Ransomware en dispositivos familiares: qué pasa cuando tu hijo hace clic en algo raro

Eran las 7 de la tarde cuando Daniela, mamá de dos en Querétaro, escuchó a su hijo de 12 años gritar desde el cuarto. La pantalla de la laptop familiar estaba completamente negra excepto por un mensaje en inglés: “YOUR FILES HAVE BEEN ENCRYPTED. PAY $500 IN BITCOIN WITHIN 72 HOURS OR YOUR FILES WILL BE DELETED PERMANENTLY.” El niño había descargado un “mod gratis” para Minecraft desde un sitio que encontró en YouTube. En ese momento, la tarea de historia de toda la familia, dos años de fotos de vacaciones y el proyecto de trabajo de Daniela estaban cifrados e inaccesibles. Lo que ocurrió después —y lo que la familia hizo bien y mal— es exactamente lo que te platico aquí, porque cada año la CISA reporta decenas de miles de incidentes de ransomware en hogares de toda Latinoamérica y Norteamérica.

Lo más importante

• El ransomware cifra tus archivos con una llave que solo los atacantes tienen; sin respaldo previo, recuperar los archivos es difícil incluso si pagas
• Los vectores de entrada más comunes en familias son: mods de juegos no oficiales, software pirata, archivos adjuntos de correo y descargas de “crack” para apps
• Pagar el rescate no garantiza recuperación: IBM Security reporta que solo el 38% de quienes pagan recuperan todos sus archivos
• Los primeros 10 minutos después de la infección son críticos: desconectar la red puede limitar el daño
• Respaldos automáticos en la nube (iCloud, Google One, OneDrive) pueden ser la diferencia entre un susto de 2 horas y una pérdida permanente de datos

Cómo entra el ransomware: las rutas más comunes en hogares con niños

Ruta 1: mods, hacks y cracks de videojuegos

Esta es la ruta número uno para familias con hijos entre 8 y 16 años. Los niños buscan en YouTube tutoriales de “cómo tener Robux gratis,” “mods para Minecraft sin pagar,” o “crack de [juego popular].” El video los dirige a un sitio externo donde descargan un archivo .exe o .zip. Dentro está el mod prometido —que a veces funciona— y también un ejecutable malicioso que se instala en segundo plano.

La razón por la que este vector es tan efectivo: los niños están emocionalmente motivados (quieren el contenido), el proceso de descarga parece idéntico a una descarga legítima, y a menudo el antivirus lanza una alerta que el niño aprende a ignorar porque “siempre da falsos positivos con los mods.”

Ruta 2: archivos adjuntos de correo que parecen legítimos

“Tu paquete está detenido en aduana — descarga el formulario adjunto.” “Tu suscripción de Netflix expira hoy — activa aquí.” Estos correos de phishing han evolucionado: ya no tienen faltas de ortografía obvias y usan logos corporativos correctos. El adjunto suele ser un PDF que al abrirse ejecuta un script, o un enlace que descarga un archivo .docm (Word con macros habilitadas).

Ruta 3: software pirata para trabajo y escuela

Photoshop, Microsoft Office, aplicaciones para editar video —cuando los papás buscan “descargar Office gratis” o los hijos buscan software de diseño para proyectos escolares, los sitios de software pirata son una fuente consistente de malware. CISA documenta que entre el 25 y 30% del software pirata descargado contiene alguna forma de malware.

Ruta 4: anuncios maliciosos (malvertising)

Menos común pero ocurre: anuncios publicitarios en sitios web legítimos que redirigen a páginas de descarga maliciosa, especialmente en sitios de streaming no oficial de series y películas.

Qué pasa exactamente después del clic: los 4 pasos del ransomware

Entender la mecánica ayuda a tomar decisiones correctas en los primeros minutos. El proceso ocurre más rápido de lo que imaginas.

Paso 1: Ejecución (segundos)

El archivo malicioso se ejecuta, muchas veces en segundo plano sin ventanas visibles. En esta fase el sistema se ve completamente normal. El malware establece persistencia —se copia a sí mismo en ubicaciones del sistema para sobrevivir un reinicio— y contacta un servidor de comando y control para recibir la llave de cifrado única para tu dispositivo.

Paso 2: Reconocimiento y cifrado (minutos a horas)

El ransomware escanea el sistema buscando archivos de alto valor: documentos (.docx, .pdf, .xlsx), fotos (.jpg, .png, .raw), videos (.mp4, .mov), carpetas de proyectos. Luego cifra estos archivos usando encriptación AES-256 — el mismo estándar que usan los bancos — y reemplaza cada archivo con una versión cifrada ilegible. Este proceso puede tomar de 5 minutos a varias horas dependiendo de cuántos archivos haya.

Este es el momento crítico: si desconectas el dispositivo de la red y apagas el cifrado antes de que termine, puedes salvar una parte de los archivos. Por eso los primeros 10 minutos importan.

Paso 3: Extensión a la red local (si está conectado)

Muchas variantes modernas de ransomware no se limitan al dispositivo infectado. A través de la red Wi-Fi del hogar intentan alcanzar otros dispositivos conectados: la computadora de los papás, el NAS con respaldos, incluso algunos modelos de impresora y dispositivos de almacenamiento compartido. Las variantes de ransomware como LockBit y ALPHV (BlackCat) son conocidas por esta propagación lateral.

Paso 4: Extorsión

La pantalla de rescate aparece cuando el cifrado está completo. Incluye un temporizador, instrucciones para comprar criptomoneda y en algunos casos una “chat de soporte” donde puedes “negociar.” Algunas variantes incluyen la amenaza adicional de publicar los archivos si no pagas —llamada “doble extorsión.”

La decisión de pagar: lo que los datos reales dicen

Esta es la pregunta que Daniela (de nuestra historia inicial) se hizo a las 7:30 pm. La respuesta basada en datos es clara:

Factor	Realidad
Probabilidad de recuperar todos los archivos si pagas	38% (IBM Security, 2023)
Probabilidad de ser atacado de nuevo en 12 meses si pagas	80% (Cybereason, 2023)
Tiempo promedio para recibir la llave después de pagar	5 días
Costo promedio de rescate para usuarios domésticos	$200–$800 USD
Archivos recuperables con respaldo limpio previo	Hasta 100%
Archivos recuperables sin respaldo y sin pagar	10–30% (herramientas de descifrado gratuitas)

La CISA y el FBI recomiendan explícitamente no pagar el rescate por dos razones: no garantiza recuperación y financia a los operadores para que continúen atacando más familias.

Qué hacer en los primeros 60 minutos si ocurre

Minutos 0-5: Contención de emergencia

1. Desconecta el dispositivo de la red de inmediato. Quita el cable Ethernet si está conectado con cable, o activa el modo avión. No apagues el equipo todavía — algunos investigadores de seguridad pueden extraer la llave de cifrado de la memoria RAM si el equipo sigue encendido.

2. Desconecta discos externos y memorias USB. Cualquier dispositivo de almacenamiento conectado puede ser cifrado también.

3. No ingreses contraseñas en ese equipo. Si el ransomware tiene también un keylogger (común en variantes combinadas), todas las contraseñas que escribas después de la infección quedan comprometidas.

Minutos 5-30: Evaluación del daño

4. Desde otro dispositivo, busca el nombre exacto del ransomware en la pantalla de rescate. Sitios como NoMoreRansom.org (proyecto conjunto de INTERPOL, Europol y empresas de seguridad) tienen herramientas de descifrado gratuitas para cientos de variantes conocidas.

5. Verifica tus respaldos en la nube. Abre iCloud.com, Google Drive o OneDrive desde otro dispositivo y verifica si tus archivos importantes están ahí. Muchos archivos pueden estar disponibles aunque el dispositivo esté comprometido.

Minutos 30-60: Decisión y acción

6. Si hay respaldo limpio: la solución es reinstalar el sistema operativo (formatear el disco) y restaurar desde el respaldo. Es un proceso de 2-4 horas pero recuperas todo.

7. Si no hay respaldo: considera contactar a un técnico en recuperación de datos o usar las herramientas de NoMoreRansom.org antes de tomar cualquier otra decisión.

8. Reporta el incidente. En México: Policía Cibernética (SSC). En EE.UU.: IC3.gov (FBI). El reporte toma 10 minutos y ayuda a rastrear las redes de ransomware.

Prevención: lo que funciona y lo que no

Lo que SÍ funciona

Respaldos automáticos en la nube — es la protección número uno. Google One con plan de 100 GB cuesta aproximadamente $25 pesos al mes en México. iCloud+ con 50 GB son $17 pesos al mes. Microsoft 365 Family ($999 pesos/año) incluye 1 TB de OneDrive para 6 usuarios. Si tus archivos importantes están respaldados automáticamente, el ransomware pasa de ser una catástrofe a ser una molestia de unas horas.

Respaldo físico adicional desconectado. Un disco externo que conectas una vez a la semana para hacer respaldo y luego desconectas no puede ser cifrado por ransomware. Esta regla 3-2-1 (3 copias, 2 medios diferentes, 1 fuera de línea) es el estándar de la industria según NIST.

Windows Defender activado al 100%. Viene gratis con Windows y en 2023 obtuvo 100% de detección de ransomware en pruebas del AV-TEST Institute. Muchas familias lo desactivan porque “interfiere con los mods de juego” — exactamente la trampa que los distribuidores de malware quieren.

Cuenta estándar (no administrador) para los niños. Si tu hijo usa el equipo como usuario estándar en lugar de administrador, la mayoría del ransomware no puede instalarse porque no tiene permisos para modificar archivos del sistema.

Lo que NO es suficiente por sí solo

• Solo tener antivirus: el ransomware nuevo puede evadir detección por horas antes de que el antivirus tenga la firma
• Solo hablar con tu hijo: la conversación es necesaria pero los niños cometen errores
• Solo usar Mac o iPad: hay ransomware para macOS, aunque es menos común

Qué observar en los próximos 3 meses

• Julio 2026: Minecraft Java Edition 1.21.4 trae actualizaciones de seguridad; asegura que tu hijo use la versión oficial del launcher, no versiones “cracked”
• Agosto 2026: Temporada de regreso a clases = pico de descarga de software “educativo” pirata; revisa qué están descargando los niños antes del nuevo ciclo
• Septiembre 2026: Microsoft lanza actualizaciones de seguridad críticas el segundo martes de cada mes; activa las actualizaciones automáticas ahora si no las tienes activadas

Preguntas frecuentes

¿El ransomware puede infectar un iPhone o iPad?

El ransomware clásico que cifra archivos es extremadamente raro en iOS por el diseño del sistema de archivos de Apple. Sin embargo, existe el “ransomware de pantalla” que bloquea el dispositivo con un mensaje falso de Apple pidiendo pago. Si ves uno, generalmente se resuelve cerrando el navegador sin pagar nada.

¿Si formateo la computadora puedo recuperar los archivos?

Formatear elimina el malware pero no recupera los archivos cifrados. Para recuperarlos necesitas la llave de descifrado (que tienen los atacantes) o una herramienta gratuita de NoMoreRansom.org si existe para esa variante, o un respaldo limpio previo a la infección.

¿Qué variantes de ransomware tienen herramienta de descifrado gratuita?

NoMoreRansom.org tiene más de 120 herramientas gratuitas en 2026. Las variantes de Djvu/STOP, Dharma y algunas versiones de LockBit tienen descifrado disponible. Sube una muestra del archivo cifrado al sitio para identificar la variante y ver si hay solución gratuita.

¿Pagar en criptomoneda es trazable?

Contrario a lo que muchos creen, las transacciones en blockchain son públicas y rastreables. El FBI ha recuperado millones en rescates pagados usando análisis de blockchain. Sin embargo, los operadores de ransomware usan mezcladores de criptomoneda para dificultar el rastreo.

¿Cuánto tiempo tarda reinstalar el sistema después de un ataque?

Una reinstalación limpia de Windows tarda aproximadamente 2-3 horas. Restaurar archivos desde un respaldo en la nube puede tomar de 1 hora a un día completo dependiendo del volumen de datos y la velocidad de tu internet. En total, un ataque con respaldo disponible puede resolverse en menos de un día.

---

Sobre el autor

Ricky Flores es el fundador de HiWave Makers e ingeniero eléctrico con más de 15 años de experiencia desarrollando tecnología de consumo en Apple, Samsung y Texas Instruments. Escribe sobre cómo los niños aprenden a construir, pensar y crear en un mundo saturado de tecnología. Lee más en hiwavemakers.com.

Fuentes

1. CISA. (2024). Ransomware Guide: What Every Family Should Know. cisa.gov
2. FBI Internet Crime Complaint Center. (2024). 2023 Internet Crime Report — Ransomware Section. ic3.gov
3. IBM Security. (2023). Cost of a Data Breach Report 2023. ibm.com/security
4. Cybereason. (2023). Ransomware: The True Cost to Business 2023. cybereason.com
5. NoMoreRansom Project. (2024). Decryption Tools Database. nomoreransom.org (INTERPOL/Europol)
6. AV-TEST Institute. (2023). Windows Defender Performance Report Q4 2023. av-test.org
7. NIST. (2022). SP 800-209: Security Guidelines for Storage Infrastructure. csrc.nist.gov