Imagina que enciendes el ordenador por la mañana y en lugar de tu escritorio encuentras una pantalla negra. Un mensaje te dice que todos tus archivos han sido cifrados. Tus fotos, tus documentos, tus facturas. Todo bloqueado. Y al final del mensaje, un número de cuenta y un plazo: si no pagas en 48 horas, perderás todo para siempre.
Eso es un ataque de ransomware. Y no es algo que solo les pase a las grandes empresas.
Qué es el ransomware
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
La palabra viene del inglés ransom (rescate) y ware (software). Es un programa malicioso que entra en tu ordenador, cifra todos tus archivos con una clave que solo tiene el atacante, y te exige dinero — normalmente en criptomonedas — para devolverte el acceso. Si no pagas, los archivos quedan inaccesibles. Si pagas, nada garantiza que te devuelvan nada.
España es uno de los países más afectados de Europa. En 2025 se registraron 164 ataques documentados, con un crecimiento del 7,6% respecto al año anterior. Y eso son solo los casos que se denuncian.
Cómo llega el ransomware a tu ordenador
La vía más habitual es el correo electrónico. Un mensaje que parece venir de Correos, de tu banco o de Hacienda, con un archivo adjunto o un enlace. Lo abres, y en ese momento el programa malicioso se instala sin que notes nada. El cifrado empieza en segundo plano mientras tú sigues con tu día. Cuando la pantalla negra aparece, ya es demasiado tarde.
Otras formas de entrada habituales son las páginas web comprometidas — especialmente sitios de descarga de contenido — , los dispositivos USB de origen desconocido, y los programas descargados de fuentes no oficiales. En todos los casos, el mecanismo es el mismo: engañarte para que ejecutes algo que no deberías.
Qué pasa exactamente cuando te infectas
El ransomware actúa en tres fases. Primero entra en el sistema sin hacer ruido. Después recorre todos tus discos — incluidos los discos externos conectados y las carpetas compartidas en red — y cifra cada archivo uno a uno. Por último muestra el mensaje de rescate y espera.
El cifrado que usan es el mismo que protege las comunicaciones bancarias. Matemáticamente no tiene solución sin la clave. Por eso los backups son la única defensa real: si tienes una copia de tus archivos en un disco desconectado, el ransomware no puede alcanzarla.
¿Pago o no pago?
La respuesta de todos los organismos de seguridad — INCIBE, Europol, el FBI — es la misma: no pagues. Por varias razones. La primera es que el pago no garantiza que te devuelvan los archivos. La segunda es que si pagas, demuestras que eres un objetivo rentable, y es probable que vuelvan a atacarte. La tercera es que el dinero financia a organizaciones criminales que seguirán atacando a otras personas.
Si te han infectado, lo primero es desconectar el ordenador de la red y de cualquier disco externo para evitar que el ransomware se propague. Después llama al 017, la línea gratuita de ayuda en ciberseguridad de INCIBE. Y presenta denuncia en la Policía Nacional o la Guardia Civil.
Si el ataque ya ha ocurrido: las primeras horas son críticas
Cuando aparece la pantalla de rescate, el daño ya está hecho. Pero lo que hagas en las siguientes horas determina si podrás recuperar algo, identificar al responsable y, en el caso de una empresa, cumplir con las obligaciones legales que impone el RGPD ante una brecha de datos.
El error más habitual es apagar el ordenador o reinstalar el sistema operativo de inmediato. Es comprensible — la reacción instintiva es eliminar el problema — pero esa acción destruye las evidencias digitales que permitirían reconstruir cómo entró el atacante, qué archivos fueron exfiltrados y desde qué vector se produjo el ataque.
Lo que hay que hacer es exactamente lo contrario: aislar sin apagar. Desconectar el equipo de la red — tanto cable como wifi — y de cualquier dispositivo externo, pero mantenerlo encendido. Eso preserva la memoria RAM, donde pueden quedar rastros del proceso malicioso que no estarán en el disco.
Qué hace un perito informático ante un ataque de ransomware
Un perito informático judicial interviene para documentar el estado del sistema en el momento del ataque, preservar las evidencias con validez legal y reconstruir la cadena de eventos. No es lo mismo que un técnico que viene a limpiar el equipo — el objetivo del perito no es reparar, sino documentar.
En la práctica esto significa obtener una imagen forense del disco antes de cualquier intervención, analizar los logs del sistema para identificar el vector de entrada, determinar qué archivos fueron cifrados y si hubo exfiltración de datos previa al cifrado — algo habitual en los ataques modernos, donde los atacantes roban la información antes de bloquearla para usarla como segunda palanca de extorsión.
El informe pericial resultante tiene validez ante la Agencia Española de Protección de Datos, necesaria si el ataque ha comprometido datos personales de clientes o empleados, y ante los tribunales si se decide emprender acciones legales.
Cuándo tiene sentido llamar a un perito
Si el ataque afecta a un único ordenador personal sin datos sensibles, probablemente no sea necesario. Pero si trabajas con datos de clientes, si el equipo afectado forma parte de una red empresarial, si hay facturación, contratos o información confidencial cifrada, o si la empresa tiene obligaciones bajo el RGPD, la intervención pericial no es opcional — es la forma de demostrar que actuaste con diligencia ante las autoridades.
En esos casos, cada hora que pasa sin preservar las evidencias es una hora en la que se pierden datos que ya no se podrán recuperar.
Cómo protegerte
No existe protección perfecta, pero estas cuatro medidas reducen drásticamente el riesgo.
Haz copias de seguridad regulares. Y guárdalas en un disco que esté desconectado cuando no lo uses. Un disco externo que siempre está conectado puede ser cifrado igual que el principal.
No abras archivos adjuntos que no esperabas recibir. Aunque el remitente parezca tu banco, Correos o la Agencia Tributaria. Si tienes dudas, analiza el mensaje antes de abrirlo.
Mantén el sistema operativo y los programas actualizados. La mayoría de los ataques aprovechan vulnerabilidades conocidas que ya tienen parche. Actualizar es la forma más sencilla de cerrar esas puertas.
Desconfía de los USB de origen desconocido. Un pendrive encontrado en el suelo o recibido como regalo publicitario puede ser una trampa. Nunca lo conectes a tu ordenador sin verificarlo antes.
Si recibes un correo sospechoso antes de abrirlo
El ransomware necesita que ejecutes algo. Un archivo adjunto, un enlace, un instalador. Si analizas el mensaje antes de interactuar con él, puedes detectar las señales de alerta antes de que sea demasiado tarde: el dominio del remitente no corresponde a quien dice ser, el enlace apunta a un servidor desconocido, el archivo adjunto tiene una extensión que no esperabas.
Si has recibido un mensaje que te genera dudas y no sabes si es legítimo, puedes analizarlo en ORTSLAB antes de abrirlo. El motor detecta los indicadores de riesgo en segundos, sin necesidad de registro y sin guardar el contenido del mensaje.