¿Malware en tu Mac? Cómo proteger y recuperar tus archivos

Después de un incidente de malware, el impulso de “hacer algo cuanto antes” puede empeorar la pérdida de datos. Instalar aplicaciones, seguir usando el Mac, conectar una copia de seguridad con permisos de escritura o reinstalar macOS genera nuevas escrituras y puede reducir las opciones de recuperación. La prioridad es separar dos problemas: recuperar los archivos y volver a confiar en el sistema.

Esta guía está pensada para usuarios de Mac cuyos documentos, fotos, vídeos o proyectos desaparecieron después de una infección por virus u otro malware, un acceso remoto no autorizado o un ataque de ransomware. Si solo se trata de una eliminación accidental sin indicios de malware, puedes seguir directamente el proceso para recuperar archivos borrados en Mac.

1. Qué hacer primero si el Mac tiene malware y faltan archivos

La recuperación de datos y la respuesta a un incidente de seguridad no persiguen el mismo objetivo. La recuperación intenta rescatar archivos; la respuesta al incidente intenta detener el acceso no autorizado y evitar que el problema continúe. Si el Mac puede seguir bajo control de un atacante o de un malware activo, contén primero el incidente y recupera después.

• Aísla el Mac de la red: desconecta Ethernet y desactiva Wi-Fi si sospechas acceso remoto activo, minería, ransomware o actividad desconocida.
• Deja de crear datos nuevos en el disco afectado: evita descargas, actualizaciones innecesarias, instalaciones y copias masivas hasta saber qué archivos necesitas recuperar.
• No conectes todavía una copia de seguridad con permisos de escritura: una amenaza activa podría modificar, cifrar o eliminar también los archivos del respaldo.
• Protege las cuentas desde un dispositivo limpio: si observas inicios de sesión o dispositivos que no reconoces, sigue las indicaciones de Apple para recuperar el control de una Cuenta de Apple en riesgo y cambia las credenciales desde un equipo de confianza.
• Registra lo ocurrido: anota la hora aproximada, archivos afectados, extensiones nuevas, mensajes de rescate, alertas de acceso y cualquier comportamiento extraño. Esto ayuda a distinguir una eliminación de un cifrado o una simple pérdida de visibilidad.

Si es un Mac corporativo o contiene datos regulados: informa al equipo de TI o seguridad antes de borrar, parchear o reinstalar el sistema. En un incidente sensible, preservar la evidencia puede ser tan importante como recuperar los archivos.

Una vez aislado el Mac, no des por hecho que todos los archivos “desaparecidos” fueron eliminados. El método correcto depende del estado real de los datos.

2. Cómo saber qué ocurrió con los archivos

El síntoma “mis archivos han desaparecido” puede corresponder a situaciones muy diferentes. Antes de iniciar un escaneo, compara lo que ves con esta tabla.

Esta clasificación evita un error frecuente: usar software de recuperación cuando el archivo sigue existiendo en una copia sincronizada o, al contrario, intentar “reparar” el sistema cuando los datos ya fueron eliminados. También deja clara una diferencia fundamental: un archivo cifrado por ransomware no es lo mismo que un archivo eliminado.

3. Recuperar una copia limpia: Papelera, iCloud y Time Machine

Si existe una versión intacta del archivo, normalmente es preferible restaurarla antes de buscar datos eliminados en el almacenamiento. Empieza por las fuentes que conservan la estructura, el nombre y el contenido original.

Papelera y búsqueda local

• Abre la Papelera después de contener el incidente y comprueba si están los documentos que faltan.
• Busca por nombre, extensión, fecha o contenido con Finder y Spotlight.
• Si encuentras los archivos, prioriza documentos, fotos, vídeos y proyectos conocidos. Evita restaurar aplicaciones, scripts, instaladores o perfiles desconocidos hasta que el Mac vuelva a ser de confianza.

iCloud Drive

Apple permite recuperar archivos eliminados en iCloud.com durante un plazo de 30 días, siempre que no se hayan borrado de forma permanente. Si sospechas que alguien accedió a tu cuenta, protege primero la Cuenta de Apple desde un dispositivo limpio y evita hacer cambios innecesarios en iCloud Drive mientras recuperas los archivos.

Time Machine

Si usas Time Machine, elige una copia anterior al primer indicio de compromiso. Apple permite restaurar elementos concretos desde una copia de seguridad de Time Machine, lo que resulta más prudente que devolver de golpe todo un sistema potencialmente comprometido.

• Selecciona una fecha anterior a la actividad sospechosa.
• Restaura primero archivos personales conocidos en lugar de aplicaciones o configuraciones completas.
• Si el incidente sigue activo, conecta el disco de Time Machine únicamente a un entorno de confianza.

Si la copia de Time Machine está dañada o no puedes acceder a sus datos, intenta primero recuperar una copia de seguridad de Time Machine almacenada en un disco APFS antes de modificar el disco original.

4. Recuperar archivos eliminados por malware con Recoverit

Cuando ya has contenido la amenaza, no existe una copia limpia y los archivos fueron realmente eliminados o se perdieron de forma lógica, puedes pasar a una herramienta de recuperación. Wondershare Recoverit para Mac está pensado para buscar archivos perdidos en almacenamiento que el sistema todavía puede leer; no elimina malware ni convierte un Mac comprometido en un sistema seguro.

Recoverit no sustituye la respuesta de seguridad: no elimina malware, no descifra ransomware, no evita FileVault, no demuestra que el Mac esté limpio y no recupera datos que ya hayan sido sobrescritos.

Recuperación en 3 pasos

Paso 1Selecciona la ubicación donde faltan los archivos

Instala Recoverit en un entorno de confianza y evita hacerlo en el mismo volumen donde se encontraban los datos eliminados siempre que tengas otra opción. Abre el programa y selecciona el disco o la ubicación afectada.

Paso 2Escanea y filtra los resultados

Inicia el análisis y evita seguir usando el almacenamiento de origen mientras se ejecuta. Utiliza los filtros y la búsqueda para localizar primero los archivos prioritarios.

Paso 3Previsualiza y recupera en otra unidad

Comprueba una muestra de los archivos encontrados, selecciona los que necesites y recupéralos en un SSD, HDD u otra ubicación limpia. No guardes los resultados en el mismo volumen afectado.

En un SSD interno moderno, las posibilidades de recuperar archivos eliminados pueden disminuir rápidamente por nuevas escrituras y procesos de mantenimiento del almacenamiento. Si los datos son irremplazables, minimiza el uso del Mac y no conviertas un intento de recuperación doméstico en una serie de escaneos repetidos.

5. Qué hacer si los archivos fueron cifrados o dañados

Recuperar un archivo eliminado y descifrar un archivo afectado por ransomware son procesos distintos. Si los documentos tienen extensiones nuevas, aparece una nota de rescate o el contenido está cifrado, un escaneo de archivos eliminados no revierte por sí mismo el cifrado.

• Conserva una muestra del incidente: guarda la nota de rescate, una o dos copias de archivos afectados y las extensiones observadas.
• Busca primero una versión limpia: revisa Time Machine, iCloud, historial de versiones de aplicaciones y copias desconectadas.
• No pruebes descifradores aleatorios: identifica la familia de ransomware y utiliza únicamente herramientas de una fuente de seguridad confiable cuando exista un descifrador legítimo.
• Si el ransomware creó una copia cifrada y eliminó el original: puede existir una oportunidad de recuperar el archivo original eliminado si no fue sobrescrito.

La recuperación de archivos afectados por ransomware exige distinguir entre rescatar un original eliminado y descifrar el archivo cifrado; son procesos distintos y no deben tratarse como si fueran equivalentes.

Si un archivo sigue existiendo pero está dañado y no puede abrirse, conserva el original y trabaja siempre sobre una copia. Una reparación de archivo modifica el contenido; primero conviene obtener la mejor copia disponible desde una copia de seguridad, un historial de versiones o una recuperación de datos.

6. CVE-2026-65400: un caso reciente de riesgo en macOS

CVE-2026-65400 es un buen ejemplo de por qué una pérdida de archivos posterior a un acceso no autorizado debe tratarse como algo más que una eliminación accidental. Apple documenta un problema de autenticación en Compartir Pantalla por el que un atacante en la red podía autenticarse sin credenciales válidas. La vulnerabilidad fue corregida a partir de macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9.

Apple publicó la corrección de Tahoe 26.6.1 el 6 de agosto de 2026. El contenido de seguridad de macOS Tahoe 26.6.1 documenta CVE-2026-65400, mientras que el registro de versiones de seguridad de Apple permite comprobar qué actualización posterior es la más reciente y compatible con tu Mac.

El aviso de INCIBE-CERT sobre CVE-2026-65400 clasifica la vulnerabilidad como crítica. Además, el NCSC de Países Bajos informó de explotación activa de CVE-2026-65400 en varios sistemas donde el puerto 5900 era accesible desde internet; en los casos descritos, los atacantes obtuvieron acceso root e instalaron un minero de Monero. Esto no significa que cualquier Mac sin parche haya sido comprometido, pero sí justifica investigar un equipo expuesto que presente señales de acceso remoto o actividad desconocida.

Qué hacer si tu Mac pudo estar expuesto

• Instala la versión más reciente de macOS compatible con tu Mac. Las versiones de la tabla indican dónde se introdujo la corrección; si Apple ofrece una versión posterior, instala esa versión actualizada.
• Desactiva Compartir Pantalla si no lo necesitas. Apple indica que, cuando está desactivado, otros ordenadores de la red no pueden conectarse mediante esta función. Puedes revisar los ajustes en General > Compartir > Compartir Pantalla.
• No confundas parchear con limpiar el sistema. Una actualización cierra la vulnerabilidad corregida, pero no demuestra que una amenaza instalada antes del parche haya desaparecido.

7. Qué hacer si el Mac no arranca o el almacenamiento falla

Un Mac que no arranca después de un incidente puede tener archivos del sistema dañados, un problema del sistema de archivos o un fallo de almacenamiento no relacionado con el malware. Si los archivos son importantes, intenta protegerlos antes de borrar o reinstalar macOS.

• Si el Mac entra en Recuperación de macOS y el disco aparece: comprueba el estado del almacenamiento y prioriza la copia o recuperación de los datos importantes antes de una reinstalación.
• Si Utilidad de Discos muestra errores: recuerda que Primeros Auxilios repara estructuras del sistema de archivos; no es una herramienta para recuperar archivos eliminados.
• Si el disco desaparece, se desconecta o no figura en Utilidad de Discos: evita escaneos repetidos y valora un servicio profesional para datos irremplazables.

La Recuperación de macOS cuando el Mac no arranca con normalidad puede ayudarte a comprobar si el almacenamiento sigue accesible antes de borrar o reinstalar el sistema.

8. Reconstruir el Mac sin restaurar el malware

Recuperar los archivos no significa que el Mac vuelva a ser de confianza. Si hubo un acceso root, malware persistente o señales claras de compromiso, puede ser más seguro reconstruir el sistema después de proteger los datos necesarios.

1. Verifica la recuperación: conserva al menos una copia comprobada de los documentos importantes antes de borrar el Mac.
2. Actualiza o reinstala macOS desde una fuente oficial: instala todas las actualizaciones de seguridad disponibles antes de volver a trabajar con datos sensibles.
3. Reinstala las aplicaciones desde fuentes de confianza: evita migrar aplicaciones, agentes de inicio, extensiones o perfiles desconocidos del sistema comprometido.
4. Restaura datos seleccionados: devuelve documentos, fotos, vídeos y proyectos conocidos en lugar de restaurar a ciegas todo el entorno anterior cuando exista riesgo de persistencia.

Cómo reducir el riesgo de repetir el incidente

• Mantén macOS y sus actualizaciones de seguridad al día.
• Desactiva Compartir Pantalla y Gestión Remota cuando no sean necesarios.
• Protege la Cuenta de Apple con autenticación de doble factor y revisa los dispositivos de confianza.
• Conserva copias de seguridad con versiones y, para los datos críticos, al menos una copia que no permanezca conectada de forma permanente al Mac.
• Instala aplicaciones únicamente desde fuentes de confianza y evita ejecutables, scripts o perfiles de configuración de origen desconocido.

Idea clave: la mejor ruta depende de lo que haya ocurrido con los archivos. Una copia limpia de iCloud o Time Machine es preferible a un escaneo; Recoverit tiene sentido cuando existe una pérdida lógica real en almacenamiento legible; un ransomware requiere una estrategia distinta; y un Mac comprometido puede necesitar una reconstrucción aunque los archivos se hayan recuperado correctamente.