Madrid simula un ataque de ransomware a un hospital para entrenar la respuesta de los profesionales

1. En qué consiste el ejercicio

Según la información publicada, el ejercicio lo organiza la Comunidad de Madrid a través de su Centro Demostrador de Ciberseguridad y de la Agencia de Ciberseguridad de la Comunidad de Madrid. Se hace en un entorno llamado CyberRange, que reproduce incidentes de ciberseguridad sin afectar a sistemas reales, y recrea un ataque de ransomware (secuestro informático).

El escenario es el de un hospital en el que los profesionales no pueden acceder a determinados archivos, los equipos están bloqueados y los servicios sanitarios podrían interrumpirse. La Agencia de Ciberseguridad recuerda que las consecuencias de estos ataques «pueden comenzar mucho antes de que los delincuentes exijan dinero».

2. Qué se practica

• Investigar y contener un ataque.
• Tomar decisiones con información incompleta, sin comprometer sistemas ni datos reales.
• Conservar las pruebas informáticas.
• Transmitir la información y establecer prioridades.
• Detectar responsabilidades poco definidas, problemas de comunicación y desacuerdos sobre qué hacer primero.
• Comprobar si los procedimientos de respuesta funcionan en la práctica.

3. El Centro Demostrador de Ciberseguridad

Su web lo presenta como una iniciativa para reforzar la ciberseguridad en organizaciones públicas, privadas y en la ciudadanía, mediante formación, concienciación y actividades demostrativas y experimentales, y dice que lo desarrolla la Agencia de Ciberseguridad de la Comunidad de Madrid. Entre sus servicios figuran la demostración, la consultoría, la formación y un laboratorio, así como formación gratuita con certificaciones en tres niveles.

Madrid Actual contó el 23 de febrero de 2026 que la Comunidad lo había puesto en marcha en el laboratorio del Centro de Innovación Digitaliza Madrid, con destino a profesionales y empresas del sector sanitario. Según esa información, ofrece 15 casos prácticos que recrean ataques a hospitales, centros médicos, dispositivos de consulta y sistemas de conectividad de ambulancias, y 16 cursos. Entre los escenarios figuran los accesos no autorizados, el robo de datos, la suplantación de identidad y los fallos de coordinación de emergencias por pérdida de información.

4. Qué sabemos y qué no

5. Un simulacro de una hora para tu empresa

Esto es una recomendación nuestra, no del Centro Demostrador. Se parece a lo que describe el ejercicio, pero en versión sencilla, sin ningún sistema: se sienta el equipo y se repasa en voz alta. Un escenario para practicar, inventado a propósito: «el lunes por la mañana nadie puede abrir los archivos del servidor y aparece un mensaje que pide un rescate».

1. 1

   ¿Quién decide?

   Nombrad a una persona que coordina y a otra que comunica. Si nadie sabe quién es, ya habéis encontrado el primer fallo.
2. 2

   ¿Qué se hace en los primeros minutos?

   Anotad qué se ve, desde cuándo y en qué equipos. No borréis nada. Decidid si hay que aislar equipos de la red.
3. 3

   ¿Qué es lo primero que no puede parar?

   Poned en orden los servicios: facturación, atención a clientes, nóminas. Es lo que marca las prioridades.
4. 4

   ¿A quién avisamos y cuándo?

   Proveedores de informática, clientes y, si hay datos personales, la AEPD en un máximo de 72 horas (guía RGPD). Si se aplica NIS2, hay otros plazos (guía NIS2).
5. 5

   ¿Funcionan las copias?

   Preguntad cuándo se probó por última vez una restauración. Si nadie lo sabe, anotadlo.
6. 6

   Anotad lo que ha fallado

   Responsabilidades poco claras, teléfonos que no estaban, decisiones que nadie podía tomar. Eso es lo que se arregla antes del ataque real.

Para saber más sobre cada pieza: guía RGPD, guía NIS2 y el análisis del ransomware en España.

Preguntas frecuentes

Información actualizada a 21 de octubre de 2026 a partir de las fuentes citadas. En este artículo no hemos hecho suposiciones: lo que no consta en ellas se indica como desconocido.