Cuando las Pantallas se Apagan: 6 Reglas para un Plan contra Ciberataques Antes de que el Ransomware Pare tu Empresa

La mañana del 1 de septiembre de 2025, Jaguar Land Rover apagó sus sistemas informáticos y, con ellos, sus fábricas de Solihull, Halewood y Wolverhampton. Las plantas estuvieron paradas unas cinco semanas. La compañía contabilizó después 196 millones de libras de costes directos ligados al ataque, el Gobierno británico concedió un aval de 1.500 millones de libras para proteger a la cadena de suministro y el Cyber Monitoring Centre estimó el coste total para la economía del Reino Unido en unos 1.900 millones de libras, el ciberincidente más dañino de la historia del país.

Cuatro meses antes, Marks & Spencer había vivido su propia versión. Durante el fin de semana de Pascua de 2025, los atacantes entraron en sus sistemas y M&S suspendió los pedidos online durante unas siete semanas. La empresa avisó de que el incidente le costaría alrededor de 300 millones de libras de beneficio operativo.

Ninguna de las dos era pequeña, descuidada ni falta de recursos. Un ciberataque ya no es un incidente informático; es un incidente operativo que decide si la semana que viene puedes servir, facturar y pagar las nóminas. Nuestro grupo lleva gestionando empresas desde 1890, hoy en ocho sectores y más de 75 países, y la lección de estos casos es la misma que aplicamos a incendios, inundaciones y retiradas de producto: el plan tiene que existir antes de la crisis, escrito por quienes tendrán que ejecutarlo. Estas son las seis reglas que pondría en marcha antes de que las pantallas se apaguen.

Por qué los empresarios subestiman el coste operativo de un ciberataque

La mayoría de los empresarios imaginan un ciberataque como un problema de datos: archivos robados, una carta incómoda a los clientes, una multa. El ransomware moderno es otra cosa. Los atacantes cifran los sistemas que hacen funcionar el propio negocio: pedidos, gestión de almacén, planificación de producción, nóminas, correo electrónico.

El rescate rara vez es el mayor coste. El mayor coste es la parada. Coveware, una firma de respuesta a incidentes que sigue los casos de ransomware, lleva años registrando paradas medias de unas tres semanas por incidente. Tres semanas sin facturar son un problema de circulante para casi cualquier empresa.

• Los ingresos se detienen en cuanto no puedes recibir ni servir pedidos.
• Los costes siguen: salarios, alquileres, servicio de la deuda y proveedores que esperan cobrar.
• Los clientes se van: un distribuidor que no recibe tu producto durante un mes buscará a otro, y algunos no vuelven.

Mide el riesgo en semanas de margen bruto perdido, no en el importe del rescate. Esa cifra debe estar en el informe del consejo, junto a los covenants bancarios.

Regla 1: Identifica lo que no puede pararse, en términos de negocio

Empieza por la operación, no por la tecnología. Hazle una pregunta a cada responsable: si mañana se apagaran todos los ordenadores del edificio, ¿qué tendríamos que seguir haciendo y cómo?

En una bodega la respuesta no es la misma que en un hotel o en una empresa de instalaciones eléctricas. La vendimia no espera. Los huéspedes siguen llegando con su reserva. Una cuadrilla sigue necesitando saber a qué obra ir el lunes. El resultado de este ejercicio es una lista corta de procesos críticos, cada uno con un responsable y una parada máxima tolerable medida en horas o días.

Es la misma disciplina que describí en nuestro artículo sobre el riesgo de proveedor único: encontrar el punto en el que un solo fallo lo detiene todo y decidir de antemano cuál es la alternativa.

Regla 2: Guarda una copia de todo que el atacante no pueda alcanzar

La regla 3-2-1 es el consejo más antiguo sobre copias de seguridad: tres copias de los datos, en dos soportes distintos, una de ellas fuera de la empresa. Frente al ransomware hay que añadir una condición. Al menos una copia debe estar desconectada o ser inmutable, porque los atacantes buscan primero tus copias de seguridad y las cifran o borran antes de lanzar el ataque.

Maersk lo aprendió en 2017, cuando el malware NotPetya borró su red y paralizó terminales de contenedores en todo el mundo. Según contó Wired, la compañía reconstruyó miles de servidores y decenas de miles de ordenadores en unos diez días, pero su recuperación dependió de un único controlador de dominio en Ghana que estaba desconectado por un corte de luz. Maersk cifró el coste total entre 250 y 300 millones de dólares. Una copia que sobrevive por suerte no es un plan.

Dos pruebas prácticas:

• Restaura algo cada trimestre, de principio a fin, y cronométralo. Una copia que nunca has restaurado es una esperanza, no una copia.
• Pregunta quién puede borrar las copias. Si la respuesta es "cualquiera con la contraseña de administrador", una sola contraseña robada acaba con tu recuperación.

Regla 3: Escribe en papel el manual de las primeras 72 horas

Cuando la red está caída, tu plan no puede vivir en la red. Imprímelo. Guarda copias en la caja fuerte de la oficina y en casa de las personas que dirigirán la respuesta.

Las primeras 72 horas deciden la mayor parte del coste, y nadie toma buenas decisiones mientras busca un número de teléfono. El manual debe caber en pocas páginas:

• Quién decide: un responsable del incidente y un suplente, con autoridad para apagar sistemas sin esperar a una reunión.
• Primeras acciones: aislar los equipos infectados, desconectar de internet si hace falta, preservar las pruebas y no borrar nada todavía.
• A quién llamar: tu empresa de respuesta a incidentes, la línea de tu aseguradora, tu abogado, tu banco y las autoridades (en España, la línea 017 de INCIBE; en Estados Unidos, el FBI).
• Teléfonos en papel: personal clave, principales clientes, proveedores críticos y el proveedor informático, porque tu correo y tus contactos pueden estar cifrados.

Regla 4: Decide tu postura sobre el rescate antes de que nadie esté bajo presión

Pagar o no es una decisión de negocio que se toma en las peores condiciones posibles: sistemas caídos, equipo nervioso y una cuenta atrás en la pantalla. Define el marco de decisión con antelación, con tu consejo o tu consejo de familia, mientras todos están tranquilos.

Los hechos que hay que poner sobre la mesa: el FBI desaconseja pagar; pagar no garantiza recibir claves de descifrado que funcionen ni que se borren los datos robados; y en Estados Unidos, la Oficina de Control de Activos Extranjeros del Tesoro (OFAC) ha advertido de que pagar a un grupo sancionado puede ser en sí mismo una infracción. Algunas jurisdicciones ya prohíben pagar a los organismos públicos.

La postura más sólida no es "nunca pagar" ni "pagar siempre"; es una capacidad de recuperación tan buena que pagar no sea necesario. Por eso la Regla 2 va primero.

Regla 5: Lee la póliza de ciberseguro antes de necesitarla

"¿Tenía JLR un ciberseguro?" se convirtió en una de las preguntas más buscadas sobre el ataque, después de que se publicara ampliamente que la compañía no tenía una póliza de ciberriesgos en vigor cuando fue atacada. El seguro no evita un ataque, pero puede pagar el equipo de respuesta, el análisis forense y parte de los ingresos perdidos.

Revisa tres cosas de la póliza con tu corredor antes de la renovación:

• Qué cubre: interrupción del negocio, extorsión, restauración de datos, costes legales y de notificación, y el periodo de carencia antes de que empiece la cobertura por interrupción.
• Qué exige la aseguradora: muchas pólizas piden ya doble factor de autenticación, copias desconectadas y protección de equipos. Si no los tienes, pueden rechazar el siniestro.
• Qué equipo de respuesta debes usar: la mayoría de las pólizas incluyen una lista de firmas aprobadas. Pon ese teléfono en el manual en papel.

Una póliza que nunca has leído es una prima, no una protección.

Regla 6: Ensáyalo una vez al año, con el equipo directivo en la sala

Los planes fallan en las juntas entre personas. Un simulacro de mesa, dos o tres horas con un moderador que lleva al equipo directivo por un escenario realista, revela esas juntas a bajo coste: el directivo que no sabe que tiene autoridad, el contrato de proveedor que nadie encuentra, la comunicación al cliente que nadie aprobó.

Hazlo como el marco de crisis que usamos ante cualquier disrupción grave: un responsable, funciones claras, un ritmo fijo de actualizaciones y comunicación honesta con empleados y clientes. Comunica pronto, di lo que sabes y lo que no, y nunca prometas una fecha de reapertura que no puedas cumplir. Tanto M&S como JLR publicaron actualizaciones periódicas para clientes y proveedores durante sus paradas, y ese es el estándar a copiar.

Después de cada simulacro, actualiza el manual y la lista de procesos críticos. Las empresas cambian; los planes que no cambian con ellas se convierten en ficción.

Puntos Clave

• Un ataque de ransomware es un incidente operativo: el mayor coste son semanas de parada, no el rescate.
• Identifica los procesos críticos en términos de negocio, cada uno con responsable y parada máxima tolerable.
• Mantén al menos una copia de seguridad desconectada o inmutable y demuestra cada trimestre que puedes restaurarla.
• Imprime un manual de 72 horas con autoridad para decidir, primeras acciones y teléfonos en papel.
• Acuerda con calma tu postura sobre el rescate; la mejor postura es no necesitar pagar.
• Lee tu póliza de ciberseguro, sus requisitos y sus firmas de respuesta aprobadas antes de renovarla.
• Ensaya una vez al año con el equipo directivo y actualiza el plan después de cada simulacro.

Preguntas Frecuentes

¿Qué hay que hacer primero tras un ataque de ransomware?

Aislar los sistemas afectados para que el ataque no se propague y llamar a tu proveedor de respuesta a incidentes y a la línea de tu aseguradora. No borres ni reinstales equipos todavía, porque necesitas las pruebas para saber cómo entraron los atacantes. Activa tu manual en papel para que un responsable con nombre tome el control.

¿Qué es la regla 3-2-1 frente al ransomware?

Mantener tres copias de los datos, en dos tipos de soporte distintos, con una copia guardada fuera de la empresa. Frente al ransomware, al menos una copia debe estar además desconectada o ser inmutable para que los atacantes no puedan cifrarla ni borrarla. Prueba las restauraciones con regularidad, porque una copia sin probar suele fallar cuando la necesitas.

¿Debe una empresa pagar el rescate?

Las fuerzas de seguridad, incluido el FBI, desaconsejan pagar porque financia a los delincuentes y no garantiza la recuperación ni el borrado de los datos robados. Pagar a un grupo sancionado también puede generar responsabilidad legal. En última instancia es una decisión de negocio, y por eso debe enmarcarse de antemano con el consejo, los abogados y la aseguradora.

¿Cuánto se tarda en recuperarse de un ataque de ransomware?

Firmas de respuesta a incidentes como Coveware han registrado paradas medias de unas tres semanas, y la recuperación completa de todos los sistemas puede llevar meses. Una gran empresa como Jaguar Land Rover necesitó unas cinco semanas para reanudar la producción. Las empresas con copias desconectadas probadas y un plan ensayado se recuperan mucho antes.

¿Cubre el ciberseguro el ransomware?

Muchas pólizas de ciberriesgos cubren la respuesta al incidente, la restauración de datos, los pagos por extorsión y la interrupción del negocio, pero las condiciones varían mucho. Las aseguradoras exigen cada vez más controles como el doble factor de autenticación y las copias desconectadas como condición de cobertura. Revisa las exclusiones y los periodos de carencia con tu corredor antes de tener que reclamar.

Empieza antes de necesitarlo

Todas las empresas de nuestro grupo tienen un plan contra incendios y nadie lo considera paranoia. Un plan contra ciberataques es la misma disciplina aplicada a los sistemas que hoy lo hacen funcionar todo, y cuesta una fracción de una sola semana de parada. Si quieres ver cómo construimos empresas pensadas para durar generaciones, descubre el grupo Manzanos Enterprises.