La respuesta matizada: depende
El ransomware no es un tipo único de amenaza. Hay cientos de variantes con características técnicas diferentes, y las posibilidades de recuperación varían enormemente según cuál atacó, qué acciones tomó (¿eliminó las shadow copies? ¿cifró los backups?) y qué medidas de protección existían antes del ataque.
Cuándo SÍ es posible recuperar
Ransomware con descifrador disponible
Algunos ransomware tienen vulnerabilidades en su implementación del cifrado o sus claves fueron confiscadas en operaciones policiales. El proyecto NoMoreRansom (nomoreransom.org), impulsado por Europol y fabricantes de seguridad, mantiene una base de datos de descifradores gratuitos. Identificar el ransomware es el primer paso para verificar si existe solución.
Shadow copies no eliminadas
Windows crea puntos de restauración automáticos (Volume Shadow Copies). Si el ransomware no los eliminó —algunos no lo hacen— es posible restaurar versiones anteriores de los archivos sin necesitar la clave de cifrado.
Backups previos no afectados
Si existe un backup que no estaba conectado a la red al momento del ataque (backup offsite, cinta física, backup en nube sin sincronización activa), los datos pueden restaurarse desde allí.
Versiones anteriores en servicios cloud
Si los archivos estaban sincronizados con Google Drive o OneDrive y el historial de versiones está habilitado, puede ser posible restaurar versiones anteriores al cifrado —siempre que se actúe antes de que expiren esas versiones.
Cuándo las opciones son limitadas
Ransomware con cifrado robusto sin descifrador conocido
Si el cifrado implementado es técnicamente sólido y no existe descifrador disponible, los archivos cifrados son matemáticamente irrecuperables sin la clave. No hay técnica de laboratorio que rompa un cifrado AES-256 bien implementado.
Shadow copies eliminadas
Los ransomware modernos eliminan activamente las shadow copies como primera acción. Esta es la razón por la que la regla 3-2-1 con backups verdaderamente aislados es la única defensa efectiva.
Ningún backup utilizable
Si los backups estaban en red (cifrados junto con el resto), en la nube con sincronización activa (también cifrados), o simplemente no existían, las alternativas técnicas son limitadas.
Qué evalúa el laboratorio
El diagnóstico técnico ante un ransomware incluye:
- Identificación del tipo de ransomware (extensión de archivos cifrados, mensaje de rescate)
- Búsqueda de descifrador disponible en bases de datos especializadas
- Estado de las shadow copies y puntos de restauración
- Estado de los backups disponibles
- Análisis forense del sistema para identificar zonas no cifradas o datos residuales
