Archivos cifrados: la diferencia entre perderlos para siempre y recuperarlos
Voy a ser directo contigo. Si tus archivos están cifrados por un ransomware tipo LockBit o BlackCat, las probabilidades de recuperarlos sin copia de seguridad son bajas. Pero no nulas. Y si el cifrado lo hiciste tú mismo —BitLocker, EFS, una carpeta protegida con contraseña— entonces sí, casi seguro que hay solución.
El problema es que la mayoría de artículos que vas a encontrar en Google mezclan todo en la misma bolsa. Da igual si te ha atacado un malware o si simplemente activaste el cifrado de Windows: te mandan a instalar un antivirus y cruza los dedos. Eso no sirve.
Aquí vas a encontrar los métodos reales que funcionan, separados por tipo de cifrado, con las herramientas concretas (y gratuitas) que puedes usar hoy mismo. Llevo más de una década viendo discos afectados y te voy a contar exactamente qué da resultado y qué es perder el tiempo.
Antes de nada: identifica qué tipo de cifrado tienes
Este es el paso donde la gente se equivoca. No todos los archivos «encriptados» son iguales, y el enfoque de recuperación cambia radicalmente según el origen.
| Tipo de cifrado | Causa habitual | ¿Recuperable? | Dificultad |
|---|---|---|---|
| Ransomware con decryptor público | Malware (variantes antiguas) | Sí, en muchos casos | Media |
| Ransomware sin decryptor | Malware (variantes modernas) | Muy difícil sin backup | Alta |
| BitLocker (Windows) | Cifrado propio activado | Sí, con clave de recuperación | Baja |
| EFS (Encrypting File System) | Cifrado NTFS de Windows | Sí, con certificado | Media |
| Vault / carpeta con contraseña | Software de terceros | Depende del programa | Variable |
| FileVault (Mac) | Cifrado macOS | Sí, con clave iCloud o recovery | Baja-Media |
¿Cómo saber cuál tienes? Fíjate en las extensiones de los archivos. Si tus fotos ahora se llaman foto.jpg.lockbit3 o documento.docx.encrypted, es ransomware. Si los archivos tienen un candado en el icono (Windows), probablemente sea EFS o BitLocker. Si recibiste un mensaje de texto pidiendo un rescate en Bitcoin, no hay duda.
Ransomware: tu plan de acción paso a paso
Si confirmas que es ransomware, lo primero es no reiniciar el equipo. Sé que suena contraintuitivo, pero reiniciar puede eliminar procesos del malware que todavía están en memoria —y esa información puede ser crucial para identificar la variante y encontrar un decryptor.
Paso 1: Identifica la variante
No todos los ransomware son iguales. Algunos tienen solución pública y gratuita; otros, simplemente no. Para identificar cuál te ha atacado:
- NoMoreRansom.org — es el proyecto más serio que existe. Lo mantienen Europol, Kaspersky y McAfee entre otros. Tienen una herramienta llamada ID Ransomware donde puedes subir un archivo cifrado y el mensaje de rescate, y te identifica la variante.
- Extensiones de archivo — anota qué extensión han añadido a tus archivos.
.locked,.crypto,.phobos,.akira… cada familia usa extensiones características. - El mensaje de rescate — el archivo de texto que deja el malware suele tener el nombre de la variante o un identificador único.
Paso 2: Busca un decryptor
Una vez sabes la variante, toca ver si existe herramienta de descifrado. Estas son las fuentes fiables que yo uso:
NoMoreRansom tiene más de 170 herramientas de descifrado gratuitas. Familias como Akira, BlackBasta, Phobos, DoNex, FunkSec o Ragnar tienen solución pública. Si tienes suerte y tu variante está en la lista, descargas la herramienta, sigues las instrucciones y listo.
Avast mantiene su propio repositorio con decryptors para más de 30 familias (AES_NI, GandCrab, TeslaCrypt, Jigsaw, etc.). Son gratuitos y funcionan bastante bien.
Emsisoft y Kaspersky también publican herramientas individuales para variantes concretas.
La realidad que nadie te cuenta: a fecha de 2026, las variantes modernas de ransomware (LockBit 3.0, BlackCat/ALPHV, Play, Cl0p) no tienen decryptor público. Si te ha atacado una de estas, las herramientas gratuitas no van a servirte. Lo siento, pero es mejor que lo sepas ahora.
Paso 3: Si no hay decryptor, ¿qué opciones quedan?
Aquí es donde tienes que tomar decisiones difíciles. Básicamente te quedan tres caminos:
Opción A: Restaurar desde copia de seguridad. Si tienes una copia en disco externo, nube o NAS que no estaba conectada al equipo en el momento del ataque, esta es tu mejor opción. Formatea, reinstala y restaura. Es lo más rápido y lo más seguro. Si no tienes copia de seguridad… bueno, ahora entiendes por qué todo el mundo dice que hay que hacerla.
Opción B: Pagary el rescate. Voy a ser honesto: no lo recomiendo. Los datos empíricos son claros. Según un estudio de Sophos (State of Ransomware 2024), solo el 59% de las organizaciones que pagaron recuperaron todos sus datos cifrados. El 41% restante recuperó solo parte o, en algunos casos, nada. Y pagar te marca como objetivo repetible: los grupos de ransomware comparten listas de víctimas que pagan.
Opción C: Servicios profesionales de recuperación. Existen laboratorios especializados que intentan recuperar datos de discos cifrados. No es magia —básicamente intentan explotar fallos en la implementación del cifrado de cada variante concreta. El coste ronda entre 500€ y 3.000€ para particulares, bastante más para empresas. Y no garantizan nada. Si vas por este camino, exige un diagnóstico gratuito antes de pagar.
Cifrado propio de Windows: BitLocker y EFS
No todo es ransomware. Mucha gente llega a este tipo de artículos porque ha activado —a veces sin saberlo— el cifrado que viene de serie en Windows. Y la buena noticia es que esto sí tiene solución casi siempre.
BitLocker: cuando Windows te bloquea tu propio disco
BitLocker es el cifrado de disco completo de Windows Pro y Enterprise. Si has actualizado Windows y te pide una clave de recuperación de 48 números, eso es BitLocker. También aparece si has cambiado la placa base, el TPM o si el equipo detectó un cambio de hardware sospechoso.
Para recuperarlo necesitas la clave de recuperación. Windows la guarda automáticamente en tu cuenta de Microsoft. Puedes buscarla en:
- account.microsoft.com/devices/recoverykey — si el equipo estaba asociado a una cuenta Microsoft, la clave está aquí. Es la opción más común.
- Active Directory — en entornos empresariales, el administrador de TI la tiene.
- Impresión o USB — si al activar BitLocker elegiste guardarla en USB o imprimirla (¿quién hace esto? pues más gente de la que crees).
Si no encuentras la clave en ningún sitio, las opciones se reducen drásticamente. Hay herramientas como Passware Kit que pueden intentar fuerza bruta o recuperar la clave de memoria RAM si el equipo estaba encendido, pero cuesta alrededor de 500€ y no es garantía de nada.
EFS (Encrypting File System): el cifrado olvidado
EFS es más sutil que BitLocker. Cifra archivos individuales en lugar del disco entero. Los archivos afectados muestran un candado verde en el icono. El problema viene cuando copias esos archivos a otro equipo o reinstalas Windows: sin el certificado original, son ilegibles.
Para recuperar archivos EFS necesitas el certificado de cifrado. Si lo exportaste (herramienta certmgr.msc), perfecto. Si no:
- Busca en
%APPDATA%\Microsoft\Crypto\RSAdel perfil de usuario original - Si el perfil de usuario sigue accesible (aunque Windows no arranque), puedes sacar la clave con herramientas como Elcomsoft Advanced EFS Data Recovery (199€)
- En entornos corporativos, el administrador del dominio tiene un agente de recuperación (DRA) que puede descifrar los archivos
macOS: FileVault y carpetas cifradas
En Mac, el cifrado nativo se llama FileVault. Si lo activaste y olvidaste la contraseña, Apple te pide la clave de recuperación (un código largo) o acceso a tu iCloud para desbloquear. Es bastante más amable que BitLocker en este sentido.
Si tienes archivos individuales cifrados en Mac —normalmente en formato .dmg con contraseña o archivos creados con Disk Utility— la recuperación depende enteramente de ti. No hay backdoor. Si pierdes la contraseña, las opciones son:
- hashcat con diccionario si usaste una contraseña débil (puede funcionar en horas)
- johntheripper para formatos dmg antiguos
- Aceptar la pérdida
Archivos ZIP/RAR/7z protegidos con contraseña
Este es el escenario más común después del ransomware. Tienes un archivo comprimido con contraseña, no la recuerdas, y necesitas abrirlo. Aquí sí hay esperanza.
La herramienta de referencia es hashcat (gratuita, open source). El proceso es sencillo en concepto:
- Extraer el hash del archivo protegido con
zip2john,rar2johno similar (incluidos en johntheripper) - Atacar ese hash con diccionario o fuerza bruta usando hashcat
- Cuando encuentre la contraseña, descomprimir normalmente
¿Cuánto tarda? Depende totalmente de la contraseña. Una contraseña de 6 caracteres numéricos se rompe en segundos. Una de 10 caracteres alfanuméricos con símbolos puede tardar años. Una contraseña de diccionario (como «mariposa2024») se rompe en minutos con un buen diccionario.
Para ZIP específicamente, también existe fcrackzip (más simple pero efectivo para contraseñas cortas) y versiones antiguas de WinZip con cifrado ZipCrypto que son vulnerables a ataques de texto conocido (Known Plaintext Attack con la herramienta bkcrack).
Herramientas gratuitas que de verdad funcionan
Voy a dejarte una lista honesta de lo que merece la pena instalar y lo que no. He probado prácticamente todas.
| Herramienta | Para qué sirve | Precio | Mi valoración |
|---|---|---|---|
| NoMoreRansom Decryptors | Ransomware identificado | Gratis | Imprescindible. Lo primero que probar |
| Avast Ransomware Decryptors | 30+ familias de ransomware | Gratis | Muy bueno, complementa a NoMoreRansom |
| hashcat | Contraseñas de ZIP, RAR, Office | Gratis | El estándar de la industria. Curva de aprendizaje alta |
| Passware Kit Forensic | BitLocker, EFS, todo tipo de cifrado | ~500€ | Potente pero caro. Para casos desesperados |
| Elcomsoft AEFSDR | Archivos EFS de Windows | 199€ | Lo mejor que existe para EFS |
| VeraCrypt (prevención) | Cifrar tus archivos correctamente | Gratis | No es recuperación, pero úsalo para evitar problemas futuros |
Lo que NO debes hacer (errores que empeoran todo)
He visto casos donde el intento de recuperación ha destruido lo poco que se podía salvar. Evita esto:
- No pagues inmediatamente. Los precios de rescate bajan con el tiempo en muchas variantes. Espera 1-2 semanas y vuelve a contactar (si decides que vas a pagar, que insisto, no deberías).
- No instales el decryptor sin haber eliminado el malware antes. Si el ransomware sigue activo, volverá a cifrar todo lo que descifres. Pásate un antivirus decente primero (Windows Defender actualizado sirve, pero recomiendo Malwarebytes como segunda opinión).
- No formatees si vas a llevarlo a un profesional. El formateo destruye cualquier rastro de la clave que pueda quedar en sectores no asignados.
- No uses herramientas milagrosas de internet. Si un programa promete descifrar LockBit 3.0 por 29,99€, es estafa. Las herramientas reales son gratuitas (NoMoreRansom) o cuestan lo que un profesional (500€+).
- No conectes el disco afectado a otro equipo sin aislamiento. Algunos ransomware se propagan por red. Usa un USB o aísla el equipo de la red.
Prevención: la única solución real
Voy a serte franco. Si has llegado hasta aquí buscando cómo recuperar archivos cifrados, probablemente ya es demasiado tarde para esta vez. Pero para la próxima:
Regla 3-2-1: 3 copias de tus archivos, en 2 soportes distintos, con 1 copia fuera de línea (desconectada). Esto es lo único que garantiza recuperación ante ransomware. No hay software antivirus que te proteja al 100%.
Si necesitas recuperar datos de un disco que ha dejado de funcionar físicamente, echale un ojo a nuestra guía sobre discos con clic de la muerte —si el disco hace ruidos raros, el problema no es el cifrado, es el hardware.
Para archivos protegidos con contraseña que sí recuerdas pero están en un dispositivo dañado, la recuperación de datos en SSD tiene sus propias particularidades que conviene conocer antes de intentar nada.
Y si el problema es que tienes archivos de Office corruptos (no cifrados por malware, sino dañados), tenemos guías específicas para recuperar Excel corruptos y documentos Word dañados que pueden ayudarte.
FAQ: preguntas reales que me hacen siempre
¿Puedo recuperar archivos cifrados sin pagar?
Sí, en algunos casos. Si la variante de ransomware tiene un decryptor público gratuito (consulta NoMoreRansom.org), puedes hacerlo tú mismo. Si no existe decryptor, las opciones se reducen a backup o recuperación profesional. Pagar no garantiza nada.
¿El antivirus puede descifrar mis archivos?
No. El antivirus elimina el malware para que no siga cifrando, pero no revierte el cifrado ya hecho. Algunos antivirus incluyen herramientas de descifrado para variantes concretas, pero son las mismas que encontrarías gratis en NoMoreRansom.
¿Cuánto cobra un servicio profesional de recuperación?
Para ransomware en particulares: entre 500€ y 2.000€, según la variante y la cantidad de datos. Para empresas, puede llegar a 10.000€ o más. Exige siempre un diagnóstico gratuito. Si te piden dinero por delante sin analizar el caso, desconfía.
¿Funciona el software de recuperación de archivos normal (tipo Recuva)?
No para archivos cifrados. Recuva y similares recuperan archivos borrados, no archivos cifrados. Son problemas completamente distintos. Si quieres conocer alternativas a Recuva para otros casos, tenemos un análisis de las mejores alternativas.
¿Puedo evitar que vuelva a pasar?
Sí, con copias de seguridad fuera de línea y sentido común. El 90% de los ataques de ransomware entran por phishing o por RDP expuesto. No abras adjuntos sospechosos, usa doble factor en todo lo que puedas y mantén una copia de seguridad en un disco que no esté siempre conectado al equipo.
Veredicto: ¿se pueden recuperar archivos cifrados?
Depende completamente del tipo de cifrado y de si tienes copia de seguridad. Resumamos:
- Ransomware con decryptor público: sí, gratis, usando NoMoreRansom o Avast.
- Ransomware moderno sin decryptor: prácticamente imposible sin backup. No caigas en estafas.
- BitLocker: sí, si encuentras la clave de recuperación en tu cuenta Microsoft.
- EFS: sí, si tienes el certificado o acceso al perfil original.
- ZIP/RAR con contraseña: posible con hashcat si la contraseña no es muy compleja.
La realidad es que la mejor recuperación de archivos cifrados es la que nunca necesitas hacer. Suena a tópico, pero en esto no hay atajos: copia de seguridad, copia de seguridad, copia de seguridad. Y mantenla desconectada del equipo principal.
Si estás en medio de un ataque de ransomware ahora mismo, respira. Identifica la variante, consulta NoMoreRansom, y si no hay solución pública, valora con frialdad si los datos merecen lo que va a costarte recuperarlos —sea en tiempo, en dinero o en frustración.
