---
title: "¿Qué es el ransomware y cómo protegerte de él?"
description: "El ransomware es malware que cifra o roba tus archivos y exige un pago. Cómo funciona un ataque, las señales, qué hacer si te afecta y cómo prevenirlo."
url: https://proxynet.io/es/blog/what-is-ransomware
date: 2026-11-15
author: "Acar Diveroli"
category: "Proxy 101"
lang: es
---

# ¿Qué es el ransomware y cómo protegerte de él?

Abres una carpeta de fotos familiares y ninguna se abre. Junto a ellas hay un archivo de texto que nunca creaste: tus archivos se han cifrado, puedes comprar una clave y el precio sube cuando vence un plazo. Esa misma mañana, una pequeña empresa encuentra todas sus unidades compartidas en el mismo estado, con una amenaza más: paga o los datos de los clientes se harán públicos.

Ambos casos son ransomware. Este artículo explica qué es, cómo se desarrolla un ataque, sus tipos y señales principales, qué hacer en la primera hora, cómo recuperar los archivos sin pagar y cómo prevenirlo en casa y en el trabajo. Está escrito para quien sufre el ataque, no para los atacantes.

> **Nota: Respuesta breve**
>
> El ransomware es software malicioso que cifra los archivos de un equipo o un servidor, o bloquea todo el dispositivo, y después exige un pago a cambio de la clave. En muchos ataques, además, los datos se copian antes y se amenaza con publicarlos. Entra sobre todo por correos de phishing, servicios de acceso remoto expuestos a internet, software sin actualizar y contraseñas robadas. Si te ocurre, desconecta el dispositivo de la red, no pagues, denuncia el ataque, busca en el proyecto No More Ransom una herramienta de descifrado gratuita y restaura desde una copia de seguridad guardada sin conexión. Las copias de seguridad sin conexión, las actualizaciones al día y el inicio de sesión multifactor en el correo y el acceso remoto son las defensas principales.

## ¿Qué es el ransomware?

El ransomware es malware que deja inservibles tus archivos o tu dispositivo hasta que se paga un rescate. CISA, la agencia de ciberseguridad de Estados Unidos, lo describe como malware diseñado para cifrar los archivos de un dispositivo, de modo que esos archivos y los sistemas que dependen de ellos quedan inutilizables. El National Cyber Security Centre (NCSC) del Reino Unido lo explica desde el lado de la víctima: te impide acceder a tu dispositivo y a sus datos.

El cifrado en sí es una tecnología corriente que protege tu banca en línea y el almacenamiento de tu teléfono; se convierte en ransomware cuando el atacante tiene la única clave. El ransomware es una familia de malware, el término general para el software hecho para dañar, espiar o tomar el control de un dispositivo; [¿Qué es el malware?](/es/blog/what-is-malware) trata las demás familias.

Muchos ataques usan ahora una segunda palanca. Los atacantes copian los datos antes de cifrar nada y amenazan con publicarlos si nadie paga, una táctica que CISA llama doble extorsión. Algunos se saltan el cifrado y solo amenazan con publicar lo que se llevaron.

## ¿Cómo funciona un ataque de ransomware?

1. **La entrada.** Las puertas habituales son un correo de phishing con un adjunto o un enlace dañino ([¿Qué es el phishing?](/es/blog/what-is-phishing) muestra cómo reconocerlo), una contraseña robada o reutilizada, un escritorio remoto (la herramienta para controlar un equipo a través de la red) expuesto a internet, un dispositivo sin actualizar y expuesto a internet, como una pasarela VPN, o una descarga de software falsa.
1. **La propagación.** En la red de una empresa, los atacantes pasan del primer equipo a otros y buscan cuentas de administrador; CISA lo llama movimiento lateral. En un PC doméstico, el malware llega a todo lo que el equipo alcanza: una memoria USB conectada, una unidad de red, carpetas compartidas.
1. **El ataque a las copias de seguridad.** Muchas variantes de ransomware buscan las copias que pueden alcanzar y las borran o las cifran, y los atacantes abusan de herramientas integradas en Windows para eliminar los puntos de restauración.
1. **La copia de los datos.** En un ataque de doble extorsión, documentos, registros de clientes y correos van a los servidores de los atacantes antes de que se bloquee nada.
1. **El cifrado y la exigencia.** Los archivos se cifran y los originales se borran. Aparece una nota en cada carpeta o en toda la pantalla, con instrucciones de pago y un plazo.

La exigencia suele ser el último paso de una intrusión que empezó antes. Según la guía de CISA, un incidente de ransomware puede ser la señal de una intrusión anterior en la red que nunca se resolvió; por eso las empresas averiguan cómo entraron los atacantes antes de reconstruir sus sistemas.

## ¿Qué tipos de ransomware existen?

| Tipo | Qué hace | Qué ves | ¿Lo arregla una copia de seguridad? |
|---|---|---|---|
| Ransomware de cifrado | Cifra archivos | Archivos que no se abren, una nota en cada carpeta | Sí, si la copia estaba sin conexión |
| Ransomware de bloqueo | Bloquea la pantalla | Una exigencia a pantalla completa que lo bloquea todo | Los archivos pueden estar intactos; limpia el dispositivo |
| Ransomware de arranque | Altera el registro de arranque del disco | Una exigencia en lugar del inicio de Windows | Sí, tras borrar el disco |
| Doble extorsión | Copia los datos y luego cifra | Archivos cifrados y una amenaza de publicarlos | Los archivos sí, la filtración no |
| Extorsión de datos | Solo copia los datos | Una exigencia con muestras de tus datos | No; es una brecha de datos |

**El ransomware de cifrado** es lo que casi todo el mundo entiende por la palabra: el proyecto No More Ransom señala que los originales se borran en cuanto existen las copias cifradas y que en la misma carpeta suele haber un archivo de texto con instrucciones de pago. **La doble extorsión y la extorsión de datos** convierten la pérdida de archivos en una brecha de datos, porque ni siquiera una copia de seguridad impecable puede recuperar lo que ya se copió. También existe ransomware para servidores web y para teléfonos, sobre todo Android.

## ¿Cómo saber si tienes ransomware?

Normalmente, la primera señal es la propia exigencia. Microsoft señala que una infección rara vez se nota hasta que una ventana, una aplicación o un mensaje a pantalla completa pide dinero, a menudo cuando los archivos ya están cifrados.

Señales que apuntan al ransomware:

- **Archivos que no se abren,** en muchas carpetas a la vez.
- **Un archivo de texto o web que no creaste,** con instrucciones de pago, en esas carpetas.
- **Un mensaje a pantalla completa** que indica un precio y un plazo.
- **Copias de seguridad, puntos de restauración o versiones anteriores de archivos** que faltan o también están cifrados.
- **En una red,** unidades compartidas en el mismo estado y compañeros que ven el mismo mensaje.

Una página del navegador que dice que tu equipo está bloqueado y muestra un número de teléfono suele ser una estafa del falso soporte técnico, no ransomware. Microsoft aconseja cerrar el navegador (Alt+F4 si el ratón no responde) o reiniciar el equipo; los mensajes de error reales de Microsoft nunca incluyen un número de teléfono.

## ¿Qué hacer si el ransomware ataca tu equipo?

Lo primero es desconectar el dispositivo de la red: la lista de respuesta de la [guía #StopRansomware de CISA](https://www.cisa.gov/stopransomware/ransomware-guide) empieza por aislar de inmediato los sistemas afectados. Después:

1. **Desconecta.** Quita el cable de red, apaga el Wi-Fi y desconecta las unidades USB y de copia de seguridad. Deja el dispositivo encendido salvo que no puedas desconectarlo; solo en ese caso aconseja CISA apagarlo, porque al apagarlo se borran las pruebas que hay en la memoria.
1. **Fotografía el mensaje.** Usa el teléfono para registrar la nota, cualquier dirección web que aparezca en ella y algunos nombres de archivos cifrados. Ayudan a la policía y sirven para identificar el ransomware.
1. **No pagues ni contactes con los atacantes.** En las preguntas frecuentes de abajo está la recomendación oficial sobre el pago.
1. **En el trabajo, llama por teléfono a TI o al equipo de seguridad.** CISA aconseja coordinarse por teléfono, porque los atacantes pueden estar leyendo el correo.
1. **Denuncia el ataque.** En Estados Unidos, a CISA (cisa.gov/report) o al Internet Crime Complaint Center del FBI (ic3.gov); en el Reino Unido, a través de gov.uk/report-cyber; en otros países, a la agencia nacional de ciberseguridad, al CERT (equipo de respuesta ante emergencias informáticas) o a la policía.
1. **Limpia o reinstala el dispositivo.** Haz un análisis completo con tu software de seguridad. Si no consigue limpiar el dispositivo, el NCSC aconseja borrarlo y reinstalarlo todo, empezando por el sistema operativo.
1. **Restaura y cambia las contraseñas.** Restaura los archivos solo en el dispositivo ya limpio; el NCSC advierte que restaurarlos en uno infectado puede traer de vuelta la infección. Desde un dispositivo limpio, cambia las contraseñas del correo, del banco y de todas las cuentas que usabas en el equipo infectado.

## ¿Se pueden recuperar los archivos sin pagar?

A menudo sí: desde una copia de seguridad anterior a la infección, desde el historial de versiones de un servicio en la nube o con una herramienta de descifrado gratuita. Ninguna de estas vías funciona siempre, y el NCSC advierte que la mayoría de los archivos cifrados solo los puede descifrar el atacante, lo que convierte una copia de seguridad desconectada en la verdadera red de seguridad.

[No More Ransom](https://www.nomoreransom.org/es/index.html), creado por la Unidad Nacional de Delitos de Alta Tecnología de la policía de los Países Bajos y el Centro Europeo de Ciberdelincuencia (EC3) de Europol junto con empresas de seguridad, reúne herramientas de descifrado gratuitas para cualquiera. Su herramienta Crypto Sheriff identifica el ransomware a partir de los datos que le das y comprueba si existe un descifrador. Las claves aparecen cuando los atacantes cometen errores o la policía incauta sus servidores, así que vuelve a mirar si hoy no hay nada que encaje.

## ¿Cómo protegerte del ransomware?

Guarda una copia de seguridad sin conexión, instala las actualizaciones pronto, protege los inicios de sesión con autenticación multifactor y cierra las puertas fáciles, como un escritorio remoto expuesto a internet. La tabla ordena las medidas principales según lo que frenan:

| Medida | Qué frena o limita | Para quién |
|---|---|---|
| Copia sin conexión, probada | Pérdida de archivos, pagar por una clave | Todos |
| Actualizaciones del sistema, las apps y el router | Intrusiones por fallos conocidos | Todos |
| MFA en el correo y el acceso remoto | Entrar con una contraseña robada | Todos |
| Ningún escritorio remoto expuesto a internet | Una vía de entrada habitual | Casa y oficina |
| Cuenta diaria sin permisos de administrador | Hasta dónde llega el malware | Todos |
| Filtrado del correo, macros de Office bloqueadas | Adjuntos dañinos | Empresas |
| Segmentación de la red | Propagación entre equipos | Empresas |
| Acceso controlado a carpetas | Apps desconocidas que cambian tus archivos | Usuarios de Windows |

Una regla práctica habitual para las copias de seguridad es la 3-2-1: tres copias de los archivos importantes (el original y dos copias de seguridad), en dos tipos de almacenamiento, una de ellas guardada en otro lugar. Contra el ransomware, la copia que cuenta es la que el equipo infectado no puede alcanzar, como un disco externo que desconectas después de cada copia. La [guía del NCSC sobre ransomware](https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks) añade dos puntos que la gente se salta: mantener desconectado el dispositivo de la copia y probar de vez en cuando una restauración.

Las actualizaciones cierran los fallos que los atacantes ya conocen; CISA pide a las organizaciones que parcheen primero los sistemas expuestos a internet y las vulnerabilidades que se sabe que se están explotando. Un fallo que aún no tiene solución es otro caso, que explica [¿Qué es una vulnerabilidad de día cero?](/es/blog/what-is-a-zero-day).

La autenticación multifactor (MFA) añade un segundo paso a la contraseña, de modo que una contraseña robada no basta para abrir tu correo ni un inicio de sesión de acceso remoto. CISA recomienda la MFA resistente al phishing, como las claves de acceso o las llaves de seguridad, empezando por el correo y el acceso por VPN.

## ¿Cómo activar la protección contra ransomware en Windows?

Windows 10 y 11 incluyen el acceso controlado a carpetas, que impide que aplicaciones desconocidas o que no son de confianza cambien los archivos de las carpetas protegidas. La [página de ayuda de Seguridad de Windows](https://support.microsoft.com/es-es/topic/ransomware-protection-in-windows-security-445039d6-537a-488a-ad53-48906f346363) de Microsoft indica el camino:

1. Abre **Seguridad de Windows** desde el menú Inicio.
1. Selecciona **Protección antivirus y contra amenazas** > **Administrar la protección contra ransomware**.
1. Activa **Acceso controlado a carpetas**.
1. En **Carpetas protegidas**, añade carpetas además de las predeterminadas (Documentos, Imágenes, Vídeos, Música y Escritorio).

Si se bloquea un programa de confianza, Windows muestra **La aplicación está bloqueada**; selecciona la notificación y después **Agregar una aplicación permitida**. Añade solo programas que conozcas: Microsoft advierte que una aplicación permitida que más adelante quede comprometida puede cambiar los archivos protegidos. En un PC doméstico el intercambio compensa: alguna aplicación bloqueada de vez en cuando a cambio de carpetas que el software desconocido no puede reescribir.

## ¿En qué se diferencia el ransomware en casa y en la empresa?

En casa, el ransomware suele afectar a un equipo y a los archivos que este alcanza; en una empresa, a menudo es una intrusión planificada contra servidores, copias de seguridad y datos a la vez. En casa las defensas son sencillas: una copia de seguridad desconectada, las actualizaciones y una cuenta estándar para el uso diario.

Las empresas se enfrentan a atacantes que pueden pasar un tiempo dentro antes de cifrar nada. CISA pide a las organizaciones que tengan un plan de respuesta a incidentes, segmenten la red, mantengan copias de seguridad cifradas y sin conexión e imágenes del sistema listas para reconstruir, y que recurran a las fuerzas de seguridad. Si se cifraron o copiaron datos personales, se trata además de una violación de la seguridad de los datos personales: el Comité Europeo de Protección de Datos considera como tal los datos que el cifrado de un ransomware deja inaccesibles y, cuando la notificación es obligatoria, la autoridad de control debe conocerla en un plazo de 72 horas.

Un proxy o una VPN no protegen contra el ransomware: ambos cambian la dirección IP desde la que sale tu tráfico, y ninguno revisa lo que descargas o ejecutas. Los proxies aparecen, en cambio, del lado de la defensa. Los equipos de inteligencia de amenazas que vigilan fuentes públicas en busca de documentos filtrados de una empresa trabajan desde máquinas aisladas y hacen pasar esa investigación por proxies residenciales, para que su propia red no quede a la vista, como describe nuestra página de [seguridad de datos](/es/data-security).

## Dónde te encuentras con el ransomware

En adjuntos de correo que se hacen pasar por facturas, avisos de entrega o currículos. En descargas de software falsas y programas pirateados. En redes de empresa a las que se entró por el acceso remoto o por la cuenta de un proveedor. En servidores web con software desactualizado. En teléfonos Android, a través de apps falsas. En las noticias, cuando una empresa o un servicio público no puede trabajar durante días.

## Errores frecuentes

- **Dejar conectada la única copia de seguridad.** El ransomware cifra todas las unidades que alcanza.
- **Tratar una carpeta sincronizada como copia de seguridad.** Los archivos cifrados se sincronizan con la nube como cualquier otro cambio.
- **Borrar el equipo antes de registrar la nota.** La nota y los nombres de los archivos ayudan a identificar el ransomware y un posible descifrador.
- **Restaurar en un dispositivo que sigue infectado.** Primero límpialo o reinstálalo.
- **Pagar y dar el asunto por cerrado.** Puede que la clave no funcione, los datos copiados pueden publicarse igualmente, y el NCSC advierte que quien paga tiene más probabilidades de volver a ser atacado.

## Guía de decisión

| Tu situación | Qué hacer primero |
|---|---|
| Una nota dice que tus archivos están cifrados | Desconecta, fotografía la nota, no pagues |
| Una página del navegador dice que tu PC está bloqueado y da un número de teléfono | Cierra el navegador; es una página fraudulenta |
| Archivos cifrados, con copia de seguridad sin conexión | Limpia o reinstala el dispositivo y luego restaura |
| Archivos cifrados, sin copia de seguridad | Consulta No More Ransom; guarda los archivos cifrados por si aparece una clave |
| Un equipo del trabajo muestra una exigencia | Desconéctalo y llama a TI o al equipo de seguridad |
| Se cifraron archivos en OneDrive | Limpia el PC y luego restaura OneDrive a un momento anterior |
| Ya pagaste | Contacta con tu banco y denúncialo a la policía |

## Preguntas frecuentes

### ¿Hay que pagar el rescate?

No, según todas las fuentes oficiales. El NCSC y las fuerzas de seguridad del Reino Unido no fomentan, respaldan ni aprueban el pago, el FBI no apoya pagar y No More Ransom aconseja no pagar nunca. Pagar no garantiza ni una clave que funcione ni que los datos copiados sigan siendo privados. Si ya pagaste, Microsoft aconseja contactar enseguida con tu banco y con las autoridades locales; a veces se puede bloquear un pago con tarjeta.

### ¿Puede un antivirus eliminar el ransomware?

Normalmente puede eliminar el programa de ransomware, pero no deshacer el cifrado. Microsoft aconseja limpiar el PC por completo con Seguridad de Windows antes de recuperar los archivos, y el NCSC indica borrar y reinstalar si el software de seguridad no consigue limpiar el dispositivo. Los archivos vuelven desde una copia de seguridad o, en algunos tipos, con una herramienta de descifrado gratuita.

### ¿Los teléfonos pueden tener ransomware?

Sí, sobre todo los Android. No More Ransom explica que el ransomware móvil llega a través de apps falsas y de descargas automáticas (drive-by downloads), archivos que empiezan a descargarse cuando visitas una página, así que instala apps solo desde la tienda oficial y mantén el teléfono actualizado. Si una app ha bloqueado el teléfono, el NCSC considera el restablecimiento de fábrica la solución más segura, seguido de la restauración desde una copia de seguridad.

### ¿Puede el ransomware cifrar OneDrive u otro almacenamiento en la nube?

Sí, si los archivos están en una carpeta que se sincroniza: las versiones cifradas se suben como cualquier otro cambio, y el FBI ha advertido que el ransomware puede bloquear copias de seguridad en la nube que se sincronizan continuamente. El historial de versiones te permite volver atrás; los suscriptores de Microsoft 365 pueden restaurar todo su OneDrive a un momento de los últimos 30 días.

### ¿Puede el ransomware propagarse a otros equipos de mi red?

Sí. Microsoft señala que el ransomware puede propagarse desde un equipo conectado en red a otros equipos y dispositivos de almacenamiento de esa red, y en las redes de empresa los atacantes pasan de una máquina a otra a propósito. Los dispositivos conectados al mismo Wi-Fi comparten una red local, así que esto también vale en casa.

### ¿El ransomware es un virus?

No exactamente. Se llama «virus» a cualquier malware, pero, en sentido estricto, un virus es un tipo concreto que se copia dentro de otros archivos. El ransomware recibe su nombre por lo que hace, bloquear o cifrar a cambio de dinero, y puede llegar dentro de un troyano (un programa que se hace pasar por algo útil) o ser lanzado por atacantes que ya están dentro de una red.

## En resumen

El ransomware convierte tus propios archivos en rehenes: los cifra o los bloquea, a menudo los copia antes y pide dinero. Una copia de seguridad desconectada, las actualizaciones al día y el inicio de sesión multifactor le quitan casi toda su fuerza. Si te ocurre, desconecta, fotografía la nota, denuncia el ataque, consulta No More Ransom y restaura desde una copia limpia en lugar de pagar. Un proxy cambia la dirección desde la que sale tu tráfico, no lo que se ejecuta en tu equipo; para qué sirven de verdad los proxies lo explica nuestra página sobre el [proxy](/es/proxy).