Ransomware en mi empresa: me piden rescate

¿Tienes razón?

El núcleo del problema no es 'tener razón' sino gestionar el daño técnico, la responsabilidad contractual y las obligaciones legales: si el atacante cifró datos, puede haber violación de datos personales, incumplimiento de contratos con clientes y riesgos regulatorios. Lo que determina tus opciones son tres factores: existencia y estado de las copias de seguridad, posibilidad técnica de recuperación sin pagar, y la evidencia forense disponible para identificar a los atacantes.

Si contás con copias de seguridad integras y aisladas, tenés una vía de recuperación clara que reduce la necesidad de negociar con atacantes. Si no, la presión por pagar puede ser mayor. También importa si en los datos hay información personal sensible: eso implica obligaciones de notificación ante autoridades o a los titulares de datos según la naturaleza del incidente.

La presencia de contratos con cláusulas de confidencialidad, continuidad del servicio o cláusulas de responsabilidad limita y orienta la respuesta: en algunos contratos tenés obligación de informar a clientes y proveedores; en otros, puede haber indemnizaciones automáticas. Evaluá la cobertura del seguro cibernético: algunas pólizas contemplan gastos por respuesta e incluso el pago de los rescates bajo condiciones contractuales.

Cómo se soluciona

1) Aislá sistemas y preservá evidencia: cortá el acceso a la red afectada sin apagar servidores que contengan logs forenses. Hacé imágenes forenses de discos y conservá dispositivos tal como están. No reinstales ni resetees nada hasta que el equipo forense lo indique.

2) Activá el plan de respuesta a incidentes: contactá al equipo de seguridad interno o a un proveedor externo especializado en respuesta a incidentes y forense digital. Trabajá coordinadamente con el área legal.

3) Notificá y documentá: registrá todas las acciones, comunicaciones con atacantes y las decisiones internas. Evaluá obligaciones contractuales de notificación a clientes y proveedores, y preservá la información que pueda ser requerida por la investigación penal o civil.

4) Denunciá penalmente: el ransomware es delito. La denuncia activa la investigación y permite pedir colaboración internacional de ser necesario; además, la intervención policial o del fiscal puede ayudar a identificar a los autores y recuperar datos en ciertos casos.

5) Evaluá la conveniencia de pagar: es una decisión técnica, financiera y reputacional. Pagar no garantiza la recuperación de todos los datos ni que los atacantes no filtren la información. Consultá con especialistas técnicos y con tu aseguradora y con abogado antes de tomar esa decisión. A veces existen alternativas técnicas para recuperar sistemas sin pago.

6) Comunicá adecuadamente: si el incidente afecta a terceros o datos personales, prepará comunicaciones claras y proporcionadas. Evitá admitir responsabilidades que puedan perjudicar la defensa sin antes asesorarte.

7) Recuperación y reforzamiento: una vez que los sistemas estén restaurados, aplicá parches, renová credenciales, revisá accesos privilegiados y mejorá políticas de backup. Un proceso post-mortem es clave para mitigar riesgos futuros.

Qué puede pasar

1) Recuperación sin pago: si tenés backups y buen soporte técnico, podés restaurar sistemas y minimizar la pérdida. Es la mejor salida cuando es posible.

2) Negociación o pago: algunas empresas negocian con atacantes o pagan; a veces recuperan los datos, otras veces pierden parte de la información o sufren filtraciones posteriores. Además, pagar puede implicar problemas contractuales y de cumplimiento normativo.

3) Litigio y consecuencias: puede haber demandas de clientes por incumplimiento contractual, reclamaciones por protección de datos o sanciones si hubo negligencia en las medidas de seguridad. Si perdés en juicio, podrás enfrentar condenas al pago de daños y costas; si ganás, cobrar dependerá de la situación patrimonial del demandado (el atacante probablemente no tenga bienes identificables).

Cobrar una eventual condena contra un autor extranjero o desconocido es incierto; por eso la prevención y la respuesta técnica son tan relevantes.

Errores que arruinan el caso

• Apagar o formatear sistemas antes de hacer imágenes forenses, perdiendo evidencia.
• No denunciar el hecho y no obtener constancia penal.
• Pagar sin consultar con especialistas técnicos y legales, sin documentar la operación de pago.
• No revisar pólizas de seguro ni contratos que puedan cubrir gastos de respuesta.
• No comunicar a clientes afectados o hacerlo de forma improvisada, lo que puede agravar la responsabilidad y el daño reputacional.