Techinfo
La primera recomendación de No More Ransom, un portal creado por Europol y la policía neerlandesa, junto con INCIBE, es desconectar el ordenador de cualquier red. Esto incluye tanto la conexión a internet como la red Wi-Fi del hogar. La razón detrás de esta acción es sencilla: al desconectar el equipo, se evita que la infección se propague a otros dispositivos. Para hacerlo, es necesario retirar el cable de red, desactivar la conexión Wi-Fi del ordenador y desconectar cualquier disco externo, memoria USB o dispositivo NAS que esté conectado. Además, si utilizas servicios de almacenamiento en la nube como OneDrive, Google Drive o iCloud que se sincronizan automáticamente, desconectarte también previene que las versiones cifradas de tus archivos reemplacen las versiones originales en la nube.
Es importante mencionar que, según un aviso del FBI emitido en septiembre de 2024, en relación con campañas de ingeniería social atribuidas a Corea del Norte, se sugiere mantener el equipo encendido para no perder pistas del malware que podrían ser útiles para los investigadores. Si tienes la intención de denunciar el incidente y deseas que un experto analice el ordenador, desconectarlo de la red no implica necesariamente apagarlo.
La segunda recomendación de No More Ransom es clara: no pagues el rescate. La organización enfatiza que no se debe realizar ningún pago en estas situaciones. En su sección de preguntas frecuentes, se ofrecen dos razones para esta postura. La primera es de carácter práctico: pagar no garantiza la recuperación de los datos, ya que el propio malware puede contener errores que impidan acceder a la información, incluso si se recibe la clave correcta. La segunda razón es más profunda: cada pago realizado a los delincuentes refuerza la idea de que este tipo de negocio es rentable, lo que puede incentivar futuros ataques.
Si no cuentas con una copia de seguridad de tus archivos y no existe un descifrador disponible para la variante de ransomware que te ha afectado, la realidad es que podrías no recuperar esos archivos. Pagar el rescate no asegura la recuperación de la información, y es fundamental tener esto en cuenta al enfrentar un ataque de ransomware.
La guía destinada a los usuarios señala que, si decides pagar el rescate, es probable que te conviertas en un objetivo recurrente. Este argumento, según mi interpretación, tiene más peso en el ámbito doméstico que en el empresarial: un particular que paga una vez se suma a la lista de quienes han cedido ante los atacantes.
Antes de continuar, es recomendable tomar una foto o una captura de pantalla de la nota de rescate. Esta información te será útil en dos ocasiones: para identificar la variante de ransomware que ha infectado tu sistema y para realizar la denuncia correspondiente. A continuación, es necesario ejecutar un antivirus o un programa antimalware para eliminar el ransomware; en algunos casos, puede ser necesario iniciar Windows en modo seguro para llevar a cabo esta tarea. No More Ransom aclara un aspecto que muchas personas no esperan: eliminar el ransomware no significa que tus archivos se descifren. Esta acción solo previene que el malware continúe cifrando archivos que aún están sanos mientras intentas recuperar el resto.
Este aspecto es crucial para evitar restaurar una copia de seguridad sobre un sistema que todavía está infectado. Primero, se debe limpiar el sistema; luego, se procede a la recuperación de los archivos.
Paso 3: ¿cómo puedo recuperar mis archivos si tengo una copia de seguridad? Si cuentas con una copia realizada antes de la infección, lo más recomendable es restaurarla, ya que esta es la opción más confiable y la única que no depende de la suerte. No More Ransom sugiere mantener dos copias de seguridad: una en la nube y otra en un dispositivo físico, como un disco duro externo o una memoria USB, y desconectar este último del ordenador una vez finalizada cada copia, para evitar que un ataque lo alcance.
Si utilizas OneDrive, Microsoft ofrece dos ayudas específicas. Su función de detección de ransomware notifica cuando los archivos de OneDrive han sido comprometidos y guía en el proceso de restauración. Según su página de soporte, si no eres suscriptor, la primera notificación y la primera recuperación son gratuitas. Además, la función de restaurar OneDrive a un momento anterior permite deshacer todos los cambios realizados en los últimos 30 días, aunque esta opción está disponible solo para suscriptores de Microsoft 365.
Si nunca has establecido una rutina de copias de seguridad, este es el momento adecuado para hacerlo con tranquilidad. Puedes encontrar el método paso a paso en nuestra guía para realizar una copia de seguridad completa de tu vida digital.
Paso 4: ¿y si no tengo copia de seguridad? En caso de no contar con una, el siguiente paso es visitar nomoreransom.org. Este portal reúne claves y programas que permiten descifrar archivos bloqueados por diversas familias de ransomware, todos de forma gratuita. Su herramienta Crypto Sheriff ayuda a identificar qué variante de ransomware ha afectado tu sistema; según la explicación de INCIBE, debes subir dos archivos cifrados y la nota de rescate, y el sistema los compara con su base de datos de claves.
Es fundamental mantener expectativas realistas frente a un ataque de ransomware. La propia página web de No More Ransom advierte que no todos los tipos de ransomware cuentan con una solución y que, en muchos casos, una vez que se ha ejecutado el ataque, poco se puede hacer sin una copia de seguridad. Cuando existe un descifrador, generalmente es por tres razones que el portal menciona: porque los atacantes cometieron errores en la programación del ransomware, como sucedió con Petya y CryptXXX; porque ellos mismos publicaron las claves, como ocurrió con TeslaCrypt; o porque las autoridades lograron incautar servidores que contenían las claves, como en el caso de CoinVault.
Un consejo que se puede extraer de lo anterior es que, si actualmente no hay un descifrador disponible para la variante de ransomware que afecta a tu sistema, no debes eliminar los archivos cifrados. Es recomendable guardarlos en un disco separado. La plataforma No More Ransom continúa actualizando su colección de herramientas; a noviembre de 2026, en su portada se podían encontrar nuevos descifradores para familias de ransomware como Phobos/8base, FunkSec o DoNex.
El siguiente paso en la guía de No More Ransom es denunciar el incidente ante las autoridades. Su sección de denuncias dirige, en el caso de España, a los canales de la Policía Nacional y de la Guardia Civil. Es aconsejable llevar consigo una captura de pantalla de la nota de rescate, la extensión actual de los archivos cifrados y cualquier correo electrónico o descarga sospechosa que se haya recibido en los días previos al ataque.
Si no sabes por dónde comenzar, el servicio Tu Ayuda en Ciberseguridad de INCIBE ofrece asistencia a través del número 017, que es gratuito y confidencial, disponible de 8:00 a 23:00 todos los días del año, según lo indicado en su sitio web. También se puede contactar a través de WhatsApp al 900 116 117 y por Telegram utilizando el alias @INCIBE017.
Posteriormente, es necesario proceder a la reconstrucción del sistema: cambiar las contraseñas desde un dispositivo que esté limpio y actualizar el sistema operativo. No More Ransom enfatiza la importancia de instalar las actualizaciones del sistema y de las aplicaciones tan pronto como estén disponibles, lo que coincide con lo que hemos mencionado sobre por qué ignorar las actualizaciones de software es una de las peores decisiones en términos de seguridad.
Lo que más me sorprende de las guías oficiales es la falta de promesas concretas. Ninguna de ellas asegura que recuperarás tus fotos; todas subrayan que la existencia de una copia de seguridad desconectada es lo que determinará el desenlace. Esta es, sin duda, la lección más valiosa que se puede extraer del ransomware doméstico: en el día del ataque, no hay soluciones mágicas, solo hay que seguir un orden de pasos para evitar agravar la situación. Lo que realmente marca la diferencia se decidió, o no, semanas antes del incidente.
En cuanto a la opción de pagar el rescate, mi postura es clara: aunque en ocasiones pueda resultar efectivo, es como comprar un billete de lotería a quien acaba de robarte, sin ninguna garantía de éxito y con la certeza de que volverá a intentar atacarte.
Fuente original: WWWhat's New.
