada usuario y cada servicio deben tener solo los permisos imprescindibles. Si una cuenta comprometida no es administradora, el alcance del daño se reduce drásticamente.
- MFA (doble factor): activar la verificación en dos pasos en correo, VPN, accesos remotos y paneles de administración neutraliza la mayoría de los robos de credenciales.
- Segmentación de red: separar redes y sistemas evita que una infección en un puesto de trabajo se propague libremente a servidores o a la nube.
- Formación del equipo: la mayoría de los ataques empiezan por un correo. Empleados que saben reconocer un mensaje sospechoso y a quién avisar son una de las defensas más rentables que existen.
El backup es la última línea, pero solo si está bien hecho
El backup no evita el ataque, pero te permite recuperarte cuando todo lo demás ha fallado. El problema es que muchas empresas creen estar protegidas con una copia que, en realidad, el ransomware también puede cifrar: un atacante con acceso a la red buscará y atacará las copias de seguridad accesibles antes de cifrar el resto. Una copia conectada y con permisos de escritura cae con todo lo demás. Un backup que protege de verdad combina tres cosas: copias frecuentes que no interrumpen el servicio, al menos una réplica cifrada fuera del alcance de la red, y pruebas de restauración periódicas. Así es como uno de nuestros clientes lleva 18 meses sin un solo corte relacionado con backup, con restauraciones probadas cada mes y un tiempo de recuperación garantizado por debajo de dos horas.
Para que el backup cumpla su función, debe ser inmutable o aislado (que no se pueda modificar ni borrar durante un periodo determinado) y, sobre todo, probado. Si una copia nunca se ha restaurado, no sabes si sirve. Un servicio gestionado de backup y continuidad aporta copias verificadas, retención adecuada y un plan de recuperación que ya se ha ensayado.
La regla 3-2-1 y la copia offline
La regla 3-2-1 es el estándar de referencia para que una copia sobreviva a un incidente:
- 3 copias de los datos importantes (el original más dos respaldos).
- 2 soportes distintos, para no depender de un único tipo de medio.
- 1 copia fuera de las instalaciones y desconectada (offline o inmutable), que el ransomware no pueda alcanzar aunque comprometa la red.
Esa copia offline o inmutable es la que de verdad salva el negocio. Combinada con unos servidores gestionados con monitorización activa, se reduce tanto la probabilidad de un incidente como el tiempo de recuperación si llega a producirse.
Por dónde empezar sin abrumarse
No hace falta implantarlo todo a la vez. Un orden sensato es: activar MFA en los accesos críticos, revisar quién tiene permisos de administrador, comprobar que las actualizaciones se aplican de forma sistemática y, en paralelo, validar que existe una copia aislada y que se ha restaurado al menos una vez. Cada uno de estos pasos reduce riesgo de forma inmediata, y juntos convierten un objetivo fácil en uno costoso para el atacante.
Lo que vemos cuando ya ha pasado
Dos casos reales de nuestro soporte (anonimizados) que resumen bien por qué insistimos en las capas y no en el producto único.
El primero: una web WordPress que llevaba semanas comprometida sin que nadie lo notara. La pista fue una carpeta oculta y un backup incremental anómalamente grande, que nos permitió fechar la intrusión y restaurar desde una copia anterior limpia. El detalle revelador es que tenía un plugin de seguridad instalado desde hacía meses, pero nadie lo había llegado a configurar.
El segundo: una web que fue hackeada dos veces en pocas semanas. La primera limpieza eliminó el malware pero no corrigió la vulnerabilidad de origen, y el atacante volvió a entrar por la misma puerta. Limpiar sin actualizar y sin cerrar la causa raíz es pagar el incidente dos veces.
En ambos casos la recuperación fue posible porque existía una copia limpia y fechable. Sin eso, la conversación habría sido con un extorsionador.
Da el siguiente paso
Protegerse del ransomware es una cuestión de capas bien combinadas y de una copia que de verdad puedas recuperar. Si quieres revisar cómo está tu empresa hoy y qué conviene reforzar primero, en Elimática podemos ayudarte a ordenarlo sin humo ni alarmismo. Cuéntanos tu caso y lo analizamos contigo.
Para el detalle técnico de estrategias y frecuencias de copia, lee copias de seguridad: todo lo que necesitas saber.