Mi empresa sufre ransomware y exigen pago para liberar información

¿Tienes razón?

Que te pidan un rescate no convierte la situación en una cuestión sólo técnica: es también un problema jurídico y de cumplimiento. Lo que determina si tu decisión de pagar o no es defendible son varias variables:

1. Disponibilidad e integridad de tus respaldos. Si puedes restaurar sistemas desde copias seguras y probadas, pagar pierde sentido práctico. La existencia de backups confiables reduce la presión para negociar.

1. Alcance del cifrado o exfiltración. Algunos ataques cifran datos; otros además exfiltran información y amenazan con hacerla pública. Si hay exfiltración de datos personales, tienes obligaciones de notificación y mayor riesgo legal si no actúas correctamente.

1. Contratos y seguros. Si tienes pólizas de ciberseguridad, su cobertura y procedimientos condicionan cómo debes actuar. Algunos contratos con clientes o proveedores exigen comunicar incidentes; incumplirlos puede generar responsabilidad contractual.

1. Capacidad de recuperación operativa. Si el negocio no puede operar y la paralización causa daño grave a terceros (servicios críticos), la decisión se ve por esta dimensión de continuidad.

1. Recomendaciones de peritos y autoridades. Un peritaje forense puede indicar si una negociación es viable o si hay formas de recuperar claves; además, autoridades o aseguradoras pueden dar recomendaciones que influyen en la opción.

Tener en cuenta estos factores te permite decidir con criterio en vez de reaccionar por pánico.

Cómo se soluciona

1. Aísla y preserva sistemas. Desconecta las máquinas comprometidas de la red sin borrar logs. Guarda imágenes de disco y registros. Documenta cada acción: quién, cuándo y qué cambió.

1. Activa tu respuesta interna y externaliza si hace falta. Informa a la dirección, al área legal y al responsable de continuidad. Si no existe, nombra a alguien. Busca un proveedor experto en respuesta a incidentes y forense.

1. No negocies sin una evaluación. No respondas a los atacantes con promesas o envíos de información. Antes de cualquier negociación obtén un diagnóstico técnico: ¿fue cifrado o solo exfiltrado? ¿hay backups íntegros? ¿cuál es el vector de entrada?

1. Evalúa backups y plan de recuperación. Si puedes restaurar desde una copia fiable, procede a recuperar en un entorno controlado. Testea la restauración antes de volver a operar a plena carga.

1. Revisa contratos y seguros. Notifica al asegurador si procede y sigue su procedimiento. Revisa obligaciones contractuales con clientes que puedan exigir aviso del incidente.

1. Informa a las autoridades pertinentes si hay datos personales comprometidos o delitos denunciables. Consulta con asesoría legal para definir el contenido y alcance de la notificación.

1. Considera la negociación como último recurso. Pagar no garantiza que los atacantes entreguen claves ni que no vuelvan a extorsionar. Además, el pago puede financiar actividades delictivas y generar responsabilidades adicionales.

1. Fortalece controles post-incidente. Cambia credenciales, activa autenticación multifactor y parchea vulnerabilidades. Implementa un plan de continuidad y realiza pruebas de restauración periódicas.

1. Comunica a clientes y colaboradores con transparencia y proporcionalidad. Ofrece instrucciones prácticas de protección si sus datos fueron afectados.

1. Documenta costes y pérdidas para posibles reclamos con seguros o para acciones legales contra terceros responsables (proveedores negligentes, por ejemplo).

Distingue entre lo que puedes hacer tú (aislar, preservar, restaurar backups simples) y lo que requiere expertos (forense, negociación segura con atacantes, manejo de seguros). Un abogado ayuda a evaluar obligaciones legales y riesgos de comunicación.

Qué puede pasar

1) Se arregla sin pagar: si las copias y la contención funcionan, vuelves a operar con pérdidas de disponibilidad pero sin negociar. Esto es frecuente cuando la empresa tenía buen plan de recuperación.

2) Llegas a un acuerdo o pago controlado: en algunos casos se negocia un pago para obtener claves. Aunque no hay garantía, puede restituir funcionalidad rápido; sin embargo, el pago implica riesgos reputacionales y legales y no elimina la obligación de notificar si hubo exfiltración de datos personales.

3) Procedimiento judicial o sanciones: si hubo negligencia grave en seguridad o incumplimiento de obligaciones de protección de datos, pueden surgir demandas civiles o sanciones administrativas. Si pierdes en juicio, podrías pagar indemnizaciones y costas; si el responsable es insolvente, la sentencia podría ser difícil de hacer efectiva.

Si ganas, la ejecución depende de la solvencia del demandado y de si existe un responsable local contra quien cobrar.

Errores que arruinan el caso

• Borrar o modificar evidencias: elimina la posibilidad de peritajes y empeora la defensa.
• Pagar sin documentar ni consultar legalmente: puede empeorar la exposición y no garantiza la recuperación.
• No revisar pólizas antes de actuar: puedes perder cobertura o incumplir requisitos contractuales.
• Reanudar operaciones sin asegurar la vulnerabilidad: permite reatracos por la misma vía.
• Ocultar el incidente a clientes o autoridades si la ley obliga a notificar: aumenta sanciones y desconfianza.