Cómo recuperar datos cifrados: guía práctica

Cómo recuperar datos cifrados es una pregunta que surge después de un ataque de ransomware, una falla en el disco, la pérdida de la contraseña o un error al trabajar con un archivo comprimido cifrado. La regla principal: no apresurarse, no sobrescribir el medio y no pagar el rescate sin analizar la situación. En este artículo, examinaremos qué escenarios de recuperación son posibles, qué hacer en los primeros minutos, cómo verificar las copias de seguridad, dónde buscar las claves y cuándo es conveniente contactar a los especialistas.

Qué significa recuperar datos cifrados

Los datos cifrados son archivos, discos, archivos comprimidos o bases de datos cuyos contenidos han sido transformados por un algoritmo criptográfico. Sin la clave correcta, la contraseña o el procedimiento de descifrado funcional, estos datos parecen un conjunto de bytes aleatorios.

Por lo tanto, la recuperación puede significar diferentes tareas:

• devolver el acceso a los archivos cifrados por ransomware;
• recuperar la contraseña o clave del contenedor cifrado;
• restaurar datos de una copia de seguridad;
• recuperar un disco cifrado dañado;
• extraer archivos de un viejo archivo comprimido, si se conoce la contraseña;
• recuperar el acceso a la nube o al gestor de contraseñas.

Es importante entender la limitación: el cifrado moderno, si se implementa correctamente, no se puede romper simplemente mediante prueba y error en un tiempo razonable. Si la clave se ha perdido para siempre y no hay copias de seguridad, la recuperación puede ser imposible. Sin embargo, en la práctica, a menudo quedan rastros: copias sombra, backups, sincronización, claves guardadas, versiones antiguas de archivos, registros de operaciones o un descifrador para una familia de virus conocida.

Primeras acciones después de detectar un problema

Si los archivos de repente han adquirido una extensión extraña, han dejado de abrirse o ha aparecido un mensaje de demanda de rescate en la pantalla, actúe con cuidado. Las acciones incorrectas pueden destruir las últimas oportunidades de recuperación.

Plan de acción paso a paso en los primeros 30 minutos

1. Desconecte el dispositivo de la red. Desenchufe el cable Ethernet, desactive el Wi-Fi y Bluetooth. Esto reduce el riesgo de que el ransomware se propague a carpetas de red y otros dispositivos.
2. No apague el ordenador abruptamente si el cifrado está activo. Primero, desconecte la red. Luego, evalúe la situación. En algunos casos, la memoria RAM y los procesos activos pueden ser útiles para los especialistas.
3. No elimine archivos cifrados ni notas de rescate. Pueden contener el identificador de la víctima, direcciones, extensiones de archivos y detalles sobre la variante del malware.
4. No reinstale el sistema sobre el antiguo. La reinstalación puede borrar copias sombra, registros y archivos temporales.
5. Haga una copia del medio o de carpetas importantes. Trabaje con la copia y mantenga el original sin cambios.
6. Registre las pruebas del incidente. Anote la fecha, hora, extensiones de archivos, texto de la nota, nombres de procesos sospechosos y las últimas acciones del usuario.
7. Verifique otros dispositivos y almacenamiento en red. Si el cifrado ha llegado a un NAS o carpetas compartidas, desconéctelos de la red.

Este orden ayuda a preservar pruebas y no empeorar el estado de los datos.

Determine la causa del cifrado

El método de recuperación depende de la causa. Antes de buscar un descifrador o iniciar programas de recuperación de archivos, debe entender qué ha ocurrido exactamente.

Ransomware

Este es el escenario más común. El malware cifra documentos, fotos, bases de datos y archivos comprimidos, y luego exige el pago por la clave. Señales:

• los archivos han adquirido una nueva extensión;
• en las carpetas hay archivos con instrucciones de pago;
• algunos programas han dejado de funcionar;
• el antivirus ha detectado ransomware o procesos sospechosos;
• se han cifrado carpetas de red y discos externos.

En este caso, primero se debe detener la propagación, identificar la familia del malware y verificar la existencia de un descifrador gratuito.

Contraseña olvidada o clave perdida

A veces, los datos están cifrados con una herramienta legítima: BitLocker, VeraCrypt, FileVault, 7-Zip, WinRAR, un sistema DLP corporativo o el cifrado integrado del teléfono inteligente. El problema surge cuando se olvida la contraseña, se cambia el TPM, se elimina la clave de recuperación o la cuenta no está disponible.

Aquí, la búsqueda de claves, la verificación de cuentas, registros antiguos, gestores de contraseñas y repositorios corporativos son lo más importantes, no las acciones antivirus.

Daño al medio o al sistema de archivos

Un disco cifrado puede estar físicamente dañado. En este caso, la contraseña es conocida, pero el contenedor no se abre. La causa puede ser sectores dañados, fallos del controlador, errores de actualización o pérdidas de alimentación repentina.

Ante síntomas de daño físico, no inicie un escaneo masivo ni intente volver a montar el disco repetidamente. Primero, haga una imagen sector por sector, si es posible, o acuda a un laboratorio de recuperación de datos.

Error de sincronización o del servicio en la nube

Los archivos podrían haber sido cifrados en un dispositivo y luego sincronizados en la nube. Pero muchos servicios tienen un historial de versiones y papelera de reciclaje. Esto puede ser un camino rápido para la reversión.

Verifique:

• el historial de versiones del archivo;
• la papelera de la nube;
• dispositivos eliminados en la cuenta;
• la fecha de la última sincronización;
• la existencia de accesos sospechosos.

Qué no hacer al recuperar archivos cifrados

Algunas acciones pueden parecer lógicas, pero perjudican la recuperación.

No debe:

• formatear el disco antes de crear una copia;
• ejecutar descifradores aleatorios de foros;
• pagar el rescate sin consultar y evaluar riesgos;
• subir archivos desconocidos a sitios sospechosos;
• ejecutar comandos de las notas de los atacantes;
• limpiar archivos temporales y puntos de restauración;
• seguir usando la computadora infectada como normalmente;
• instalar programas de recuperación en el mismo disco donde están los datos.

Los descifradores falsos son especialmente peligrosos. Pueden robar contraseñas adicionales, instalar mineros o volver a cifrar los archivos. Utilice solo fuentes verificadas: sitios de desarrolladores de antivirus, proyectos de lucha contra ransomware, documentación oficial de proveedores.

Cómo recuperar datos cifrados después de un ransomware

A continuación, una secuencia de acciones segura. No garantiza el éxito, pero ayuda a explorar todas las opciones reales.

Paso 1. Aislar el sistema infectado

Desconecte la red y los dispositivos de almacenamiento externos. Si el ordenador está en una oficina, comuníquese con el administrador. En un entorno corporativo, es crucial bloquear rápido las cuentas, verificar las carpetas compartidas y desconectar las máquinas comprometidas.

Si el cifrador sigue funcionando, los procesos deben terminarse con cuidado. Para un usuario doméstico, generalmente es más seguro desconectar la red y apagar la computadora después de registrar los signos. Para las empresas, lo mejor es mantener el estado del sistema hasta que llegue un especialista en respuesta a incidentes.

Paso 2. Hacer una copia de los datos

Copia los archivos cifrados, las notas de los extorsionistas y varios originales no cifrados, si los hay. Mantenga la copia en un disco separado. Si es posible, cree una imagen de todo el medio.

Trabaje exclusivamente con la copia. Esto es importante porque algunos descifradores pueden dañar archivos si se elige incorrectamente la familia de ransomware o en un caso de clave incompleta.

Paso 3. Determine el tipo de ransomware

Para la identificación se necesitan:

• la extensión de los archivos cifrados;
• el texto de la nota;
• direcciones de email o sitios web de la demanda de rescate;
• un ejemplo del archivo cifrado;
• el archivo desencriptado original de la misma versión, si lo hay.

Verifique la información solo en recursos de autoridad. Muchas empresas de antivirus publican bases de datos de ransomware conocidos y utilidades gratuitas de descifrado. Si existe un descifrador, lea atentamente las instrucciones y pruébelo primero en copias.

Paso 4. Verifique las copias de seguridad

La copia de seguridad es el camino más confiable para la recuperación después de un ransomware. Pero también debe ser verificada. A veces, el ransomware elimina los backups locales o cifra un disco USB conectado.

Verifique:

• discos externos que no estaban conectados durante el ataque;
• NAS con imágenes de estado;
• copias en la nube;
• el historial de versiones en OneDrive, Google Drive, Dropbox y otros servicios;
• copias de seguridad en Windows, macOS o Linux;
• sistemas de copia de seguridad corporativos;
• viejos archivos comprimidos de proyectos.

No conecte el disco de respaldo al sistema infectado. Primero limpie la computadora o use un entorno seguro separado.

Paso 5. Busque copias sombra y versiones anteriores

En Windows, algunas versiones de ransomware eliminan copias sombra, pero no todos lo hacen con éxito. Verifique las versiones anteriores de archivos y carpetas. También puede explorar puntos de restauración del sistema, si estaban habilitados.

En macOS, verifique Time Machine. En Linux, preste atención a las instantáneas de Btrfs, ZFS, LVM o herramientas de copia de seguridad usadas anteriormente.

Si hay copias sombra, primero recupere algunos archivos de prueba. Luego asegúrese de que el sistema esté libre de malware.

Paso 6. Verifique el historial de versiones en la nube

Si los archivos se sincronizaron con la nube, la reversión de versiones puede ayudar incluso cuando las copias locales están cifradas. Muchos servicios en la nube permiten restaurar el archivo a un estado anterior a una fecha específica.

Proceda así:

1. Inicie sesión en la nube desde un dispositivo limpio.
2. Cambie la contraseña y active la autenticación de dos factores.
3. Verifique el historial de accesos y las aplicaciones conectadas.
4. Encuentre las carpetas donde han aparecido los archivos cifrados.
5. Use la recuperación de versiones anteriores o un retroceso masivo, si el servicio lo admite.
6. Descargue los datos recuperados en un medio seguro.

Paso 7. Utilice un descifrador gratuito, si está disponible

Los descifradores gratuitos existen solo para ciertas familias de ransomware. Aparecen cuando los investigadores encuentran un error en la implementación del cifrado, obtienen claves de las fuerzas del orden o analizan la infraestructura de los delincuentes.

Antes de ejecutar:

• asegúrese de que el descifrador es para su variante específica;
• descargue la herramienta desde el sitio web oficial;
• haga copias de los archivos cifrados;
• lea los requisitos para los archivos de origen;
• pruébelo en una carpeta pequeña.

Si el descifrador no funcionó, no ejecute docenas de herramientas similares una tras otra. Esto puede dañar la estructura de los archivos y complicar el análisis.

Paso 8. Limpie el sistema y recupere los datos

Después de confirmar la fuente de recuperación, debe eliminar el malware. Una opción segura es la reinstalación completa del sistema desde un medio confiable y la instalación de actualizaciones. Luego, puede restaurar los datos de una copia de seguridad limpia.

Si se trata de negocios, verifique también:

• cuentas de dominio;
• RDP, VPN y acceso remoto;
• registros de entradas;
• archivos adjuntos de correo electrónico;
• permisos de carpetas de red;
• existencia de otros nodos infectados.

Recuperar archivos sin eliminar la causa puede llevar a un nuevo cifrado.

Cómo recuperar acceso con una contraseña o clave olvidada

Si los datos fueron cifrados por usted o su organización, empiece por buscar claves legítimas. Esto es más seguro y efectivo que intentar adivinar.

Verifique los gestores de contraseñas y las anotaciones

Busque la contraseña en:

• el gestor de contraseñas;
• el almacenamiento del navegador;
• las notas en el teléfono;
• anotaciones en papel;
• correos electrónicos antiguos;
• la base de conocimiento corporativa;
• archivos con pistas;
• copias de seguridad del perfil de usuario.

También recuerde patrones que utilizó al momento de crear el archivo comprimido o el contenedor: idioma, disposición del teclado, fechas, caracteres especiales, viejas versiones de contraseñas.

Encuentre la clave de recuperación de BitLocker

Para BitLocker, la clave de recuperación puede almacenarse en varios lugares:

• en la cuenta de Microsoft;
• en Azure AD o Entra ID para dispositivos de trabajo;
• en Active Directory;
• en una impresión;
• en un archivo en una unidad USB;
• en el administrador del sistema;
• en la documentación del dispositivo, si la cifrado se habilitó en la configuración.

Si el sistema pide una clave tras cambiar el BIOS, TPM o el orden de arranque, primero regrese a la configuración anterior. Esto a veces resuelve el problema sin necesidad de descifrar manualmente.

Verifique claves de FileVault y Apple ID

En Mac, la clave de FileVault puede estar asociada con Apple ID o guardada como clave de recuperación. Verifique dispositivos de confianza, configuraciones de Apple ID, el perfil MDM corporativo y documentos creados al habilitar el cifrado.

Si se conoce la contraseña del usuario, pero el disco no se abre, intente iniciar en modo de recuperación y herramientas estándar de macOS. Ante síntomas de falla de hardware, primero realice una imagen del disco.

Evalúe la posibilidad de adivinar la contraseña

Adivinar es posible solo con una contraseña débil o parcialmente conocida. Por ejemplo, si recuerda la base de la contraseña, pero olvidó el año o un símbolo. Para una frase larga aleatoria, la adivinación es prácticamente inútil.

La adivinación legítima solo es aceptable para sus propios datos o con el permiso oficial del propietario. No utilice servicios sospechosos en línea que requieran cargar un archivo confidencial. Es mejor trabajar localmente y con una copia del archivo.

Recuperación de datos cifrados desde un medio dañado

Cuando un disco hace clic, desaparece del sistema, funciona muy lentamente o muestra errores de lectura, la principal tarea es no dañar más el medio.

Signos de falla física

Contacte a especialistas si observa:

• ruidos extraños del disco duro;
• olor a quemado o marcas de sobrecalentamiento;
• el disco se detecta de forma intermitente;
• la velocidad de lectura cae a cero;
• SMART muestra errores críticos;
• el dispositivo ha sido dañado por agua o ha caído;
• el SSD se volvió repentinamente inaccesible.

Para discos cifrados, el error físico es especialmente peligroso. Incluso un pequeño daño en el encabezado del contenedor, el área de servicio o los metadatos puede bloquear el acceso a todo ello.

Por qué se necesita una imagen primero

La imagen del disco es una copia sector por sector. Con ella se puede trabajar repetidamente sin cargar el medio original. Para discos dañados, se utilizan herramientas que pueden omitir sectores defectuosos y volver a ellos más tarde.

Si la contraseña se conoce, la secuencia suele ser:

1. Crear una imagen lo más completa posible del medio.
2. Guardar el original sin más experimentos.
3. Verificar la integridad de los encabezados o contenedor.
4. Intentar montar la copia.
5. Recuperar el sistema de archivos dentro de la imagen descifrada.

Si la contraseña es desconocida y el medio está dañado, la tarea se vuelve significativamente más difícil. En ese caso, es mejor no experimentar.

Comparación de los métodos de recuperación

A continuación, una tabla breve que ayuda a elegir el camino según la situación.

Situación	Mejor primer paso	Posibilidad de éxito	Riesgo
Hay una copia de seguridad limpia	Limpiar el sistema y restaurar el backup	Alto	Bajo
Ransomware conocido	Encontrar un descifrador oficial	Medio	Bajo al trabajar con copia
Ransomware desconocido	Identificación y consulta con especialista	Depende de la familia	Medio
Contraseña de archivo olvidada	Buscar pistas y adivinación local por máscara	Bajo o medio	Bajo
Clave de BitLocker perdida	Verificar cuenta de Microsoft, AD o Entra ID	Medio	Bajo
Disco dañado	Crear una imagen o acudir a laboratorio	Depende del daño	Alto en intentos independientes
Archivos cifrados y sincronizados en la nube	Revertir el historial de versiones	Medio o alto	Bajo

Vale la pena pagar el rescate

El pago a los delincuentes no garantiza la recuperación. Incluso si envían la clave, el descifrador puede funcionar lentamente, dañar parte de los archivos o no ser adecuado para su variante. Además, el pago apoya el esquema delictivo y puede violar políticas internas de la empresa o requisitos de los reguladores.

Antes de tomar cualquier decisión, evalúe:

• si hay copias de seguridad;
• si existe un descifrador gratuito;
• qué datos son realmente críticos;
• cuánto tiempo llevará la recuperación de backups;
• si hay limitaciones legales;
• si necesita notificar a clientes, socios o reguladores;
• si los datos fueron robados antes del cifrado.

Para las organizaciones, es importante involucrar a un abogado, un especialista en seguridad de la información y la dirección. A veces, el incidente está vinculado no solo a la pérdida de acceso, sino también a la filtración de datos.

Cómo aumentar la posibilidad de una recuperación exitosa

Incluso si la situación ya ha ocurrido, ciertas acciones aumentan la probabilidad de éxito.

Conserve todos los artefactos

Conserve notas de los extorsionistas, ejemplos de archivos, registros, correos con archivos adjuntos sospechosos, listas de extensiones y capturas de pantalla. Ayudan a determinar la familia de ransomware y entender la vía de entrada.

Busque originales no cifrados

Los originales pueden quedar:

• en archivos adjuntos de correos;
• en el teléfono;
• en mensajeros;
• en un viejo portátil;
• con colegas;
• en un pen drive;
• en cachés de aplicaciones;
• en la carpeta de descargas;
• en la papelera de la nube.

A veces, un solo archivo cifrado y su versión original son necesarios para un descifrador. Por tanto, no elimine duplicados.

Separe la recuperación de la investigación

El objetivo de la recuperación es devolver datos funcionales. El objetivo de la investigación es entender cómo ocurrió el incidente. Estos procesos están relacionados, pero no deben interferir entre sí. Por ejemplo, se puede restaurar rápidamente el servicio desde una copia limpia, mientras que el servidor infectado se conserve como imagen para análisis.

Prevención: Cómo no perder datos cifrados nuevamente

La mejor manera de recuperar archivos cifrados es tener un plan preparado de antemano. Debe ser simple y comprobable.

Utilice la regla 3-2-1

Conserve al menos tres copias de los datos en dos tipos diferentes de medios, de los cuales una copia debe estar fuera del sistema principal. Por ejemplo: computadora de trabajo, disco externo y nube con historial de versiones.

Para protegerse contra ransomware, son especialmente útiles las copias inmutables. Estos son backups que no se pueden modificar o eliminar con una cuenta ordinaria. En negocios se utilizan almacenes WORM, instantáneas con protección contra eliminación y cuentas separadas para copias de seguridad.

Verifique la recuperación, no solo la creación de backups

Un backup solo es valioso si se puede restaurar de él. Por lo tanto, realice pruebas regularmente:

1. Seleccione algunos archivos importantes.
2. Restaure en una carpeta separada.
3. Verifique si se abren.
4. Compare fechas y versiones.
5. Registre el tiempo de recuperación.
6. Actualice las instrucciones si surgieron problemas.

Esta prueba toma poco tiempo, pero muestra con anticipación los puntos débiles.

Limite los permisos de acceso

El ransomware generalmente actúa con los derechos del usuario que lo lanzó. Si un usuario tiene acceso a todas las carpetas de red, el daño será mayor. Utilice el principio de privilegios mínimos: acceso solo a los datos necesarios para trabajar.

También desactive el acceso remoto innecesario, proteja RDP y VPN con autenticación multifactor, actualice sistemas y filtre archivos adjuntos en correos.

Mantenga las claves de recuperación por separado

Las claves de BitLocker, FileVault, VeraCrypt y contraseñas de archivos deben almacenarse por separado de los datos cifrados. Una buena opción es un gestor de contraseñas confiable con acceso de respaldo, un kit de emergencia impreso en una caja fuerte o un repositorio corporativo de secretos.

No guarde la clave de recuperación en un archivo de texto en el mismo disco cifrado. En el momento del fallo, no estará accesible.

Preguntas frecuentes sobre la recuperación de datos cifrados

¿Se pueden recuperar datos cifrados sin clave?

A veces es posible, pero no mediante el hacking de un cifrado fuerte. Las opciones reales son backup, historia de versiones en la nube, copias sombra, clave encontrada, error en el ransomware o descifrador oficial. Si el algoritmo se implementa correctamente, la clave se ha perdido y no hay copias, la recuperación puede ser imposible.

¿Ayudará un programa de recuperación de archivos eliminados?

Puede ayudar si los archivos originales se eliminaron después de crear copias cifradas y su ubicación en el disco aún no se ha sobrescrito. Pero con SSD y TRIM, la probabilidad disminuye. Es importante instalar el programa en otro disco y escanear la copia del medio, no el original.

¿Se pueden descifrar archivos después de ransomware de forma gratuita?

Sí, si existe un descifrador gratuito para una familia específica. Debe buscarse en los sitios de empresas antivirus conocidas y proyectos especializados. Si no hay descifrador, la recuperación gratuita es posible a través de backups, copias sombra o versiones en la nube.

¿Qué hacer si las fotos en el teléfono están cifradas?

Primero, desconecte Internet y no elimine los archivos. Verifique las copias en la nube: Google Photos, iCloud, OneDrive u otro servicio. Revise la papelera y el historial de cambios. Si se utilizó una tarjeta de memoria, haga una imagen de la misma y trabaje con la copia. No instale aplicaciones desconocidas para descifrar.

¿Se pueden recuperar datos después de formatear un disco cifrado?

A veces es posible, si el formateo fue rápido y la clave es conocida. Pero si se eliminaron encabezados del contenedor cifrado o se sobrescribieron los metadatos, la tarea se complica. Después de formatear, deje de escribir en el disco y cree una imagen.

¿Es necesario acudir a la policía?

En caso de un ataque de ransomware, este es un paso razonable, especialmente para empresas. Informar ayuda a registrar el incidente y puede ser necesario para aseguradoras, reguladores o investigaciones internas. Además, las autoridades a veces obtienen claves de grupos conocidos.

Cuándo consultar a especialistas

Las acciones autónomas son adecuadas si tiene un backup, un escenario claro y no hay signos de fallo físico. Pero se necesita ayuda de un especialista cuando:

• los datos son críticos para el negocio;
• se cifran servidores, bases de datos o contabilidad;
• hay signos de fuga de información;
• el disco está dañado;
• no hay copias de seguridad;
• el tipo de ransomware es desconocido;
• se necesita preservar pruebas;
• o se requiere recuperar una infraestructura complicada.

Al elegir un proveedor, pregunte cómo trabajan con copias, si proporcionan un informe de diagnóstico, si preservan la confidencialidad y si no exigen de inmediato entregar el medio original sin describir el procedimiento.

Breve lista de verificación para la recuperación

Utilice esta lista como una guía rápida:

1. Desconecte el dispositivo infectado de la red.
2. No elimine archivos cifrados ni notas.
3. Cree una copia de los datos o una imagen del disco.
4. Determine la causa: ransomware, clave olvidada, falla del medio o sincronización en la nube.
5. Verifique las copias de seguridad y la historia de versiones.
6. Busque claves de recuperación y contraseñas.
7. Verifique la existencia de un descifrador oficial.
8. Recupere solo en un entorno limpio.
9. Después de la recuperación, elimine la causa del incidente.
10. Configure backups seguros y almacenamiento de claves.

Conclusión

Recuperar datos cifrados no siempre es posible, pero una secuencia correcta de acciones aumenta considerablemente las posibilidades. Primero aísle el dispositivo, guarde copias y determine la causa. Luego verifique backups, versiones en la nube, claves de recuperación y descifradores oficiales. Si los datos son importantes o el medio está dañado, no experimente: consulte a especialistas y trabaje solo con copias. Comience ahora mismo con la lista de verificación anterior: este es el camino más seguro para la recuperación y la protección de datos en el futuro.