Ransomware en pymes: qué puertas cerrar primero para proteger tu negocio

El ransomware en pequeñas empresas españolas ha dejado de ser un problema exclusivo de bancos y multinacionales. Aunque los datos específicos de 2026 para Brasil muestran ya más víctimas públicas que en todo 2025, la tendencia es global y afecta también a las pymes. La mayoría de los ataques no requiere técnicas sofisticadas. Esta guía muestra, con datos verificados, por dónde están entrando los grupos y qué debe cerrar primero una pyme, esta semana, con el presupuesto que tiene.

TL;DR

• Según los datos de Ransomware.live, Brasil registró 203 víctimas en sitios de filtración entre enero y el 18 de octubre de 2026, frente a 149 en todo el año 2025.
• El segundo semestre cambió de nivel: de 13 a 19 víctimas por mes en el primer semestre a 26 a 29 por mes de julio a octubre.
• Las puertas de entrada se repiten: vulnerabilidad sin parchear (32% de los ataques en el informe de Sophos), credencial robada (23%) y acceso remoto expuesto, como VPN y RDP sin MFA.
• El orden correcto para una pyme es: MFA en todo acceso remoto, firewall/VPN actualizados, RDP fuera de internet, copia de seguridad offline probada y un plan de respuesta de una página.
• Comprar otra herramienta antes de implementar estos cinco puntos es gastar dinero en el lugar equivocado.

Qué muestran los números de 2026 sobre Brasil

Antes de cualquier recomendación sobre ransomware en pequeñas empresas, los datos. Y con una precaución que casi nadie tiene al citar estadísticas de ransomware.

El Ransomware.live es un proyecto que monitoriza los sitios de filtración de los grupos criminales y registra cada víctima que anuncian. Consulté la serie de Brasil el 18 de octubre de 2026:

Mes (2026)	Víctimas en Brasil
Enero	19
Febrero	14
Marzo	15
Abril	16
Mayo	13
Junio	16
Julio	28
Agosto	29
Septiembre	27
Octubre (hasta el día 18)	26

Dos hechos saltan a la vista de la tabla. Primero, el acumulado de 2026 (203) ya superó el año completo de 2025 (149) con dos meses y medio por delante. Segundo, octubre, con 18 días, ya iguala a meses completos del semestre anterior.

La secuencia de aumentos y por qué cambian los números

Los balances mensuales publicados por la prensa reportaron un aumento tras otro: 23 víctimas en junio, 26 en julio, 27 en agosto y 31 en septiembre. Fue el tercer mes consecutivo de aumento. En septiembre, según el estudio de Cohesity basado en Ransomware.live, Brasil subió de la sexta a la tercera posición mundial y fue el único país, entre los ocho más atacados, en crecer. En el mismo período, el total global cayó de 1.212 a 881 víctimas.

Observe que estos números no coinciden con la tabla anterior. No es un error. La base se reprocesa: un anuncio puede ser fechado de nuevo, eliminado o atribuido a otro mes. Por eso, cite siempre la fecha de la consulta. Y recuerde que el número mide víctimas anunciadas, no ataques. Quien paga en silencio no aparece. El número real es mayor.

Quién está atacando y quién está siendo atacado

En 2026, los grupos con más víctimas brasileñas en Ransomware.live son The Gentlemen (33), LockBit 5 (23), Inc Ransom (11), Qilin y Krybit (8 cada). Los sectores más afectados son servicios profesionales (36), industria (32), tecnología (27) y salud (20).

Servicios profesionales son despachos de contabilidad, abogacía, ingeniería y consultoría. En otras palabras: el retrato del ransomware en pequeñas empresas españolas es una firma de diez a cincuenta personas, con un servidor de archivos y un acceso remoto para trabajar desde casa.

Por qué el ransomware en pequeñas empresas se ha convertido en el objetivo preferido

La idea de que "nadie va a atacar una empresa de mi tamaño" parte de una premisa errónea: la de que alguien te elige. En la mayoría de los casos, nadie elige. Un robot escanea internet en busca de una VPN vulnerable o de una contraseña filtrada, y tu empresa aparece en la lista.

El informe trimestral de Coveware by Veeam del segundo trimestre de 2026 muestra que el 18,2% de las víctimas atendidas tenían entre 11 y 100 empleados. La mediana del rescate pagado fue de 150.000 US$. Convertido al tipo de cambio actual, esto supera con creces el medio millón de euros, antes de contar días de inactividad, multas contractuales y clientes perdidos.

El ransomware en pequeñas empresas también es más lucrativo de lo que parece para el criminal por tres motivos prácticos:

• Defensa más débil. No hay equipo de seguridad, y muchas veces ni siquiera hay alguien de TI fijo. El "chico de TI" es un tercero que aparece cuando algo se rompe.
• Dependencia total de pocos sistemas. Si el servidor de archivos y el ERP se detienen, la empresa se detiene. Esto aumenta la presión para pagar.
• Doble extorsión. Hoy, el grupo copia los datos antes de cifrar. En Coveware, la exfiltración apareció en 76% de los casos. Incluso quien tiene copia de seguridad es amenazado con la publicación de datos de clientes.

En el informe de Sophos, con 3.400 empresas de 17 países, el coste medio de recuperación, sin contar el rescate, fue de 1,53 millones de US$. Es una media impulsada por empresas grandes, pero muestra el orden de magnitud: la recuperación cuesta más que la prevención, siempre.

Puerta de entrada nº 1: credenciales filtradas y contraseñas débiles

La forma más barata de iniciar un ataque de ransomware en pequeñas empresas es entrar por la puerta principal, con usuario y contraseña reales.

Sophos señala las credenciales comprometidas como causa del 23% de los ataques. Coveware registró que, en el segundo trimestre de 2026, el uso de credenciales robadas volvió a subir, mientras que el phishing y la ingeniería social retomaron el liderazgo. Ambas cosas van de la mano: el phishing roba la contraseña, la contraseña abre la VPN.

De dónde vienen estas contraseñas

• Infostealers. Son virus que roban las contraseñas guardadas en el navegador de un ordenador infectado, a menudo el portátil personal del empleado donde también abre el correo electrónico de la empresa.
• Filtraciones de otros servicios. El empleado usa la misma contraseña en el e-commerce que se filtró y en la VPN de la empresa.
• Fuerza bruta. Robots probando combinaciones. La consultora S-RM observó al grupo The Gentlemen realizando ataques de fuerza bruta en VPNs donde el MFA no estaba habilitado.

En los servidores Linux que administramos, los intentos de inicio de sesión automatizados en SSH llegan todos los días, sin excepción, incluso en servidores que nadie conoce. No es un ataque dirigido. Es ruido de fondo de internet, y solo funciona contra quien dejó la puerta abierta.

Qué cerrar

1. MFA (autenticación de dos factores) en todo acceso remoto: VPN, correo electrónico, panel de hosting, ERP en la nube, cuentas de administrador. Detallé los métodos y qué evitar en la guía de autenticación de dos factores en la empresa.
2. Fin de cuentas genéricas y compartidas ("financiero", "admin", "soporte"). Cada persona con su usuario.
3. Desactivación el mismo día en que alguien deja la empresa. Una cuenta de ex-empleado activa es una de las puertas más comunes en incidentes pequeños.
4. Gestor de contraseñas corporativo, para que nadie necesite reutilizar contraseñas.

Cuando no es suficiente: el MFA por SMS sigue siendo mejor que nada, pero no protege contra el fraude de intercambio de SIM ni contra el empleado que aprueba una notificación sin leer. Para cuentas de administrador, use una aplicación autenticadora o una clave física.

Puerta de entrada nº 2: acceso remoto mal configurado

Desde la pandemia, casi toda pyme abrió algún tipo de acceso remoto. Muchas lo hicieron de la forma más rápida, y no de la más segura. Es la segunda gran puerta del ransomware en pequeñas empresas españolas.

RDP expuesto en internet

El RDP es el acceso remoto nativo de Windows. Dejar su puerto abierto a internet, para que "el contable acceda desde casa", es prácticamente invitar a un ataque. Blackpoint incluye el RDP expuesto entre los vectores de The Gentlemen. La regla es simple: el RDP nunca debe estar directamente en internet. Siempre detrás de una VPN con MFA o de un gateway de acceso.

VPN y firewall perimetral

Aquí reside el problema más subestimado. El equipo que debería proteger a la empresa se convierte en la puerta de entrada.

Dos casos recientes ilustran:

• SonicWall y el grupo Akira (2025). Entre julio y octubre de 2025, Akira invadió empresas a través de la SSL VPN de firewalls SonicWall, explotando la vulnerabilidad CVE-2024-40766, ya corregida hacía casi un año. El Centro Canadiense de Ciberseguridad emitió una alerta. Un detalle que todo gestor debería recordar: muchas víctimas habían migrado de firewall sin cambiar las contraseñas de las cuentas locales. El equipo era nuevo, las credenciales eran viejas.
• FortiGate y The Gentlemen (2026). El grupo que más víctimas ha causado en Brasil este año tiene como vector principal, según análisis de mercado, la vulnerabilidad CVE-2024-55591 de FortiOS, que permite eludir la autenticación. Fortinet publicó la corrección en enero de 2025.

Observe el patrón: vulnerabilidades conocidas y corregidas, explotadas meses o años después.

Qué cerrar

• Inventario de lo que está expuesto. Liste todo lo que responde desde internet: VPN, RDP, panel del firewall, cámaras, NAS, servidor de correo electrónico. Si no lo sabe, es la primera tarea.
• Panel administrativo del firewall cerrado a internet. Gestión solo por la red interna o por IP autorizado.
• Cuentas locales de la VPN revisadas. Borre las que nadie usa. Cambie la contraseña de todas después de cualquier migración o incidente.
• Geobloqueo y límite de intentos, cuando el equipo lo permita. No lo resuelve por sí solo, pero elimina gran parte del ruido.

Puerta de entrada nº 3: vulnerabilidades antiguas sin parchear

En Sophos, la explotación de vulnerabilidades fue la causa técnica nº 1 por tercer año consecutivo, con el 32% de los ataques. No se trata de una vulnerabilidad nueva, desconocida, digna de película. Es un sistema antiguo que nadie actualizó, el escenario más común del ransomware en pequeñas empresas españolas.

En pymes, las vulnerabilidades antiguas suelen residir en cuatro lugares:

Dónde está	Ejemplo típico	Por qué queda sin parchear
Firewall y VPN	Firmware de hace dos años	"Si se actualiza, puede caerse internet"
Servidor Windows	Windows Server fuera de soporte	El ERP antiguo "solo funciona en él"
Sistemas web	WordPress, Moodle o PHP desactualizados	Nadie es responsable del mantenimiento
Equipos olvidados	NAS, cámaras, impresoras	Nadie recuerda que están encendidos

La agencia estadounidense CISA mantiene el catálogo de vulnerabilidades explotadas activamente. Es la mejor regla de prioridad para una pyme: si la vulnerabilidad está en esta lista y su equipo tiene esa vulnerabilidad, la corrección se convierte en una urgencia, no en un "elemento para el mes que viene".

Cómo hacerlo sin detener la empresa

• Ventana fija de actualización, por ejemplo, todos los martes por la noche, con aviso previo.
• Prioridad para lo que está en el perímetro. Firewall, VPN y servidores expuestos primero; estaciones internas después.
• Plan para lo que no puede ser actualizado. Si el sistema legado necesita un Windows antiguo, aísle esa máquina en una red separada, sin acceso a internet y sin acceso remoto directo.

En nuestro día a día con hosting gestionado y servidores Moodle, la regla es la misma: la actualización de seguridad tiene fecha marcada y no depende de que alguien se acuerde. Ya escribí el paso a paso para servidores en el checklist de hardening de servidor Linux.

Qué cerrar primero contra el ransomware en pequeñas empresas

Toda lista de seguridad tiene cuarenta elementos. Una pyme no hace cuarenta elementos. Hace cinco, bien hechos. Este es el orden que recomiendo para reducir el riesgo de ransomware en pequeñas empresas con el menor coste:

1. MFA en todo acceso remoto y en todas las cuentas de administrador. Coste bajo o cero, efecto inmediato. Corta la mayor parte de los ataques por credenciales.
2. Firewall y VPN actualizados, con panel cerrado a internet. Una tarde de trabajo de un técnico. Corta la puerta que los grupos más activos en Brasil están usando.
3. RDP fuera de internet. Muchas veces es solo cerrar una regla de firewall.
4. Copia de seguridad con la regla 3-2-1, con una copia offline o inmutable, y restauración probada. Tres copias, en dos tipos de medios, una fuera del alcance de la red. La copia de seguridad que se guarda en el mismo servidor o en un recurso compartido accesible por la red será cifrada junto.
5. Plan de respuesta de una página. Quién apaga qué, quién llama a quién, dónde está la copia de seguridad, quién habla con los clientes.

Cuándo NO gastar dinero todavía

El error más caro en el combate al ransomware en pequeñas empresas es comprar herramientas antes de arreglar lo básico.

• No compre antivirus "de última generación" antes del punto 1. La herramienta no ayuda si el criminal entra con la contraseña del gerente.
• No contrate un SOC 24h (centro de monitorización continua) si aún no sabe lo que está expuesto en internet. Monitorizar un entorno desorganizado genera alertas que nadie lee.
• No confíe en una copia de seguridad que nunca ha sido restaurada. Sophos registró que la recuperación por copia de seguridad está en su nivel más bajo en seis años. Muchas copias de seguridad solo existen en papel.

Sobre la copia de seguridad, el razonamiento que usamos para instituciones educativas vale para cualquier empresa. Está detallado en copia de seguridad de Moodle: la rutina que salva a la institución.

Si el ataque ocurre: las primeras 72 horas

Incluso con todo esto, el riesgo de ransomware en pequeñas empresas nunca llega a cero. La diferencia está en perder un día o perder un mes.

En las primeras horas

• Aísle, no apague todo por impulso. Desconecte las máquinas afectadas de la red (cable y Wi-Fi). Apagar puede borrar evidencias que ayudan a entender la intrusión.
• No borre nada y no formatee. La nota de rescate, los archivos cifrados y los registros son prueba.
• Cambie las contraseñas de administrador desde una máquina limpia.
• Confirme que la copia de seguridad offline está íntegra antes de empezar a restaurar.

La obligación con la AEPD

Si hubo acceso a datos personales con riesgo relevante para los titulares, el Reglamento General de Protección de Datos (RGPD) y la AEPD (Agencia Española de Protección de Datos) exigen comunicar a la AEPD y a los titulares en un plazo de 72 horas desde que se tiene constancia del incidente. Todo incidente, comunicado o no, debe quedar registrado por al menos cinco años. Con doble extorsión, casi todo ataque de ransomware implica datos personales.

Pagar o no pagar

Para el ransomware en pequeñas empresas no existe una respuesta única, pero sí hay hechos. Pagar no garantiza la devolución ni la confidencialidad de los datos. En Sophos, la proporción de víctimas que pagaron y recuperaron los datos cayó al 49%. En Coveware, la tasa de pago alcanzó el nivel más bajo registrado en el segundo trimestre de 2026, señal de que más empresas están logrando recuperarse sin pagar. Quien tiene una copia de seguridad offline probada decide con calma. Quien no la tiene, decide bajo presión.

Cómo Agathas Web resuelve esto

Lo que más encontramos al evaluar el riesgo de ransomware en pequeñas empresas no es falta de herramientas. Es falta de propietario: nadie es responsable de saber qué está expuesto, qué está desactualizado y si la copia de seguridad funciona. Es exactamente esto lo que ofrecemos en la consultoría tecnológica de Agathas Web, en el modelo de CTO as a Service.

Qué incluye

• Mapeo de la superficie expuesta: qué responde desde internet en nombre de su empresa (VPN, RDP, firewall, sitios web, correo electrónico, paneles).
• Revisión de accesos: cuentas sin MFA, cuentas compartidas, ex-empleados activos, contraseñas estándar en equipos.
• Plan de corrección priorizado, en el orden de este artículo, con lo que hacer esta semana, este mes y este trimestre, y con estimación del esfuerzo de cada elemento.
• Revisión de la copia de seguridad con una prueba real de restauración, no solo la verificación del informe verde.
• Plan de respuesta de una página, incluyendo la hoja de ruta de comunicación a la AEPD.

Cómo funciona en la práctica

Comenzamos con una conversación para entender el entorno y el riesgo real de ransomware en pequeñas empresas de su tamaño. A continuación, realizamos el levantamiento con acceso controlado y entregamos un informe en lenguaje de gestor, no de técnico. La ejecución puede quedar a cargo de su equipo, de su proveedor actual o nuestra: en los servidores, en el hosting gestionado y en los sistemas que ya mantenemos (Moodle, sitios web, integraciones con la API oficial de WhatsApp), las correcciones entran en la rutina de mantenimiento.

Cómo contratar

El primer paso es agendar una conversación a través de la página de consultoría. En ella, evaluamos si tiene sentido un diagnóstico puntual o un seguimiento mensual. Para quien ya sufrió un incidente, la prioridad cambia: contener, restaurar y solo después prevenir.

Conclusión: el ransomware en pequeñas empresas es un problema de prioridad

Los números de 2026 dejan claro que Brasil está en el radar de los grupos de ransomware, y que las víctimas se parecen mucho a su empresa: despachos, industrias, empresas de tecnología y clínicas. La buena noticia es que las puertas de entrada son conocidas. Las credenciales sin MFA, el acceso remoto abierto y los equipos sin actualizar son responsables de la mayor parte de los casos. Ninguno de estos elementos exige un presupuesto de multinacional.

Cierre las puertas que más facilitan el ransomware en pequeñas empresas en el orden correcto, pruebe la copia de seguridad y escriba el plan de respuesta antes de necesitarlo. Si no tiene quien realice este trabajo internamente, hable con la consultoría de Agathas Web y empiece por el diagnóstico de lo que está expuesto hoy.