El día que el ransomware paró una empresa de 200 empleados

Todo empezó con una llamada de Sara, la responsable del departamento de administración, cuando Alejandro aún estaba en el ascensor. «Alejandro, tengo un problema raro con el ordenador. No se abre ningún archivo.» Él pensó que sería algún fallo puntual del sistema. Cosas que pasan.

Cuando abrió la puerta de su despacho, su ordenador estaba encendido. La pantalla mostraba algo que nunca había visto: un fondo negro con texto rojo. No el texto de error habitual de Windows. Algo diferente. Algo que le heló la sangre.

Alejandro tardó casi un minuto en procesar lo que estaba leyendo. Luego llegaron más llamadas. El teléfono empezó a sonar sin parar. Primero el responsable de sistemas, Miguel. Luego el jefe de almacén. El departamento de ventas. Contabilidad. Recursos humanos. Todos con el mismo mensaje: «Los ordenadores no funcionan.»

En menos de veinte minutos, los 200 ordenadores de la empresa mostraban la misma pantalla negra. El servidor de ficheros: bloqueado. El ERP de gestión: inaccesible. Los albaranes del día: cifrados. Las rutas de los transportistas: perdidas. La propuesta para el cliente de las diez: desaparecida.

«Fue como si alguien hubiera metido la llave en la cerradura de tu empresa y se la hubiera llevado. Todo seguía físicamente en su sitio, pero nada funcionaba. Absolutamente nada.»

A las 9:15, Alejandro reunió en la sala de juntas a Miguel (sistemas), a la directora financiera y al responsable de operaciones. El cliente de las diez ya era lo de menos. Habían avisado a los transportistas de que no salieran del almacén hasta nuevo aviso. Cuarenta vehículos parados. Doscientas personas sin poder trabajar.

Miguel intentó lo evidente: acceder al servidor de backups para restaurar desde la última copia. El servidor respondía, pero los archivos de backup también estaban cifrados. El ransomware había llegado antes que ellos. Habían tenido más de tres semanas infiltrado en la red antes de activarse, moviéndose silenciosamente de máquina en máquina, mapeando los sistemas, localizando los backups y destruyéndolos primero.

La penúltima copia de seguridad intacta tenía seis semanas de antigüedad. Seis semanas de pedidos, facturas, contratos, registros de clientes, rutas optimizadas y datos operativos: evaporados.

A las 10:30, Alejandro llamó a su asesor legal. A las 11:00, a la policía y al INCIBE (Instituto Nacional de Ciberseguridad). A las 12:00, a una empresa de respuesta ante incidentes de ciberseguridad que le costó 4.500 euros solo la primera visita de emergencia. Para entonces, ya sabía que el día estaba perdido. Lo que no sabía aún era que también lo estaban los dos siguientes.

Las 72 horas del colapso

Cómo se desarrollaron los tres días más largos de la historia de la empresa

Tres semanas antes del ataque, Carlos, uno de los comerciales del equipo de ventas, recibió un correo electrónico aparentemente enviado por uno de sus proveedores habituales de material de oficina. El asunto era «Actualización de factura pendiente — Ref. 2026-01-3341». El email tenía el logo del proveedor, el mismo formato que siempre y una firma convincente.

El archivo adjunto era un Excel con macros. Carlos lo abrió, hizo clic en «Habilitar contenido» cuando Excel lo pidió —algo que había hecho decenas de veces en su vida— y siguió con su jornada. No ocurrió nada visible. Ninguna alerta. Ningún mensaje de error. El ordenador siguió funcionando perfectamente.

Lo que Carlos no sabía es que al habilitar las macros del Excel, ejecutó un pequeño programa que se instaló silenciosamente en su ordenador. Ese programa —conocido como dropper— descargó de internet el ransomware real y lo instaló en segundo plano. A partir de ahí, empezó a moverse lateralmente por la red de la empresa.

Durante 23 días, el malware estuvo activo en la red sin que nadie lo detectara. Fue mapeando todos los servidores, identificando los sistemas críticos, localizando las copias de seguridad accesibles desde la red y preparando el ataque coordinado. Los atacantes esperaron al martes para activarlo: un día de alta actividad, con más probabilidades de presión para pagar rápido.

Alejandro no pagó el rescate. La empresa de respuesta ante incidentes le aconsejó que no lo hiciera —el 68% de las empresas que pagan no recuperan todos sus datos de todos modos— y los peritos del INCIBE le advirtieron que el pago podría acarrear implicaciones legales. Pero no pagar el rescate no significó que el ataque fuera gratis. Ni mucho menos.

Para contextualizarlo: una plataforma de ciberseguridad completa como las que analizamos en otros artículos de este blog habría costado a la empresa entre €400 y €700 al mes para sus 200 empleados. En doce meses, eso son entre 4.800 y 8.400 euros. Frente a 181.500 euros de pérdida real.

La ciberseguridad no es un gasto. Es un seguro. Y como todos los seguros, su valor se entiende el día que lo necesitas.

Lo más doloroso de este caso —y lo repite Alejandro cuando habla de ello— es que se podría haber evitado completamente. No con una inversión millonaria ni con un equipo de ciberseguridad de diez personas. Con medidas básicas que cualquier empresa mediana puede implementar.

Si tu empresa tiene más de 10 empleados y usa ordenadores, este artículo va dirigido a ti. No hace falta ser una multinacional para ser víctima de ransomware. Las empresas medianas son el objetivo preferido precisamente porque tienen datos valiosos pero, habitualmente, menor nivel de protección que las grandes.