Recuperar datos tras virus y malware: guía completa 2026
Un ataque de malware puede destruir datos de formas muy diferentes: cifrarlos y pedir rescate, borrarlos de forma permanente, corromper el sistema de archivos o simplemente hacer que el sistema deje de arrancar. Cada escenario tiene sus propias posibilidades de recuperación. En RecuperaTusDatos.es hemos atendido centenares de casos de pérdida de datos por malware desde empresas industriales hasta despachos de abogados. Esta guía de 2026 recoge las opciones reales, sin promesas exageradas.
Escenarios de pérdida de datos por malware
1. Ransomware: archivos cifrados
El ransomware es el malware de pérdida de datos más frecuente. Su mecanismo es sencillo: cifra los archivos del usuario con una clave que solo el atacante conoce, y exige un rescate económico (normalmente en criptomonedas) a cambio de la clave de descifrado.
Las familias más activas en España en 2025-2026 incluyen variantes de LockBit, ALPHV/BlackCat, Akira y Rhysida. La mayoría usa AES-256 o ChaCha20 con RSA-2048/4096 para proteger la clave de sesión, lo que hace imposible el descifrado por fuerza bruta.
2. Wiper malware: destrucción deliberada
A diferencia del ransomware (que necesita que los datos sean accesibles para cobrar el rescate), los wipers tienen como único objetivo destruir los datos sin posibilidad de recuperación. Son habituales en ataques de ciberguerra y sabotaje industrial.
Ejemplos conocidos:
- Petya/NotPetya (2017): sobreescribía el MBR y cifraba la MFT de NTFS, impidiendo el arranque y el acceso a archivos. NotPetya, pese a parecer ransomware, no tenía mecanismo real de descifrado.
- Shamoon/DistTrack: sobrescribía sectores del disco con datos aleatorios o imágenes, dirigido a infraestructuras críticas de Oriente Medio.
- WhisperGate (2022): usado en el conflicto ucraniano, sobreescribía el MBR y corrumpía archivos seleccionados.
3. Troyano que borra archivos
Algunos troyanos, como parte de su actividad de exfiltración o como mecanismo de borrado de huellas, eliminan archivos del sistema. A diferencia de los wipers, el borrado es frecuentemente una operación de sistema de archivos estándar (sin sobreescritura), lo que deja posibilidades de recuperación si se actúa rápidamente y no se escribe más en el disco.
4. Rootkit que corrompe el sistema de archivos
Los rootkits operan a nivel de kernel y pueden modificar las estructuras del sistema de archivos para ocultar su presencia. En algunos casos, errores en el rootkit o su eliminación forzada pueden dejar el sistema de archivos en un estado inconsistente: directorios con entradas huérfanas, MFT corrupta o tablas de asignación de bloques dañadas.
Opciones de recuperación tras ransomware
1. Proyecto No More Ransom
No More Ransom es la iniciativa más importante para víctimas de ransomware. Coordinada por Europol, la Policía Nacional Holandesa y empresas de ciberseguridad (incluida Kaspersky y McAfee), ofrece herramientas de descifrado gratuitas para más de 165 familias de ransomware cuyas claves han sido obtenidas por las fuerzas de seguridad o mediante análisis del malware.
Pasos para usar No More Ransom:
- Cargue un archivo cifrado en el Crypto Sheriff de nomoreransom.org para identificar la familia.
- Si existe herramienta de descifrado, descárguela y siga las instrucciones.
- Si no existe herramienta, registre el caso y compruebe periódicamente: las claves a veces se publican meses después de operaciones policiales.
2. Shadow copies si no fueron eliminadas
El ransomware moderno elimina las shadow copies como primer paso, pero algunos ataques más simples o que fueron interrumpidos antes de completarse pueden haberlas dejado intactas. Comprúbelo con vssadmin list shadows desde una consola de administrador antes de hacer cualquier otra cosa. Si existen, móntelas antes de limpiar el sistema.
3. Recuperación desde backup
Si dispone de backups recientes e íntegros, es la opción más rápida y fiable. Puntos críticos:
- Verifique que el backup no está también cifrado por el ransomware (los NAS conectados en red son objetivos habituales).
- Asegúrese de que el backup es anterior a la infección, no solo anterior al momento en que la notó.
- Restaure en un entorno limpio: no restaure sobre el sistema comprometido sin limpieza previa.
4. Negociación y pago del rescate (ultima opción)
El pago del rescate no garantiza la recuperación de los datos, puede financiar actividades criminales y en algunos países puede tener implicaciones legales si el grupo atacante está sancionado internacionalmente. Consulte con un especialista en respuesta a incidentes antes de considerar esta opción. En ningún caso pague antes de haber agotado las alternativas anteriores.
Recuperación tras wiper: imagen de sectores y reconstrucción parcial
La recuperación tras un ataque wiper es la más compleja y la que tiene menores tasas de éxito. El proceso en laboratorio:
- Imagen forense: creación de una imagen sector a sector del disco antes de cualquier otra operación. Fundamental para preservar el estado exacto del daño.
- Análisis del patrón de sobreescritura: algunos wipers no sobreescriben todo el disco, sino estructuras clave (MBR, MFT, cabeceras de partición). En esos casos, puede ser posible reconstruir parcialmente la estructura del sistema de archivos.
- Carving de firmas: aunque los metadatos estén destruidos, el contenido de los archivos puede subsistir en sectores no sobreescritos. Herramientas como PhotoRec, Foremost o Scalpel buscan firmas binarias (cabeceras de formato de archivo) para recuperar contenido sin nombre ni ruta.
- Reconstrucción de MFT (NTFS): si la MFT está parcialmente legible, se puede reconstruir la estructura de directorios a partir de las entradas conservadas.
En ataques NotPetya-style que sobreescriben el MBR y cifran la MFT, la recuperación suele ser parcial (30-60 % de los archivos, sin estructura de carpetas) en el mejor de los casos.
Preservación forense antes de la recuperación
Antes de intentar cualquier recuperación, es fundamental preservar las evidencias forenses:
- No apague el sistema de forma brusca: en algunos casos (ransomware con clave en memoria volátil), apagar puede destruir información útil. Si el sistema está activo y accesible, considere un volcado de memoria RAM antes de apagar.
- Desconecte de la red: para evitar que el malware continúe cifrando recursos compartidos o exfiltrando datos.
- No instale software de recuperación en el sistema afectado: cualquier escritura en el disco puede sobreescribir datos recuperables.
- Cree una imagen forense antes de cualquier intento de recuperación. Use herramientas como FTK Imager o dcfldd para crear imágenes con hash de verificación.
- Documente todo: capturas de pantalla del mensaje de ransomware, extensiones de archivos cifrados, nota de rescate. Esta información es necesaria para identificar la variante.
Obligaciones legales en España
Si los datos afectados incluyen datos personales (empleados, clientes, pacientes), existen obligaciones legales bajo el RGPD:
- AEPD (Agencia Española de Protección de Datos): debe notificarse una brecha de seguridad en un plazo máximo de 72 horas desde que se tiene conocimiento, si conlleva riesgo para los derechos y libertades de los afectados. Formulario disponible en sedeagpd.gob.es.
- INCIBE (Instituto Nacional de Ciberseguridad): para empresas, puede contactar con INCIBE-CERT (017) para asesoramiento técnico en respuesta al incidente. Para incidentes que afecten a infraestructuras críticas, el CCN-CERT es el organismo competente.
- Denuncia policial: recomendable interponer denuncia ante la Policía Nacional (Unidad de Investigación Tecnológica) o Guardia Civil (GDT), tanto para el expediente legal como para contribuir a las estadísticas que permiten operaciones contra los grupos criminales.
Proceso en RecuperaTusDatos.es
Cuando recibimos un caso de malware:
- Entrevista inicial para establecer el tipo de malware, extensiones afectadas y existencia de backups.
- Imagen forense del disco en entorno aislado.
- Análisis de la variante de malware para determinar si existe descifrador disponible.
- Intento de recuperación desde shadow copies o backups locales si existen.
- Carving y reconstrucción de sistema de archivos sobre la imagen forense.
- Entrega de los datos recuperados en soporte externo.
- Informe técnico del incidente (útil para AEPD y aseguradoras).
Emitimos informes periciales para procedimientos judiciales o reclamaciones a aseguradoras. Diagnóstico gratuito. Precios entre 200 € y 700 € según tipo de ataque y volumen de datos. Llámenos al +34 93 XXX XX XX o escríbanos a través del formulario de contacto.
WhatsApp