Tu empresa sufre un ataque de ransomware y te piden rescate

¿Tienes razón?

Lo que determina tu posición legal y práctica tras un ransomware son tres factores: la respuesta técnica (si aislaste y preservaste evidencia), las obligaciones contractuales y regulatorias (qué prometiste a clientes y qué cláusulas tenés con proveedores) y la existencia de datos de terceros o especialmente protegidos en tus sistemas. Si tenés backups seguros, un plan de continuidad y registros forenses, podés limitar el daño y demostrar diligencia. Si, en cambio, la empresa no tiene controles básicos, hay más riesgo de responsabilidad por incumplimiento contractual o reclamaciones de titulares de datos.

Otro punto clave es la comunicación: cómo y cuándo informaste a clientes, proveedores y autoridades. Esa comunicación no solo es reputacional; influye en demandas posteriores y en la posible intervención de organismos de control. Además, si el ataque comprometió información personal sensible o información de salud, la discusión legal se complica por el carácter especial de esos datos.

La pregunta del rescate es tanto técnica como legal: pagar no garantiza que recuperes todo, y puede crear obligaciones adicionales o riesgos (transferencia de fondos a actores ilícitos). Por eso la decisión exige información técnica clara sobre el alcance de la encriptación, la calidad de las claves prometidas y la existencia de backups que permitan restaurar servicios sin pagar.

Cómo se soluciona

1. Confiná el incidente y preservá la evidencia.

• Aislá las máquinas afectadas para evitar propagación.
• No reiniciés ni corras utilidades que alteren el disco antes de hacer imágenes forenses.
• Documentá todo lo que hacés: quién desconectó qué y cuándo.

1. Activá tu plan de respuesta a incidentes.

• Si tenés un equipo interno, activalo. Si no, contactá a un proveedor de respuesta forense especializado.
• Coordiná roles: operaciones, comunicaciones, legales y dirección.

1. Evaluá backups y opciones de recuperación.

• Identificá si tenés copias recientes y válidas y qué restauraciones son posibles sin pagar.
• Si los backups están intactos, priorizá restaurar servicios críticos.

1. Conservá las evidencias para una investigación y posible denuncia.

• Hacé imágenes forenses y preservá logs, archivos de ransomware, correos y cualquier indicio de cómo entraron.
• Esa evidencia sirve para una denuncia penal y para posibles reclamos de clientes.

1. Comunicá internamente y a los interesados.

• Preparate un relato claro y consistente para clientes y empleados. Evitá promesas que no podés cumplir.
• Si la información de terceros está comprometida, planificá cómo informar y mitigar el daño.

1. Consultá con el departamento legal o un abogado especializado.

• Evaluá obligaciones contractuales, posibles clausulas de notificación y la necesidad de denunciar a la justicia.
• Si hay aseguradora, activá la póliza y seguí el procedimiento exigido.

Qué podés hacer solo: aislar sistemas, recopilar información básica y notificar a responsables internos. Qué conviene que haga un abogado: coordinar la comunicación legal, evaluar riesgos contractuales y regulatorios, y si corresponde, presentar la denuncia penal y gestionar el contacto con autoridades.

Qué puede pasar

1) Se resuelve con restauración desde backups.

• Es la mejor salida operativa: recuperás servicios sin involucrar pagos a los atacantes. También minimiza el riesgo legal y reputacional si la restauración puede documentarse.

2) Negociación con los atacantes o acuerdo externo.

• En algunos casos, las empresas evalúan pagar para recuperar claves. Aunque eso puede restaurar operaciones, implica transferir fondos a actores que probablemente estén vinculados a delitos y no garantiza la completa recuperación de datos.

3) Denuncia penal y litigio.

• Podés denunciar el delito y reclamar daños en sede civil. Si perdés un juicio, la ejecución depende de la capacidad de los demandados. Además, proveedores o clientes pueden iniciar reclamos contractuales si la interrupción les causó pérdidas.

Si ganás en sede civil, poder cobrar depende de los activos del demandado. Una sentencia no convierte automáticamente la pérdida en efectivo recuperable.

Errores que arruinan el caso

• Reiniciar o intentar reparaciones improvisadas sin imágenes forenses: podés destruir evidencia esencial.
• No documentar las comunicaciones internas y externas: eso dificulta probar diligencia.
• Transferir fondos sin control ni asesoría legal y financiera: puede facilitar el blanqueo y complicar la situación penal y contractual.
• No revisar cláusulas de pólizas y contratos: podés perder cobertura por no seguir protocolos exigidos por la aseguradora.