Este artículo forma parte de nuestra cobertura de ciberseguridad para pymes, donde repasamos las amenazas más relevantes y las recomendaciones oficiales para proteger tu negocio.
El ransomware se ha consolidado como una de las mayores amenazas para las pequeñas y medianas empresas españolas. Según los últimos datos del Instituto Nacional de Ciberseguridad (INCIBE), el organismo gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que el año anterior, y buena parte de ellos afectaron a pymes y autónomos que a menudo carecen de los recursos técnicos de una gran corporación para prevenir y responder a un ataque.
Los números del último informe de INCIBE
El balance anual de INCIBE arroja cifras que conviene conocer para entender la magnitud del problema:
- 122.223 incidentes de ciberseguridad gestionados en 2025, un 26% más que en 2024.
- 237.028 sistemas vulnerables detectados y notificados de forma proactiva por el organismo.
- 55.411 casos de malware (un 45% del total de incidentes), dentro de los cuales se registraron 392 ataques de ransomware confirmados.
- 45.445 casos de fraude online (37% del total), con el phishing como categoría líder dentro del fraude, con 25.133 casos.
- 3.849 incidentes de robo de datos por acceso no autorizado a sistemas.
Además, INCIBE destaca que un 85% de los dispositivos que forman parte de redes de bots (botnets) detectadas corresponden a dispositivos IoT (cámaras, routers, electrodomésticos conectados), lo que confirma que muchos ataques se apoyan en la falta de protección de dispositivos conectados que las pymes suelen pasar por alto.
Por qué las pymes son un objetivo prioritario
Los ciberdelincuentes han descubierto que las pequeñas empresas son un objetivo especialmente rentable: manejan datos de clientes y proveedores, dependen de sus sistemas informáticos para facturar y operar, y en muchos casos no cuentan con departamentos de IT dedicados ni copias de seguridad adecuadas. Esta combinación hace que una pyme afectada por ransomware tenga muchas más probabilidades de pagar el rescate para recuperar su actividad cuanto antes, lo que a su vez retroalimenta el atractivo de este tipo de ataques para los delincuentes.
A esto se suma que muchas pymes utilizan software desactualizado, contraseñas débiles o compartidas entre varios servicios, y no forman a su plantilla en la identificación de correos de phishing, que siguen siendo la puerta de entrada más habitual para el ransomware.
Cómo funciona un ataque de ransomware
El ransomware es un tipo de software malicioso que cifra los archivos de un equipo o de toda una red, haciendo que resulten inaccesibles, y exige el pago de un rescate (normalmente en criptomonedas) a cambio de la clave de descifrado. Los vectores de entrada más comunes son:
- Correos de phishing con archivos adjuntos infectados o enlaces a páginas fraudulentas que descargan el malware.
- Vulnerabilidades sin parchear en sistemas operativos, servidores o aplicaciones expuestas a internet.
- Accesos remotos mal protegidos, como escritorios remotos (RDP) con contraseñas débiles o sin autenticación en dos pasos.
- Dispositivos USB o memorias externas infectadas que se conectan a los equipos de la empresa.
- Software pirata o descargado de fuentes no oficiales, que puede llevar malware oculto.
Una vez dentro de la red, el ransomware suele intentar propagarse lateralmente a otros equipos y servidores antes de activar el cifrado, por lo que el tiempo de detección es crítico para limitar el daño.
Los recursos gratuitos de INCIBE para pymes
Una de las claves para protegerse es conocer que INCIBE pone a disposición de las empresas españolas, de forma completamente gratuita, varios servicios y herramientas específicas:
- Línea «Tu Ayuda en Ciberseguridad» (017): un servicio de atención telefónica confidencial y gratuito, disponible todos los días de 8:00 a 23:00, donde se puede recibir orientación personalizada ante un incidente o una duda de seguridad. Según INCIBE, casi la mitad de las consultas recibidas (49%) son de carácter preventivo, es decir, empresas que quieren protegerse antes de sufrir un problema.
- Servicio Antiransomware: asistencia especializada para empresas que ya han sido víctimas de un ataque de ransomware, con orientación sobre los pasos a seguir y, en algunos casos, herramientas de descifrado para variantes de ransomware ya identificadas.
- Decálogo de ciberseguridad para empresas: una guía con las diez medidas básicas que cualquier negocio debería aplicar, independientemente de su tamaño o sector.
- Herramienta «¿Conoces tus riesgos?»: un test de autoevaluación que ayuda a las empresas a identificar su nivel de exposición a distintos tipos de amenazas.
- Guía de supervisión de ciberseguridad para directivos no técnicos: pensada para que gerentes y responsables sin formación técnica puedan supervisar la seguridad digital de su empresa.
- Recursos específicos sobre RGPD para microempresas, ya que un incidente de seguridad suele llevar aparejadas obligaciones de notificación a la Agencia Española de Protección de Datos.
Medidas prácticas para proteger tu pyme
Más allá de los recursos oficiales, existen medidas concretas que cualquier pyme puede implementar con una inversión moderada:
- Copias de seguridad periódicas y externas: la medida más eficaz contra el ransomware es poder restaurar los datos sin pagar el rescate. Las copias deben guardarse en un lugar desconectado de la red principal (offline o en la nube con versionado) para que no puedan ser cifradas junto con el resto de archivos.
- Actualizaciones de software al día: mantener actualizados los sistemas operativos, antivirus y aplicaciones cierra las puertas que muchos ataques aprovechan.
- Autenticación en dos pasos (2FA) en el correo electrónico, los accesos remotos y las plataformas críticas del negocio.
- Formación básica de la plantilla para identificar correos de phishing: remitentes sospechosos, enlaces acortados, faltas de ortografía, urgencia injustificada o solicitudes de datos bancarios.
- Segmentación de la red, separando los equipos críticos (facturación, datos de clientes) de la red de invitados o de dispositivos IoT menos seguros.
- Un plan de respuesta ante incidentes, aunque sea sencillo, que indique a quién avisar, cómo aislar los equipos afectados y cuándo contactar con INCIBE o con las Fuerzas y Cuerpos de Seguridad del Estado.
Qué hacer si tu empresa ya ha sido atacada
Si a pesar de las medidas preventivas tu pyme sufre un ataque de ransomware, los expertos en ciberseguridad recomiendan seguir estos pasos:
- Aislar los equipos afectados desconectándolos de la red inmediatamente, para evitar que el ransomware se propague a otros sistemas.
- No pagar el rescate de forma automática: pagar no garantiza recuperar los datos y puede convertir a la empresa en un objetivo recurrente. Antes de considerar esa opción, conviene contactar con el servicio Antiransomware de INCIBE.
- Contactar con INCIBE a través de la línea 017 o su formulario de incidentes, ya que en algunos casos existen herramientas gratuitas de descifrado para variantes ya identificadas.
- Denunciar el incidente ante la Policía Nacional o la Guardia Civil, especialmente si ha habido robo de datos de clientes.
- Evaluar la obligación de notificar a la Agencia Española de Protección de Datos si el incidente ha afectado a datos personales, dentro del plazo de 72 horas que marca el RGPD.
- Restaurar los sistemas desde copias de seguridad limpias una vez confirmado que la amenaza ha sido eliminada por completo.
La directiva NIS2 y el nuevo marco normativo
La ciberseguridad empresarial también está cambiando desde el punto de vista normativo. La Unión Europea aprobó la Directiva NIS2, que amplía considerablemente el número de sectores y empresas obligadas a cumplir requisitos mínimos de ciberseguridad, incluyendo la notificación obligatoria de incidentes significativos. Aunque el grueso de las obligaciones más estrictas recae sobre empresas de sectores considerados críticos o de cierto tamaño, su transposición a la legislación española está elevando el nivel general de exigencia y puede afectar indirectamente a pymes que forman parte de la cadena de suministro de empresas obligadas, ya que estas últimas suelen trasladar requisitos de seguridad a sus proveedores.
El coste real de no invertir en ciberseguridad
Muchas pymes ven la ciberseguridad como un gasto prescindible, pero el coste de un incidente suele ser muy superior al de la prevención. Además del posible pago de un rescate, una empresa afectada por ransomware se enfrenta a días o semanas de paralización de su actividad, pérdida de confianza de clientes y proveedores, posibles sanciones por incumplimiento del RGPD si hay datos personales comprometidos, y el coste de recuperación de sistemas y datos. Para muchas pequeñas empresas, un ataque grave puede suponer una amenaza existencial para la continuidad del negocio, especialmente si no cuentan con copias de seguridad actualizadas.
Preguntas frecuentes
¿Es gratuita la ayuda de INCIBE para empresas?
Sí. La línea 017 «Tu Ayuda en Ciberseguridad», el servicio Antiransomware y las guías y herramientas de autoevaluación de INCIBE son completamente gratuitos para cualquier empresa o autónomo español.
¿Debo pagar el rescate si sufro un ataque de ransomware?
Los expertos y las autoridades desaconsejan pagar como primera opción: no garantiza la recuperación de los datos y puede fomentar futuros ataques. Lo recomendable es contactar primero con el servicio Antiransomware de INCIBE para valorar alternativas.
¿Qué es lo primero que debo hacer si detecto un ataque en curso?
Desconectar de inmediato el equipo o los equipos afectados de la red, para frenar la propagación, y contactar cuanto antes con un profesional de ciberseguridad o con INCIBE.
¿Las copias de seguridad en la nube protegen contra el ransomware?
Sí, siempre que cuenten con versionado (para poder recuperar versiones anteriores a la infección) y que el acceso esté protegido con autenticación en dos pasos, ya que algunas variantes de ransomware buscan también cifrar copias de seguridad conectadas de forma permanente.
¿Puedo financiar mejoras de ciberseguridad con el Kit Digital?
Sí. El programa Kit Digital incluye una categoría específica de soluciones de ciberseguridad, con bonos que pueden cubrir antivirus avanzados, copias de seguridad gestionadas y otras herramientas de protección para pymes y autónomos.
Cómo elegir las prioridades si tienes un presupuesto limitado
No todas las pymes pueden abordar todas las medidas de golpe. Si el presupuesto es limitado, los expertos coinciden en que el orden de prioridad debería ser: primero, copias de seguridad externas y probadas (de nada sirve una copia que no se ha verificado que funciona); segundo, autenticación en dos pasos en correo y accesos críticos; tercero, actualizaciones de software automatizadas; y cuarto, formación básica de la plantilla en detección de phishing. Estas cuatro medidas, combinadas, reducen drásticamente la probabilidad de sufrir un ataque exitoso y, sobre todo, limitan el daño si finalmente se produce.
Sectores más afectados por el ransomware en España
Aunque ningún sector está a salvo, los informes de ciberseguridad de los últimos ejercicios coinciden en señalar a algunos como especialmente afectados por el ransomware: el comercio minorista y la distribución, que manejan grandes volúmenes de datos de clientes y transacciones; el sector sanitario y de servicios profesionales, por la sensibilidad de la información que gestionan; la logística y el transporte, muy dependientes de sistemas informáticos para su operativa diaria; y las asesorías y despachos profesionales, que concentran datos fiscales y contables de múltiples clientes y son, por tanto, un objetivo especialmente atractivo para los atacantes. Si tu pyme opera en alguno de estos sectores, reforzar las medidas de ciberseguridad debería ser una prioridad todavía mayor.
El papel de los seguros de ciberriesgo
Un número creciente de pymes españolas está contratando pólizas de seguro específicas para ciberriesgos, que pueden cubrir desde los costes de recuperación de sistemas hasta la responsabilidad civil derivada de una filtración de datos de clientes, pasando por la pérdida de ingresos durante el tiempo de inactividad. Aunque un seguro no sustituye a las medidas de prevención, puede ser un complemento útil para las pymes que manejan datos sensibles o que dependen críticamente de sus sistemas informáticos para operar. Antes de contratar una póliza, conviene revisar qué exclusiones incluye, ya que algunas aseguradoras no cubren incidentes si la empresa no puede demostrar que contaba con unas medidas mínimas de seguridad, como copias de seguridad actualizadas o autenticación en dos pasos.
Resumen: proteger tu pyme frente al ransomware
El ransomware seguirá siendo una de las principales amenazas para las pymes españolas mientras estas sigan siendo un objetivo rentable y relativamente desprotegido para los ciberdelincuentes. Los datos de INCIBE confirman que los incidentes de ciberseguridad no dejan de crecer, pero también que existen recursos gratuitos y accesibles —la línea 017, el servicio Antiransomware, guías y herramientas de autoevaluación— que cualquier negocio puede aprovechar. Combinar estos recursos con medidas básicas como las copias de seguridad, la autenticación en dos pasos y la formación de la plantilla es, hoy por hoy, la defensa más eficaz y asequible frente al ransomware.