Son las 7:40 a. m. de un lunes. El primer empleado en llegar enciende su computador y en lugar del escritorio aparece una nota: tus archivos han sido cifrados. El servidor de contabilidad no responde, el ERP muestra errores y alguien en el grupo de WhatsApp pregunta si alguien más "tiene la pantalla rara".
En febrero escribimos sobre cómo prevenir el ransomware. Esta vez hablamos de lo que casi nadie planea: qué hacer cuando la prevención falló. Porque en un ataque, las decisiones de las primeras horas determinan si la empresa se recupera en días o en meses.
Hora 0 a 1: contener sin destruir evidencia
El instinto es apagar todo. No lo hagas. Apagar los equipos borra de la memoria información que sirve para entender cómo entró el atacante y, en algunos casos, para recuperar llaves de cifrado.
Lo correcto es aislar:
- Desconecta de la red los equipos afectados: cable de red fuera y Wi-Fi apagado, pero el equipo encendido
- Bloquea el acceso remoto: VPN, escritorio remoto y cualquier herramienta de soporte a distancia
- Suspende las cuentas sospechosas, empezando por las de administrador
- No borres ni reinstales nada todavía, aunque parezca la forma más rápida de volver a trabajar
Hora 1 a 24: organizar la respuesta
Un ataque de ransomware no es solo un problema técnico. Es una crisis que toca operaciones, finanzas, clientes y obligaciones legales. Por eso la primera reunión debe incluir a la gerencia, al responsable de TI, a alguien de jurídico y a quien maneje las comunicaciones.
En esas primeras horas hay que responder cinco preguntas:
- ¿Qué está afectado? Haz un inventario rápido de servidores, equipos y servicios en la nube comprometidos.
- ¿Las copias de seguridad están intactas? Muchos atacantes buscan y cifran los backups antes de lanzar el ataque. Verifícalas antes de confiar en ellas.
- ¿Se robaron datos? Hoy casi todos los ataques son de doble extorsión: además de cifrar, copian la información para amenazar con publicarla.
- ¿Qué variante de ransomware es? Identificarla permite saber si existe un descifrador público y cómo suele comportarse ese grupo.
- ¿A quién hay que avisar? Si hay datos personales comprometidos, la Ley 1581 obliga a reportar el incidente a la Superintendencia de Industria y Comercio. También es recomendable denunciar ante el CAI Virtual de la Policía Nacional y contactar al colCERT.
¿Pagar o no pagar el rescate?
Es la pregunta que todos hacen, y la respuesta corta es: no como primera opción, y nunca sin asesoría. Pagar no garantiza que te entreguen una llave que funcione, no evita que publiquen los datos robados y te marca como una empresa dispuesta a pagar, lo que aumenta la probabilidad de un segundo ataque.
La mejor forma de no tener que hacerse esa pregunta es contar con copias de seguridad que el atacante no pueda tocar.
Día 2 y 3: recuperar con cuidado
Restaurar a toda prisa es el error más común. Si no se cerró la puerta por la que entró el atacante, los sistemas restaurados vuelven a infectarse en horas.
- Encuentra y cierra el punto de entrada: una contraseña filtrada, un correo de phishing, un servidor sin parches
- Cambia todas las credenciales, en especial las de administrador, cuentas de servicio y accesos a la nube
- Restaura por prioridad: primero lo que detiene la operación (facturación, ERP, correo), después lo demás
- Restaura en un entorno limpio y verificado, no sobre los equipos comprometidos
- Comunica con transparencia a clientes y proveedores lo que pasó y lo que estás haciendo
Lo que separa a quienes se recuperan rápido
Las empresas que salen bien libradas de un ataque no tuvieron suerte: tenían un plan escrito antes de necesitarlo. Ese plan incluye quién decide, a quién se llama, dónde están los backups y en qué orden se restauran los sistemas.
Y lo más importante: lo practicaron. Un simulacro de dos horas, donde el equipo recorre un ataque ficticio paso a paso, revela vacíos que ningún documento muestra. Por ejemplo, que nadie sabe la contraseña de la consola de backups o que el único que la conoce está de vacaciones.
Tu tarea para este Halloween
No necesitas esperar a un ataque para saber si tu empresa está lista. Hazte estas tres preguntas hoy:
- ¿Cuándo fue la última vez que restauramos un backup completo y comprobamos que funciona?
- ¿Tenemos al menos una copia de seguridad desconectada o inmutable, que un atacante no pueda borrar?
- ¿Sabe el equipo qué hacer, y a quién llamar, si mañana aparece la nota del rescate?
Si alguna respuesta te dio escalofríos, en Datandina te ayudamos a construir tu plan de respuesta a incidentes, revisar tus copias de seguridad y entrenar a tu equipo con un simulacro. Escríbenos: es mucho más barato prepararse que recuperarse.