El ransomware en el Ayuntamiento de Cangas no terminó cuando se recuperaron los archivos bloqueados. El incidente, ocurrido en mayo de 2023, paralizó una parte importante de la actividad municipal, afectó a servicios esenciales y derivó en un contrato urgente cercano a los 200.000 euros cuya gestión está siendo investigada judicialmente.
Según la información publicada sobre el caso, el ataque fue atribuido a LockBit 3.0 y habría comenzado después de que un empleado abriera un correo de phishing. El malware cifró sistemas y bases de datos, mientras los atacantes exigían un pago en criptomonedas a cambio de proporcionar las herramientas de descifrado.
El Ayuntamiento recurrió inicialmente a una empresa tecnológica para estudiar los sistemas afectados. Posteriormente, volvió a contratar a la misma compañía para realizar trabajos de auditoría, descifrado y recuperación. La documentación del expediente indicaría que se negoció con los ciberdelincuentes y que se efectuó un pago en bitcoins.
La investigación abierta no se centra únicamente en la existencia del ciberataque. Analiza cómo se tramitaron los contratos, cuál era su finalidad real y si la utilización de fondos públicos se ajustó a la legalidad.
El caso deja una advertencia aplicable a administraciones, empresas y despachos profesionales: pagar un rescate no garantiza el final del incidente. A la pérdida de servicio pueden añadirse costes de recuperación, posibles filtraciones, obligaciones legales, daños reputacionales y responsabilidades derivadas de las decisiones tomadas durante la crisis.
Qué ocurrió en el ransomware en el Ayuntamiento de Cangas
El ataque se detectó durante la madrugada del 18 de mayo de 2023. Al comenzar la jornada laboral, numerosos trabajadores encontraron sus equipos bloqueados y una nota en inglés que exigía un rescate.
El cifrado habría afectado a más de la mitad de los ordenadores municipales y a diferentes aplicaciones y bases de datos. Entre los servicios alterados se encontraban áreas administrativas, contabilidad, gestión tributaria, información policial y procesos relacionados con nóminas y proveedores.
La organización criminal también amenazó con publicar o vender información obtenida durante el ataque si la administración no aceptaba sus condiciones.
Esta doble presión es habitual en el ransomware moderno:
- se cifran los sistemas para impedir que la organización continúe trabajando;
- se intenta extraer información antes del cifrado;
- se amenaza con publicar los datos;
- se exige un pago para entregar una herramienta de recuperación;
- se puede solicitar un segundo pago para no divulgar la información.
Por tanto, recuperar los archivos no demuestra que los datos no hayan sido copiados ni impide que el atacante conserve información o credenciales obtenidas durante la intrusión.
Cómo habría comenzado el ataque
La información difundida vincula el inicio del incidente con un correo de phishing abierto por un empleado municipal.
Un correo fraudulento puede imitar:
- una factura de un proveedor;
- una notificación administrativa;
- un documento compartido;
- una comunicación de Microsoft 365;
- un aviso de mensajería;
- una solicitud de firma;
- una supuesta actualización de seguridad.
El mensaje puede contener un archivo malicioso, un enlace hacia una página preparada para robar contraseñas o instrucciones destinadas a conseguir que el usuario ejecute comandos.
Abrir un correo no siempre provoca una infección. El riesgo aparece cuando se descarga y ejecuta contenido, se introducen credenciales en una página falsa o se aprovecha una vulnerabilidad sin corregir.
Qué es LockBit 3.0
LockBit 3.0 es una variante de ransomware vinculada a una operación criminal que ha utilizado un modelo de ransomware como servicio.
En este modelo, los desarrolladores mantienen la infraestructura y el programa malicioso, mientras diferentes colaboradores ejecutan ataques contra organizaciones. Los beneficios obtenidos se reparten entre quienes gestionan la plataforma y quienes consiguen acceder a las víctimas.
Una intrusión de este tipo puede incluir varias fases:
- obtención de credenciales o acceso inicial;
- reconocimiento de la red;
- elevación de privilegios;
- desactivación de medidas de seguridad;
- movimiento hacia servidores y otros equipos;
- localización de copias de seguridad;
- extracción de información;
- cifrado de sistemas;
- exigencia del rescate.
El mensaje visible en los ordenadores bloqueados es únicamente la última etapa. Cuando aparece, el atacante puede llevar horas, días o incluso semanas dentro de la infraestructura.
El primer contrato de análisis no recuperó los sistemas
Después del ransomware en el Ayuntamiento de Cangas, se adjudicó un primer trabajo técnico para estudiar los sistemas afectados y valorar sus posibilidades de recuperación.
El importe de esta asistencia fue de aproximadamente 5.279 euros. El análisis no permitió resolver el cifrado ni recuperar la operatividad necesaria.
Semanas después, la administración adjudicó a la misma empresa un segundo contrato mediante un procedimiento urgente. En esta ocasión, el objeto se relacionaba con servicios de auditoría, descifrado y recuperación del ransomware.
El importe ascendió a aproximadamente 197.843 euros. Tras el encargo se recuperó una parte importante de la información, pero la documentación incorporada al expediente indicaría que el resultado se consiguió después de negociar con los atacantes y pagar el rescate en bitcoins.
Por qué el pago terminó bajo investigación
La investigación judicial no significa que las personas citadas hayan sido declaradas culpables. Su finalidad es aclarar los hechos, las responsabilidades y la legalidad de las actuaciones realizadas.
Entre las cuestiones examinadas se encuentran:
- la utilización del procedimiento de contratación urgente;
- la adjudicación de dos trabajos a la misma empresa;
- la finalidad real del segundo contrato;
- el conocimiento que tenían los responsables municipales;
- el destino de los fondos públicos;
- la negociación y el pago en criptomonedas;
- la documentación técnica y administrativa aportada.
La Fiscalía apreció posibles indicios de prevaricación, malversación, daños informáticos y coacciones. Será el procedimiento judicial el que determine si existieron delitos y quiénes podrían ser responsables.
En julio de 2026, un concejal del Gobierno municipal fue citado para declarar como investigado. Esta condición procesal garantiza que pueda conocer los hechos atribuidos y ejercer su defensa; no equivale a una condena.
Pagar un rescate no garantiza la recuperación
Ante una paralización completa, pagar puede parecer la forma más rápida de recuperar el servicio. Sin embargo, no existe ninguna garantía de que los delincuentes cumplan su palabra.
Después de pagar puede ocurrir que:
- no se entregue ninguna clave;
- la herramienta de descifrado funcione parcialmente;
- algunos archivos queden dañados;
- la recuperación sea extremadamente lenta;
- los atacantes pidan más dinero;
- la información robada se publique igualmente;
- permanezcan accesos ocultos en la red;
- la organización vuelva a ser atacada.
Además, el pago financia la actividad criminal y confirma que la víctima está dispuesta a negociar. Esa información puede compartirse o venderse a otros grupos.
La decisión tampoco puede tomarse únicamente desde el departamento informático. Debe implicar a la dirección, los responsables legales, protección de datos, aseguradoras, fuerzas de seguridad y especialistas en respuesta ante incidentes.
La recuperación de archivos no cierra el incidente
Descifrar los sistemas permite comenzar a restaurar la actividad, pero no responde a todas las preguntas importantes.
Una investigación forense debe determinar:
- cómo entraron los atacantes;
- qué cuenta utilizaron;
- cuánto tiempo permanecieron dentro;
- qué equipos y servidores alcanzaron;
- si obtuvieron privilegios administrativos;
- qué información pudieron consultar o extraer;
- si manipularon las copias de seguridad;
- si dejaron herramientas de acceso persistente;
- si utilizaron las credenciales en servicios externos.
Volver a conectar los sistemas sin corregir la vía de entrada puede permitir que el ataque se repita.
Por qué las copias de seguridad son decisivas
Una organización con copias recientes, aisladas y verificadas puede recuperar sus sistemas sin depender de la voluntad de los atacantes.
Sin embargo, no basta con comprobar que una tarea automática muestra el estado “completado”. Las copias deben poder restaurarse.
Una estrategia adecuada debe contemplar:
- varias copias de la información;
- soportes o repositorios diferentes;
- una copia separada de la infraestructura principal;
- protección contra modificaciones y borrados;
- credenciales distintas de las utilizadas en el dominio;
- cifrado;
- periodos de retención suficientes;
- pruebas periódicas de restauración;
- documentación del tiempo necesario para recuperar el servicio.
Si las copias están conectadas permanentemente con permisos de escritura, el ransomware puede cifrarlas o eliminarlas junto con los sistemas originales.
El Esquema Nacional de Seguridad regulado por el Real Decreto 311/2022 exige copias que permitan recuperar información perdida accidental o intencionadamente. También establece pruebas periódicas de restauración y, para los niveles aplicables, la conservación de una copia separada que no pueda quedar afectada simultáneamente por el mismo incidente.
El ransomware puede detener servicios esenciales
El impacto de un ransomware no se limita a perder documentos.
En una administración puede impedir:
- tramitar expedientes;
- gestionar impuestos y tasas;
- consultar bases de datos;
- pagar nóminas;
- abonar facturas de proveedores;
- atender solicitudes ciudadanas;
- acceder a registros internos;
- prestar determinados servicios públicos.
En una empresa privada, el mismo ataque puede detener facturación, producción, ventas, logística, correo y atención al cliente.
El coste real debe calcularse sumando:
- horas de inactividad;
- pérdida de productividad;
- servicios técnicos de emergencia;
- investigación forense;
- restauración de sistemas;
- sustitución de equipos;
- asesoramiento legal;
- notificaciones de protección de datos;
- daño reputacional;
- posibles sanciones o reclamaciones.
Qué exige el Esquema Nacional de Seguridad
Las administraciones públicas deben aplicar el Esquema Nacional de Seguridad a sus sistemas y servicios electrónicos.
El ENS establece principios como:
- seguridad entendida como un proceso integral;
- gestión basada en riesgos;
- prevención, detección, respuesta y recuperación;
- existencia de varias líneas de defensa;
- vigilancia continua;
- reevaluación periódica;
- diferenciación de responsabilidades.
También contempla medidas relacionadas con:
- protección del correo electrónico;
- control de accesos;
- mínimos privilegios;
- registros de actividad;
- protección contra código dañino;
- actualización de sistemas;
- copias de seguridad;
- continuidad del servicio;
- gestión de incidentes.
El cumplimiento no debe limitarse a disponer de documentos. Las medidas tienen que estar implantadas, operativas y respaldadas por evidencias.
Medidas que podrían contener un ataque de ransomware
No existe una única herramienta que impida todos los ataques. La protección debe organizarse en capas.
Protección del correo electrónico
El filtrado debe analizar enlaces, archivos adjuntos, remitentes y comportamientos sospechosos. También conviene aplicar SPF, DKIM y DMARC para reducir la suplantación de dominios.
Endpoint y EDR administrado
Una solución EDR puede detectar procesos anómalos, ejecución de scripts, cambios masivos en archivos, desactivación de protecciones y comunicaciones con infraestructura maliciosa.
Autenticación multifactor
El MFA reduce el riesgo de que una contraseña robada permita acceder directamente al correo, VPN, escritorios remotos o servicios cloud.
Mínimos privilegios
Los empleados no deberían trabajar habitualmente con permisos de administrador. Una cuenta limitada reduce las posibilidades del malware para modificar el sistema.
Segmentación de red
Separar usuarios, servidores, copias de seguridad y sistemas críticos dificulta que un atacante se desplace por toda la infraestructura.
Actualizaciones gestionadas
Los sistemas operativos, navegadores, firewalls, VPN y aplicaciones deben mantenerse dentro de soporte y recibir los parches de seguridad disponibles.
Copias aisladas y probadas
La organización debe comprobar periódicamente que puede recuperar servidores, aplicaciones, configuraciones y datos dentro de un tiempo asumible.
Monitorización centralizada
Los registros de equipos, servidores, firewalls y servicios cloud deben analizarse para detectar comportamientos que, observados de forma aislada, podrían pasar desapercibidos.
Cómo ayuda un SOC antes y durante un ransomware
Un Centro de Operaciones de Seguridad supervisa alertas y eventos para identificar señales tempranas de ataque.
Antes del cifrado pueden aparecer indicadores como:
- inicios de sesión desde ubicaciones desconocidas;
- ejecución anómala de PowerShell;
- creación de nuevas cuentas administrativas;
- acceso a múltiples equipos en pocos minutos;
- desactivación del antivirus;
- descarga de herramientas de administración remota;
- conexiones hacia dominios maliciosos;
- intentos de borrar copias o registros.
La detección temprana puede permitir aislar un equipo, revocar una cuenta o bloquear una comunicación antes de que el ransomware alcance los servidores.
En GHM Soluciones Informáticas supervisamos alertas de endpoint, firewall, servidores, Microsoft 365 y redes para valorar su contexto y coordinar las medidas necesarias.
SIEM Wazuh para correlacionar el ataque
Una plataforma SIEM centraliza eventos procedentes de diferentes fuentes.
Por ejemplo, puede relacionar:
- un correo con un archivo sospechoso;
- la ejecución de un proceso en Windows;
- una conexión bloqueada por el firewall;
- la creación de una cuenta administrativa;
- el acceso posterior a un servidor;
- una alerta de cifrado masivo.
Esta correlación aporta una visión más completa que la revisión individual de cada dispositivo.
En GHM Soluciones Informáticas implantamos SIEM Wazuh para empresas para centralizar y conservar eventos de seguridad, generar alertas y facilitar la investigación de incidentes.
Qué debe hacer una organización cuando detecta ransomware
La prioridad inicial es contener el ataque sin destruir evidencias.
Las primeras actuaciones deberían incluir:
- Aislar los equipos afectados de la red.
- Evitar que continúe la propagación.
- Deshabilitar las cuentas comprometidas.
- Proteger las copias de seguridad que sigan intactas.
- Conservar registros, imágenes y evidencias.
- Activar el plan de respuesta a incidentes.
- Contactar con especialistas y fuerzas de seguridad.
- Determinar qué sistemas y datos están afectados.
- Valorar las obligaciones de protección de datos.
- Preparar una recuperación desde entornos verificados.
No deben conectarse copias de seguridad sanas a una red que todavía puede estar comprometida.
Tampoco conviene formatear inmediatamente todos los equipos. Una eliminación precipitada puede destruir información necesaria para averiguar cómo comenzó el ataque.
Qué revisar antes de plantearse un pago
Cualquier organización que valore un pago debería contar previamente con asesoramiento técnico y jurídico especializado.
Entre las cuestiones que deben analizarse se encuentran:
- si existen copias recuperables;
- qué sistemas resultan realmente imprescindibles;
- si hay herramientas públicas de descifrado;
- la fiabilidad conocida del grupo atacante;
- las implicaciones penales, administrativas y contractuales;
- las restricciones derivadas de sanciones internacionales;
- las condiciones de la póliza de ciberriesgo;
- el riesgo de financiar una organización criminal;
- la posibilidad de que los datos se publiquen igualmente.
El pago nunca debe improvisarse ni ocultarse dentro de un servicio genérico de recuperación. Las decisiones deben quedar documentadas y ser trazables.
Lecciones del ransomware en el Ayuntamiento de Cangas
El ransomware en el Ayuntamiento de Cangas muestra que un incidente tecnológico puede transformarse en una crisis operativa, económica, legal y política.
Las principales conclusiones son:
- un solo correo puede iniciar una intrusión grave;
- el cifrado es únicamente una parte del ataque;
- los atacantes pueden robar información antes de bloquearla;
- las copias deben estar aisladas y probarse;
- la recuperación técnica no elimina las obligaciones legales;
- pagar no garantiza el descifrado ni la confidencialidad;
- las contrataciones de emergencia deben ser transparentes y documentadas;
- la respuesta necesita coordinación técnica, jurídica y directiva;
- la monitorización puede detectar señales antes del cifrado.
¿Está tu empresa preparada para recuperarse sin pagar?
La pregunta relevante no es únicamente si una empresa puede sufrir ransomware, sino qué ocurriría durante las primeras horas.
La dirección debería saber:
- quién puede aislar los equipos;
- dónde se encuentran las copias;
- cuándo se probaron por última vez;
- cuánto tardaría en recuperarse el servidor principal;
- qué cuentas tienen privilegios administrativos;
- quién revisa las alertas fuera del horario laboral;
- cómo se comunicaría el incidente;
- qué proveedores participarían en la respuesta.
Si estas respuestas no están documentadas, la organización puede verse obligada a tomar decisiones críticas bajo presión.
Protección frente al ransomware para empresas
En GHM Soluciones Informáticas ayudamos a empresas y organizaciones a reducir el impacto del ransomware mediante:
- auditorías de ciberseguridad;
- protección endpoint y EDR;
- firewalls administrados;
- segmentación de redes;
- copias de seguridad y pruebas de recuperación;
- autenticación multifactor;
- gestión de dispositivos con Microsoft Intune;
- acceso condicional;
- monitorización SOC;
- SIEM Wazuh;
- procedimientos de respuesta ante incidentes;
- adecuación al Esquema Nacional de Seguridad.
Puede consultar nuestras soluciones de protección endpoint y firewall para empresas.
También realizamos auditorías de ciberseguridad para identificar equipos desprotegidos, copias vulnerables, permisos excesivos y carencias de monitorización.
Conclusión: un rescate puede ser solo el principio del problema
El ransomware en el Ayuntamiento de Cangas bloqueó servicios municipales y derivó en un encargo próximo a 200.000 euros. Años después, la gestión del pago y de los contratos continúa bajo investigación judicial.
Este caso demuestra que el coste de un ransomware no termina cuando se recuperan los archivos.
Una organización puede enfrentarse posteriormente a:
- investigaciones judiciales;
- revisión de contratos y decisiones;
- posibles brechas de datos personales;
- daños reputacionales;
- nuevos intentos de extorsión;
- costes adicionales de reconstrucción y seguridad.
La mejor defensa consiste en prepararse antes del ataque: proteger el correo, gestionar los endpoints, limitar privilegios, segmentar la red, supervisar eventos y mantener copias aisladas que hayan sido restauradas con éxito en pruebas reales.
Solicita una revisión desde nuestra página de contacto y comprueba si tu empresa podría recuperar sus sistemas sin depender del pago de un rescate.
Preguntas frecuentes sobre el ransomware en el Ayuntamiento de Cangas
¿Cuándo ocurrió el ransomware en el Ayuntamiento de Cangas?
El ataque se produjo durante la madrugada del 18 de mayo de 2023 y alteró la actividad municipal durante las semanas posteriores.
¿Qué ransomware afectó al Ayuntamiento?
La información publicada atribuye el ataque a LockBit 3.0, una variante vinculada a una conocida operación de ransomware.
¿Cómo comenzó el ataque?
Según las informaciones disponibles, la entrada inicial habría estado relacionada con un correo de phishing abierto por un empleado.
¿Cuánto costó el segundo contrato de recuperación?
El segundo contrato ascendió aproximadamente a 197.843 euros y se adjudicó mediante un procedimiento urgente para realizar trabajos de descifrado y recuperación.
¿Se pagó un rescate en bitcoins?
La documentación citada por la Fiscalía indica que la empresa contratada negoció con los atacantes y procedió al pago de un rescate en bitcoins.
¿Por qué existe una investigación judicial?
La investigación analiza la gestión de los contratos, su finalidad real, el destino de los fondos públicos y las responsabilidades que pudieran derivarse.
¿El concejal investigado ha sido condenado?
No. Ser citado como investigado no significa ser culpable. El procedimiento debe esclarecer los hechos y determinar si existieron responsabilidades penales.
¿Pagar garantiza recuperar los archivos?
No. Los atacantes pueden no entregar la clave, proporcionar una herramienta defectuosa, exigir más dinero o publicar los datos aunque hayan recibido el pago.
¿Cómo puede evitarse el pago de un rescate?
La medida más importante es disponer de copias aisladas y verificadas, combinadas con protección endpoint, segmentación, mínimos privilegios, actualizaciones y monitorización continua.
¿GHM Soluciones Informáticas puede revisar la preparación ante ransomware?
Sí. GHM puede auditar la infraestructura, revisar las copias de seguridad, implantar endpoint, firewall y SIEM Wazuh, y preparar procedimientos de contención y recuperación.
stros y procedimientos de respuesta.
