Seguro de ciberataque: ¿cubre el pago del rescate?
Cuando una empresa se plantea contratar un seguro de ciberriesgo, la primera pregunta suele ser la más directa: si sufro un ransomware, ¿la aseguradora paga el rescate? La respuesta es más matizada de lo que parece, y entenderla bien puede evitar sorpresas caras en el peor momento.
Sí, pero cada vez con más matices legales
En España, que un seguro de ciberriesgo pague el rescate de un ransomware no está prohibido de forma general, aunque existen restricciones si el grupo criminal receptor está sujeto a sanciones internacionales, y cada vez más aseguradoras limitan o directamente excluyen esta cobertura, tanto por ese riesgo legal como porque incentiva que los atacantes sigan eligiendo empresas aseguradas como objetivo.
Lo que sí suele cubrir un seguro de ciberriesgo
- Peritaje forense para identificar cómo entró el atacante y qué se vio comprometido.
- Gastos de notificación a afectados si hay datos personales comprometidos, incluyendo asesoría legal RGPD.
- Gestión de crisis de comunicación, con apoyo de especialistas en reputación durante el incidente.
- Pérdida de beneficios por la interrupción de la actividad mientras se recupera la operativa.
- Responsabilidad civil frente a terceros afectados por la filtración de sus datos personales.
El requisito que hace fracasar más reclamaciones: declarar medidas de seguridad que no existían. Las aseguradoras piden en el cuestionario previo si la empresa tiene antivirus actualizado, copias de seguridad, 2FA en accesos críticos, etc. Si al investigar el siniestro se descubre que esas respuestas no eran ciertas, el siniestro puede rechazarse por completo, dejando a la empresa sin cobertura justo cuando más la necesita.
Por qué pagar el rescate rara vez es buena idea, aunque el seguro lo cubra
Incluso cuando la cobertura existe, pagar el rescate no garantiza recuperar los datos ni que no se filtren igualmente, y confirma al grupo atacante que la empresa "paga", lo que aumenta la probabilidad de sufrir un segundo ataque. La mejor defensa sigue siendo no depender del rescate: copias de seguridad verificadas y aisladas de la red permiten recuperar la operativa sin negociar con nadie, como explicamos en copias de seguridad offline: por qué son necesarias.
Cómo elegir un seguro de ciberriesgo con sentido
Más allá del titular de "cubre o no cubre el rescate", conviene fijarse en los límites de cobertura, el plazo de respuesta garantizado y si incluye acceso directo a un equipo de respuesta a incidentes 24/7. Un seguro sin un plan de respuesta bien definido detrás sirve de poco en el momento crítico; revisa cómo construir ese plan en plan de respuesta ante incidentes: cómo crearlo.
¿Sabes qué cubre realmente tu seguro de ciberriesgo?
Revisamos tu exposición real y te ayudamos a entender qué necesitas cubrir de verdad.
