El ransomware ya no es un riesgo remoto reservado a grandes corporaciones. Según el balance oficial de INCIBE, en 2025 se gestionaron en España 122.223 incidentes de ciberseguridad, un 26 % más que en 2024. De ellos, 392 fueron ataques de ransomware específicamente, dentro de un total de 55.411 incidentes de malware; además, se registraron 3.849 casos de robo o acceso no autorizado a información confidencial, una consecuencia habitual de este tipo de ataques cuando incorporan doble extorsión (cifrado más filtración de datos).
A nivel internacional, España no es una excepción, el Threat Landscape Report de Thales sitúa al país como el sexto más castigado del mundo por ataques de ransomware, con 164 incidentes registrados en 2025. Y a escala global, la consolidación de grupos criminales continúa, según Check Point Research, los diez grupos de ransomware más activos concentraron el 71 % de todas las víctimas publicadas durante el primer trimestre de 2026, mientras que España concentró el 2 % de los ataques globales registrados en ese mismo periodo.
Ante este escenario, la mejor defensa no consiste únicamente en evitar los ataques algo que ninguna empresa puede garantizar al cien por cien, sino en construir una estrategia de ciberresiliencia que permita resistir, frenar el avance del ataque y seguir operando cuando el incidente ya se ha producido.
¿Qué es la ciberresiliencia y en qué se diferencia de la ciberseguridad?
La ciberresiliencia combina medidas de ciberseguridad, protección de datos y continuidad de negocio para garantizar que la empresa pueda seguir funcionando ante cualquier incidente. Es la capacidad de una organización para prevenir, resistir, responder y recuperarse de un incidente de ciberseguridad manteniendo la continuidad de su actividad.
¿Y en qué se diferencia exactamente de la ciberseguridad? La ciberseguridad busca evitar que un ataque tenga éxito; la ciberresiliencia asume que un ataque puede producirse igualmente y se centra en frenar su progresión, minimizar su impacto y restaurar la operativa lo antes posible.
| Ciberseguridad | Ciberresiliencia | |
| Objetivo principal | Evitar que el ataque ocurra | Frenar su avance y recuperar la operativa |
| Enfoque | Prevención (firewalls, antivirus, parches) | Prevención + detección + respuesta + recuperación |
| Asunción de partida | El perímetro puede protegerse por completo | Ningún entorno es completamente invulnerable |
| Métrica clave | Nº de ataques bloqueados | Tiempo de recuperación (RTO) y datos recuperables (RPO) |
La ciberseguridad reduce la probabilidad de sufrir un ataque; la ciberresiliencia reduce las consecuencias cuando ese ataque tiene éxito, actuando como el freno que impide que un incidente puntual se convierta en una parálisis total del negocio.
Las principales vías de entrada del ransomware
- Credenciales válidas comprometidas, obtenidas mediante infostealers o filtraciones previas.
- Correos electrónicos de phishing, la puerta de entrada más frecuente para las pymes.
- Vulnerabilidades en sistemas sin actualizar expuestos a internet.
- Accesos remotos mal configurados (VPN y RDP sin autenticación multifactor).
- Dispositivos conectados sin las protecciones adecuadas.
Distintos análisis del sector sitúan el tiempo medio entre el acceso inicial y el cifrado de los sistemas en menos de cinco días, lo que deja una ventana muy estrecha para frenar el ataque antes de que cause daño. Es precisamente en esa ventana donde una buena estrategia de ciberresiliencia marca la diferencia entre detectar y contener el incidente, o sufrir una parálisis completa.
Por este motivo, ninguna medida aislada es suficiente, hace falta un enfoque integral que combine personas, procesos y tecnología.
Las 4 claves para construir una estrategia de ciberresiliencia
1. Mantener los sistemas actualizados
Muchas brechas de seguridad se producen por vulnerabilidades conocidas para las que ya existe un parche disponible. Mantener servidores, equipos y aplicaciones al día reduce de forma directa la superficie de ataque. Solo en el segundo semestre de 2025 se detectaron 24.365 nuevas vulnerabilidades a nivel mundial, y los atacantes empiezan a explotarlas apenas 24 horas después de hacerse públicas, lo que hace que la gestión de parches automatizada deje de ser opcional.
2. Implementar copias de seguridad seguras e inmutables
Contar con backups es esencial, pero no todos los sistemas de copia ofrecen el mismo nivel de protección, si el backup es accesible desde la misma red que ha sido comprometida, el ransomware también puede cifrarlo o eliminarlo.
¿Qué es exactamente la regla 3-2-1 de backup? Consiste en mantener al menos tres copias de los datos, en dos soportes de almacenamiento distintos, con una de esas copias ubicada fuera del entorno principal (aislada o air-gapped). Hoy esa regla se ha ampliado a 3-2-1-1, sumando un requisito adicional que al menos una de esas copias sea inmutable, es decir, verificada periódicamente y protegida frente a modificación o borrado incluso por un administrador con credenciales comprometidas.
3. Proteger los accesos con MFA y mínimo privilegio
A una segunda capa de verificación multifactor dificulta enormemente el acceso no autorizado incluso cuando una contraseña ha sido comprometida. ¿Es obligatoria por ley? No siempre, pero se considera una medida mínima imprescindible, gran parte de los accesos iniciales de ransomware se producen a través de VPN o accesos remotos sin MFA configurado.
Junto al MFA, conviene aplicar el principio de mínimo privilegio cada usuario y sistema debe tener acceso únicamente a lo estrictamente necesario para su función, limitando así el movimiento lateral del atacante si logra entrar.
4. Formar a los empleados
Las personas siguen siendo una de las principales puertas de entrada de los ataques. Un programa periódico de concienciación ayuda a identificar correos sospechosos, enlaces fraudulentos y otras técnicas de ingeniería social. La tecnología es fundamental, pero una plantilla formada puede marcar la diferencia entre un intento de ataque frustrado y una incidencia grave.
Por qué la velocidad de recuperación es la métrica que realmente importa
Cuando una organización sufre un ataque de ransomware, el tiempo es el factor crítico, cuanto más rápido pueda restaurar sus sistemas y datos, menor será el impacto sobre la actividad del negocio. Las empresas afectadas por un ransomware exitoso pueden llegar a paralizar su operativa durante semanas, el caso de Jaguar Land Rover, que tuvo que detener su producción durante más de un mes tras un ciberataque, ilustra hasta qué punto el tiempo de inactividad puede convertirse en la principal fuente de pérdidas, por encima incluso del propio rescate.
Por ello, las empresas deben contar con:
- Un plan de recuperación ante desastres (DRP) documentado y probado periódicamente, no solo redactado.
- Procedimientos claros sobre quién decide, comunica y actúa en las primeras horas del incidente.
- Tecnología de backup y recuperación capaz de restaurar sistemas críticos en horas, no en días.
¿Debe una empresa pagar el rescate?
La recomendación generalizada del sector, respaldada por organismos como INCIBE, es priorizar siempre la recuperación desde copias de seguridad verificadas frente al pago del rescate. Pagar no garantiza recuperar los datos, financia al ecosistema criminal y puede acarrear implicaciones legales según la jurisdicción y el grupo atacante. La decisión, si llega a plantearse, debe tomarse con asesoría legal especializada y nunca como primera opción.
Por qué trabajar con un partner tecnológico especializado en Dell Technologies
Diseñar una estrategia de ciberresiliencia eficaz requiere experiencia, metodología y las tecnologías adecuadas. En Velorcios, como partner de Dell Technologies, ayudamos a las organizaciones a proteger su información crítica mediante soluciones avanzadas de almacenamiento, backup, recuperación y continuidad de negocio.
¿Cómo se traduce esto en el día a día? Velorcios diseña e implementa estrategias de ciberresiliencia con tecnologías Dell Technologies de backup inmutable, almacenamiento y recuperación ante desastres, adaptadas al tamaño y sector de cada empresa. Gracias a estas soluciones, las empresas pueden reforzar su capacidad de frenar y contener el ransomware, reducir sus tiempos de recuperación (RTO) y disponer de una infraestructura preparada para los desafíos de ciberseguridad actuales.
La pregunta ya no es si una empresa sufrirá un intento de ataque, sino cuándo ocurrirá. La diferencia entre una organización vulnerable y una resiliente radica en su capacidad para prepararse, frenar el avance del ataque y recuperarse con rapidez.
Invertir en ciberresiliencia hoy es proteger la continuidad del negocio mañana. Contar con un partner tecnológico especializado como Velorcios puede ser el primer paso para construir una estrategia sólida frente a las amenazas actuales.