La protección contra el ransomware para las pequeñas empresas se basa en unos cuantos controles por capas: autenticación multifactor (MFA) en cada vía de acceso remoto, aplicación rápida de parches para vulnerabilidades conocidas que ya se están explotando, protección de endpoints en cada ordenador, control sobre qué herramientas de acceso remoto se pueden ejecutar y copias de seguridad offline que se hayan probado. El orden importa, y esta guía empieza con los controles que cierran los puntos de entrada más comunes.
En 2025, el FBI IC3 recibió 3.611 denuncias de ransomware con 32,3 millones de dólares en pérdidas declaradas, una cifra que no incluye el tiempo de inactividad, la pérdida de negocio ni los costes de recuperación. El Data Breach Investigations Report 2026 de Verizon también encontró ransomware en el 48 % de las brechas, frente al 44 % del año anterior.
Esta guía explica por qué los grupos de ransomware atacan a las pequeñas empresas, cómo entran los atacantes, qué protecciones debes implementar primero y qué hacer si se produce un ataque.
Por qué los grupos de ransomware atacan a las pequeñas empresas
Aunque las grandes empresas puedan parecer los objetivos más valiosos para los ataques de ransomware, las pequeñas empresas suelen ser más fáciles de atacar.
Las pequeñas empresas suelen carecer de la seguridad y la capacidad de respuesta de las organizaciones más grandes, lo que las convierte en objetivos tentadores para los ciberdelincuentes. Además, el ransomware dirigido a las pequeñas empresas ofrece más objetivos, lo que facilita atacar a varias víctimas rápidamente.
Por ejemplo, CISA y el FBI informan de que Akira ransomware se dirige principalmente a pequeñas y medianas empresas (pymes). En algunos incidentes de Akira, los atacantes robaron datos poco más de dos horas después del acceso inicial, un margen de tiempo en el que la mayoría de los equipos pequeños no tienen a nadie vigilando activamente.
Una vez que una pequeña empresa se ve afectada por un ransomware, está bajo presión para restaurarlo todo rápidamente. Cada momento en que la organización queda bloqueada sin acceso a sus propios datos y red es otro momento en que pierde negocio y dinero, por lo que necesita actuar rápido. Aunque pueda restaurar los datos perdidos mediante copias de seguridad, los atacantes a menudo pueden llevar a cabo una “doble extorsión” y robar los datos antes de cifrarlos, por lo que los datos confidenciales y de propiedad exclusiva aún pueden venderse o filtrarse.
Cómo entra el ransomware en la red de una pequeña empresa
Si quieres evitar los ataques de ransomware, el primer paso es entender cómo se producen. Hay varias formas en las que el ransomware puede acceder a la red de una empresa, entre ellas:
1. Contraseñas robadas y acceso remoto sin MFA
Sin MFA, una sola contraseña robada puede ser suficiente para que los atacantes entren. CISA informa de que los actores de Akira obtienen acceso a través de cuentas VPN que no están protegidas con autenticación multifactor y a través de Remote Desktop Protocol (RDP). Las contraseñas reutilizadas y las credenciales robadas mediante phishing hacen que esto sea más fácil. Las contraseñas seguras y únicas ayudan, pero TI debe aplicar MFA en todas las cuentas de acceso remoto para que una contraseña sola nunca sea suficiente.
2. Software y dispositivos sin actualizar
Los atacantes también explotan vulnerabilidades conocidas en sistemas operativos, aplicaciones, VPN y otros sistemas expuestos a internet que aún no se han parcheado. Cuando el parcheo depende de que los usuarios actualicen sus propios dispositivos, quedan brechas, por lo que el parcheo automatizado gestionado por TI es esencial.
Informe de investigaciones sobre filtraciones de datos de Verizon de 2026 (DBIR) descubrió que la explotación de vulnerabilidades fue la acción inicial en el 31 % de las filtraciones. Solo se corrigió por completo el 26 % de las vulnerabilidades explotadas conocidas, con una mediana de 43 días para solucionarlas, lo que da a los atacantes una larga ventana para apuntar a sistemas expuestos.
3. Correos electrónicos de phishing y descargas maliciosas
Los ataques de phishing y otras tácticas de ingeniería social suelen ser los primeros pasos de los ataques de ransomware. Basta con que un empleado entregue sin darse cuenta los datos de su contraseña o descargue un archivo malicioso para que sus dispositivos o cuentas se vean comprometidos. Por eso, saber cómo prevenir el phishing es vital para la ciberseguridad.
4. Herramientas legítimas de acceso remoto utilizadas en tu contra
Este es uno de los puntos de entrada más difíciles de detectar, porque las empresas y los equipos de TI usan software de acceso remoto todos los días para el trabajo remoto y el soporte remoto. Una vez dentro, muchos atacantes instalan herramientas legítimas y comerciales de acceso remoto para mantener su posición. CISA informa de que los actores de Akira hacen exactamente esto, lo que permite que su actividad se mezcle con la administración normal de TI, y también intentan cerrar los procesos del antivirus.
Por eso, una herramienta de acceso remoto que TI nunca aprobó y que aparece en un ordenador de la empresa es una señal de advertencia que merece investigarse. Mantén una lista del software de acceso remoto aprobado que usan tus equipos para que las herramientas no aprobadas destaquen.
Protección contra el ransomware para pequeñas empresas: qué implementar primero
Empieza por la parte superior de esta lista y ve bajando. Los dos primeros controles cierran los puntos de entrada que más usan los atacantes, y cada paso posterior limita los daños si algo logra pasar.
1. Exige MFA en cada vía de acceso remoto y en cada cuenta de administrador
La MFA requiere una segunda forma de verificación, como una aplicación de autenticación o una llave de seguridad, para que una contraseña robada por sí sola no pueda desbloquear una cuenta. Es una de las principales recomendaciones de CISA para defenderte contra Akira, junto con cerrar el acceso directo por RDP desde internet. Aplícalo a las VPN, las herramientas de acceso remoto, el correo electrónico y todas las cuentas de administrador.
2. Aplica primero parches a las vulnerabilidades conocidas que ya están siendo explotadas
Mantener los dispositivos actualizados y con los parches al día es vital para mantener la ciberseguridad, pero también lo es saber cómo priorizar los parches. Empieza por las vulnerabilidades conocidas que se están explotando activamente, ya que los atacantes las atacarán primero. (Puedes identificar estas vulnerabilidades usando el catálogo de vulnerabilidades explotadas conocidas de CISA.) Priorizar los endpoints también importa: empieza por los sistemas expuestos a internet, las VPN y los servidores de copia de seguridad, ya que son los más expuestos y los más críticos para la recuperación. Automatiza la aplicación de parches siempre que sea posible para que las actualizaciones no dependan de los usuarios.
3. Ejecuta protección de endpoints en todos los ordenadores
La protección de endpoints detecta y detiene amenazas en cada equipo. Busca detección de malware en tiempo real, cuarentena automática de las amenazas detectadas y bloqueo de sitios de phishing. Como los grupos de ransomware intentan desactivar la protección, TI también necesita visibilidad centralizada sobre qué dispositivos están protegidos. Los equipos con capacidad para investigar alertas pueden añadir detección y respuesta de endpoints (EDR) para una investigación y respuesta más exhaustivas.
4. Controla qué herramientas de acceso remoto pueden ejecutarse
Estandariza el uso de una única herramienta de acceso remoto aprobada, protegida con MFA, y bloquea o genera alertas ante cualquier otro software de acceso remoto. Así, una herramienta que instale un atacante para mantener el acceso destacará en lugar de pasar desapercibida.
5. Limita los derechos de administrador
Los usuarios cotidianos no deberían tener derechos de administrador local. Si un ataque de ransomware implica credenciales robadas, una sola cuenta comprometida con privilegios de administrador les da a los atacantes mucho más alcance. Usa cuentas de administrador independientes para que el número de posibles objetivos siga siendo mínimo.
6. Mantén copias de seguridad offline y probadas
Las copias de seguridad son esenciales para restaurar los sistemas después de un ataque. CISA recomienda copias de seguridad cifradas y offline, mantenidas separadas de la red principal, lo que hace que sea mucho más difícil para los atacantes alcanzarlas. Mantén también actualizados los servidores de copia de seguridad, ya que grupos como Akira atacan las vulnerabilidades de los servidores de copia de seguridad, y realiza pruebas de restauración periódicas para confirmar que las copias están al día y funcionan correctamente.
7. Capacita a tus empleados para detectar y denunciar el phishing
La formación y la concienciación de los empleados son otra defensa clave. Los empleados deben saber cómo identificar y evitar los ataques de phishing y contar con una forma rápida y sin reproches de denunciar mensajes sospechosos, para que TI pueda responder antes de que un intento de phishing se propague.
Qué hacer si el ransomware afecta a tu empresa
Si el ransomware ataca, responde rápido y en orden. Estos pasos siguen la lista de verificación de respuesta al ransomware de la guía #StopRansomware de CISA:
Desconecta los equipos afectados de la red. Esto ayuda a limitar la propagación, pero evita apagarlos si es posible, ya que eso puede destruir pruebas.
Llama a tu proveedor de TI o MSP y pon en marcha tu plan de respuesta a incidentes. Cuanto antes se ponga en marcha el plan, más daños podrás contener.
Conserva las pruebas fotografiando las notas de rescate y registrando qué sistemas están afectados. Esto ayuda al proceso de investigación y recuperación.
Denuncia el ataque ante las autoridades correspondientes, incluidos el FBI y CISA. Puedes denunciarlo ante el FBI en ic3.gov o en una oficina local. Si tienes un ciberseguro, asegúrate de contactar con tu aseguradora cuanto antes.
Evita pagar el rescate. Aunque puede ser tentador pagar el rescate y limitar tus pérdidas, no hay forma de garantizar que los delincuentes cumplan su parte (y además los recompensa por sus delitos). Por ello, CISA y el FBI desaconsejan pagar.
Restaura solo a partir de copias de seguridad limpias después de cerrar el punto de entrada y restablecer las contraseñas; de lo contrario, los atacantes podrían seguir teniendo acceso. Tus copias de seguridad offline y probadas son lo que hace posible este paso.
Cómo Splashtop Shield for Business ayuda a proteger tus equipos del ransomware
La protección de endpoints es la capa que detecta lo que logra pasar la MFA y el parcheo. Splashtop Shield for Business proporciona esa capa a las pequeñas empresas, ya que combina un antivirus moderno, protección contra estafas y phishing asistida por IA, y bloqueo de herramientas de acceso remoto no autorizadas.
Splashtop Shield for Business está disponible como complemento para los productos empresariales de Splashtop con acceso desatendido y protege equipos Windows y macOS. Con Splashtop Shield for Business, puedes:
1. Detecta y pone en cuarentena el malware en tiempo real
Splashtop Shield for Business ofrece antimalware en tiempo real y análisis durante el acceso, con detección asistida por IA que ayuda a detectar amenazas que el análisis basado en firmas no detecta. Pone automáticamente en cuarentena la mayoría de las amenazas, y los equipos de TI pueden ejecutar análisis rápidos y completos directamente desde la consola de Splashtop.
2. Bloquea los sitios de phishing y las herramientas de acceso remoto no autorizadas
Splashtop Shield for Business bloquea sitios inseguros y sitios de phishing conocidos, lo que ayuda a evitar que los empleados entren en páginas creadas para robar contraseñas. También detecta y bloquea intentos de instalar herramientas de acceso remoto no autorizadas y alerta a TI de inmediato, lo que ayuda a contrarrestar la técnica de persistencia que CISA describe para Akira. Los administradores pueden añadir herramientas aprobadas a una lista de permitidos, para que el soporte remoto legítimo siga funcionando.
3. Implementa y genera informes desde la consola de Splashtop
Los equipos de TI pueden instalar Splashtop Shield for Business automáticamente mediante políticas de endpoints o con una instalación silenciosa bajo demanda. Las alertas de amenazas aparecen en la consola de Splashtop con un enlace a la Shield Console para su análisis, donde los administradores pueden ver el estado de protección y los eventos de seguridad de cada dispositivo, así como exportar registros que respaldan los esfuerzos de cumplimiento de TI.
Splashtop Shield for Business también puede ejecutarse junto con herramientas de seguridad como CrowdStrike y Bitdefender. Se centra en la prevención y la detección y no proporciona copia de seguridad ni recuperación, así que combínalo con una solución de copia de seguridad offline. Para ver más de cerca qué comparar entre herramientas, consulta Software de protección contra ransomware: funciones que importan.
Protege los ordenadores de tu pequeña empresa con Splashtop Shield for Business
La protección contra ransomware para pequeñas empresas funciona mejor como controles en capas por orden de prioridad: la MFA y la aplicación de parches cierran los puntos de entrada más habituales, y la protección de endpoints detecta lo que logra pasar. Splashtop Shield for Business añade esa capa de endpoint con antivirus en tiempo real, detección asistida por IA y bloqueo de herramientas de acceso remoto no autorizadas.
Si tu organización ya usa un producto empresarial de Splashtop con acceso remoto desatendido, puedes añadir Splashtop Shield for Business a los equipos que ya gestionas.
¿Listo para añadir Splashtop Shield for Business? Descubre más hoy mismo.
