En resumen: esta guía es para quien enciende el ordenador y encuentra sus fotos y documentos con una extensión rara y una nota que pide dinero. El orden que recomiendan No More Ransom (el portal de Europol y la policía neerlandesa) e INCIBE es: desconectar de la red, no pagar, fotografiar la nota, limpiar el equipo, restaurar desde una copia o buscar un descifrador gratuito, y denunciar. Si no tienes copia y no hay descifrador para tu variante, la respuesta honesta es que quizá no recuperes esos archivos. Pagar tampoco lo garantiza.Si quieres entender antes en qué se diferencia el ransomware de un troyano o de un programa espía, lo tienes en nuestra explicación de los tipos de malware: virus, troyanos, ransomware y spyware. Aquí vamos a lo práctico: qué hacer cuando ya ha ocurrido.Paso 1: corta la red antes de tocar nada másLo primero es desconectar el ordenador de internet y de cualquier otra red, incluida la wifi de casa. Es la instrucción número uno de la guía para usuarios de No More Ransom, y tiene una razón sencilla: así evitas que la infección se extienda.En una casa eso significa quitar el cable de red, apagar la wifi del equipo y desenchufar discos externos, memorias USB y cualquier NAS conectado. Si tu carpeta de OneDrive, Google Drive o iCloud se sincroniza sola, desconectarte también frena que los archivos cifrados sustituyan a las versiones buenas en la nube.Un matiz que conviene conocer: el FBI, en un aviso de septiembre de 2024 sobre campañas de ingeniería social atribuidas a Corea del Norte, recomienda dejar el equipo afectado encendido para no perder rastros del malware que puedan servir a los investigadores. Si piensas denunciar y quieres que alguien analice el ordenador, desconectarlo de la red no obliga a apagarlo.Paso 2: no pagues, fotografía la nota y limpia el equipoNo More Ransom es tajante: no se recomienda pagar en ningún caso. Su página de preguntas frecuentes da dos motivos. El primero es práctico: pagar no garantiza nada, porque el propio malware puede tener errores que impidan recuperar los datos incluso con la clave correcta. El segundo es de fondo: cada pago demuestra a los delincuentes que el negocio funciona.La guía para usuarios añade que, si pagas, probablemente vuelvas a ser objetivo. Mi lectura es que ese argumento pesa más en casa que en una empresa: un particular que paga una vez entra en la lista de los que pagan.Antes de seguir, haz una foto o una captura de la nota de rescate. Te servirá dos veces: para identificar qué variante te ha infectado y para la denuncia.Después toca pasar un antivirus o antimalware para eliminar el ransomware; puede que tengas que arrancar Windows en modo seguro para hacerlo. No More Ransom aclara algo que mucha gente no espera: eliminar el ransomware no descifra tus archivos. Solo impide que siga cifrando los que quedan sanos mientras intentas recuperar el resto.Este punto es importante para no restaurar una copia sobre un sistema todavía infectado. Primero se limpia; después se recupera.Paso 3: ¿cómo recupero los archivos si tengo copia de seguridad?Si tienes una copia hecha antes de la infección, restáurala: es la vía más fiable y la única que no depende de la suerte. No More Ransom recomienda tener dos copias, una en la nube y otra física (un disco externo o un USB), y desconectar ese disco del ordenador al terminar cada copia, precisamente para que un ataque no lo alcance.Si usas OneDrive, Microsoft documenta dos ayudas concretas. Su función de detección de ransomware avisa cuando los archivos de OneDrive han sido atacados y guía la restauración; según su página de soporte, si no eres suscriptor la primera notificación y la primera recuperación son gratuitas. Y la función de restaurar OneDrive a un momento anterior permite deshacer todos los cambios de los últimos 30 días, pero solo con una suscripción de Microsoft 365.Si nunca has montado una rutina de copias, este es el momento de hacerlo con calma; tienes el método paso a paso en nuestra guía para hacer una copia de seguridad completa de tu vida digital.Paso 4: ¿y si no tengo copia? Busca un descifrador gratuitoSin copia, la siguiente parada es nomoreransom.org. El portal reúne claves y programas que descifran archivos bloqueados por distintas familias de ransomware, todos gratuitos. Su herramienta Crypto Sheriff sirve para identificar qué variante te ha atacado; según la explicación de INCIBE, se le suben dos archivos cifrados y la nota del rescate, y el sistema los contrasta con su base de claves.Conviene ir con expectativas realistas. La propia web advierte de que no todos los tipos de ransomware tienen solución y de que, en muchos casos, una vez ejecutado el ataque poco se puede hacer sin copia de seguridad. Cuando sí hay descifrador, suele ser por tres motivos que el portal enumera: que los autores cometieran errores al programarlo (como ocurrió con Petya y CryptXXX), que publicaran ellos mismos las claves (el caso de TeslaCrypt) o que la policía incautara servidores con claves (CoinVault).Un consejo que se deduce de lo anterior: si hoy no hay descifrador para tu variante, no borres los archivos cifrados. Guárdalos en un disco aparte. No More Ransom va añadiendo herramientas; en su portada aparecían, a noviembre de 2026, descifradores nuevos para familias como Phobos/8base, FunkSec o DoNex.Paso 5: denuncia y pide ayudaEl último paso de la guía de No More Ransom es denunciar ante la policía. Su página de denuncias remite, para España, a los canales de la Policía Nacional y de la Guardia Civil. Lleva la foto de la nota, la extensión que tienen ahora los archivos y cualquier correo o descarga sospechosa de los días anteriores.Si no sabes por dónde empezar, el servicio Tu Ayuda en Ciberseguridad de INCIBE atiende en el 017, gratuito y confidencial, de 8:00 a 23:00 los 365 días del año, según su página oficial. También responde por WhatsApp en el 900 116 117 y por Telegram con el alias @INCIBE017.Después toca reconstruir: cambiar contraseñas desde un dispositivo limpio y poner al día el sistema. No More Ransom insiste en instalar las actualizaciones del sistema y de las aplicaciones en cuanto salen, y es justo lo que explicamos en por qué ignorar las actualizaciones de software es la peor decisión de seguridad.Lo que más me llama la atención de las guías oficiales es lo poco que prometen. Ninguna dice que vayas a recuperar tus fotos; todas dicen que la copia de seguridad desconectada es lo que decide el desenlace. Creo que esa es la lección útil del ransomware doméstico: el día del ataque ya no hay nada brillante que hacer, solo ordenar los pasos para no empeorarlo. Lo que marca la diferencia se hizo, o no, semanas antes.Y sobre pagar, mi postura es clara: aunque a veces funcione, es comprar un billete de lotería a quien acaba de robarte, sin garantía de premio y con la seguridad de que volverá a llamar.La noticia Ransomware en el ordenador de casa: qué hacer si te cifran los archivos (y por qué pagar es la peor salida) fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.