Si te has topado con archivos con extensión rara y una nota de rescate en el escritorio, la respuesta corta es: no pagues todavía. Antes de sacar la cartera, toca recuperar archivos ransomware por vías gratuitas y probadas, porque proyectos como No More Ransom ofrecen herramientas descifrar para decenas de familias de malware conocidas. Desencriptar ransomware sin pagar es posible en una parte relevante de los casos, sobre todo si actúas rápido y no sobrescribes nada. Vamos a ver cómo recuperar datos cifrados paso a paso, sin regalarle un euro a nadie que se dedique a esto.
Lo primero: desconecta, no apagues, no borres nada
El pánico hace que la gente haga justo lo que no debe. Apagar el equipo de golpe puede perder datos en memoria útiles para el análisis forense. Formatear el disco, directamente, mata cualquier opción de recuperación.
- Desconecta el equipo de la red (cable o WiFi) para frenar el cifrado en curso y evitar que salte a otros dispositivos.
- No reinicies el sistema salvo que el ransomware siga activo cifrando en tiempo real.
- No instales nada encima, ni siquiera un antivirus nuevo, hasta hacer una copia bit a bit del disco afectado.
- Fotografía la nota de rescate y guarda un archivo cifrado de muestra: los identificarás después.
Si el equipo forma parte de una red de empresa, aísla también los NAS y unidades compartidas. El ransomware moderno busca activamente recursos de red antes de empezar a cifrar en serio.
Identifica la familia de ransomware antes de mover un dedo
No todos los ransomware son iguales, y saber cuál te ha tocado condiciona todo lo que viene después. Sube un archivo cifrado (nunca uno con datos sensibles) y la nota de rescate a ID Ransomware (id-ransomware.malwarehunterteam.com) o al identificador integrado en No More Ransom.
Estas plataformas comparan la extensión, la estructura del archivo y el texto de la nota contra una base de datos de cientos de familias conocidas. En paralelo, sube también una muestra del ejecutable sospechoso (si lo localizas) a VirusTotal para ver qué motores lo detectan y con qué nombre.
Esto importa porque algunas familias —GandCrab, TeslaCrypt o algunas variantes tempranas de Conti— tienen fallos de implementación conocidos que investigadores de seguridad han explotado para liberar descifradores gratuitos. Otras, como las versiones bien hechas de LockBit 3.0 o BlackCat, usan cifrado asimétrico correctamente implementado y ahí no hay atajo técnico posible.
No More Ransom: el catálogo gratuito que deberías mirar primero
No More Ransom es una iniciativa conjunta de Europol, la policía neerlandesa, Kaspersky y McAfee, activa desde 2016, con más de 160 herramientas de descifrado gratuitas para más de 170 familias de ransomware. Según estimaciones de la propia iniciativa, el proyecto ha evitado que las víctimas paguen cientos de millones de euros en rescates acumulados desde su lanzamiento.
El proceso en la práctica:
- Entra en nomoreransom.org y usa el "Crypto Sheriff" subiendo dos archivos cifrados.
- Si hay coincidencia, te dirige al descifrador específico, normalmente alojado por el laboratorio que lo desarrolló (Emsisoft, Kaspersky, Avast...).
- Descarga la herramienta solo desde el enlace oficial de No More Ransom, nunca de un foro o un resultado de búsqueda patrocinado.
- Ejecútala primero sobre una copia de los archivos, nunca sobre los originales.
Emsisoft mantiene además su propio repositorio de descifradores (decrypter.emsisoft.com) que se solapa parcialmente con No More Ransom pero a veces añade herramientas antes de que se sincronicen. Merece la pena mirar los dos.
Cuando no hay descifrador: copias de seguridad y Shadow Copies
Si tu familia de ransomware no tiene descifrador público, la partida se juega en las copias de seguridad. Y aquí hay más opciones de las que crees, incluso sin backup externo.
| Fuente | Qué comprobar |
|---|---|
| Copias de seguridad externas | Discos externos, NAS, backup en la nube (si no estaban conectados durante el ataque) |
| Shadow Copies de Windows | Si el ransomware no las borró, herramientas como ShadowExplorer las recuperan |
| Historial de versiones de la nube | OneDrive, Google Drive y Dropbox guardan versiones anteriores de cada archivo sincronizado |
| Recuperación de archivos borrados | Algunos ransomware cifran una copia y borran el original sin sobrescribir el disco |
Sobre las Shadow Copies: la mayoría de familias de ransomware serias las eliminan con vssadmin delete shadows como uno de sus primeros pasos, así que no te hagas ilusiones desmedidas. Pero comprobarlo lleva cinco minutos y a veces el atacante se lo dejó a medias.
Para el punto de "recuperación de borrados", herramientas forenses como PhotoRec o Recuva pueden rescatar el original si el ransomware creó una copia cifrada y eliminó el archivo original sin sobrescribir el sector. Cuanto menos uses el disco mientras tanto, más opciones tienes: cada escritura reduce la probabilidad de éxito.
¿Y si al final decides pagar?
La recomendación de la mayoría de fuerzas de seguridad —incluida la Europol detrás de No More Ransom— es no pagar. No hay garantía de recibir la clave, financias directamente al grupo criminal para su próximo ataque, y en algunos países pagar a determinados grupos sancionados puede acarrear implicaciones legales.
Dicho esto, la realidad de una empresa sin backups y con datos críticos cifrados a veces empuja a esa decisión. Si llegas ahí:
- Negocia siempre a través de un intermediario especializado, nunca directamente como particular.
- Exige una prueba de descifrado sobre un archivo de muestra antes de transferir nada.
- Denuncia el incidente ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil) y notifícalo a la AEPD si hay datos personales afectados, dentro del plazo de 72 horas que marca el RGPD.
Si el incidente afecta a una empresa, este es también el momento de revisar la política de copias de seguridad y de cifrar archivos y carpetas de forma preventiva, además de repasar cómo entró el ransomware la primera vez: un adjunto de phishing, un RDP mal protegido o, cada vez con más frecuencia, un pendrive infectado conectado sin comprobar.
Blindarte para que no vuelva a pasar
La recuperación es reactiva. La prevención es donde de verdad se gana o se pierde esta partida. Tres frentes concretos:
- Copia 3-2-1: tres copias, en dos soportes distintos, una de ellas fuera de línea o inmutable. Un backup conectado permanentemente a la red se cifra igual que el resto.
- Contraseñas robustas y únicas en accesos remotos (RDP, VPN), verificadas con un verificador de seguridad de contraseñas antes de darlas por buenas.
- Filtrado de correo agresivo, porque el phishing sigue siendo la puerta de entrada más común del ransomware. Aquí es donde entra MataSpam sin sonrojarse: si el archivo malicioso no llega a la bandeja de entrada, no hay nada que cifrar.
Si gestionas la seguridad de una empresa, este también es buen momento para revisar la infraestructura completa (web, apps, hosting) con un partner que entienda de posicionamiento SEO y de WordPress profesional bien asegurado, porque un CMS desactualizado es otra puerta abierta de par en par.
Preguntas frecuentes
¿Se pueden recuperar archivos cifrados por ransomware sin pagar?
En muchos casos sí, mediante descifradores gratuitos de No More Ransom, copias de seguridad o Shadow Copies no eliminadas. Depende de la familia de ransomware y de si tenías backups fuera de línea.
¿Qué es No More Ransom y quién lo gestiona?
Es un proyecto conjunto de Europol, la policía neerlandesa y empresas de ciberseguridad como Kaspersky y McAfee, activo desde 2016. Ofrece herramientas de descifrado gratuitas y un identificador de ransomware.
¿Es seguro pagar el rescate si no hay otra opción?
No hay garantía de recibir la clave de descifrado tras pagar, y financia al grupo atacante. Las autoridades recomiendan explorar todas las alternativas gratuitas primero y denunciar el incidente.
¿Cuánto tiempo tengo antes de que sea imposible recuperar los archivos?
Cuanto menos uses el disco cifrado, más opciones conservas, especialmente si buscas recuperar originales borrados. No hay un plazo fijo, pero actuar en las primeras horas mejora notablemente las probabilidades.
¿El ransomware puede volver a cifrar los archivos ya recuperados?
Sí, si el sistema sigue infectado. Antes de restaurar cualquier archivo hay que limpiar el equipo por completo o, mejor, reinstalar el sistema desde cero.
El siguiente paso
Sube ahora mismo un archivo cifrado de muestra al identificador de No More Ransom (nomoreransom.org) para saber si tu caso tiene descifrador gratuito antes de tomar cualquier otra decisión.
