Fui víctima de ransomware y piden rescate

¿Tienes razón?

Si te han pedido rescate por cifrar tus archivos, no eres culpable por haber sufrido el ataque. Lo que determina si tienes una solución práctica son tres cosas: 1) si tienes copias de seguridad fiables y aisladas; 2) la criticidad de los datos afectados (datos personales, secretos comerciales, información sensible de clientes o sistemas operativos); 3) la existencia de evidencia que permita a peritos forenses reconstruir el incidente. Si tienes copia de seguridad intacta y puedes restaurar sin pérdida material, tu posición es fuerte: la urgencia técnica y comercial que genera el ataque no obliga a pagar. Si no tienes respaldo, y además hay datos personales o contractuales en riesgo, la decisión será más compleja y dependerá de la valoración técnica y comercial.

Además, la obligación de notificar puede surgir según la normativa aplicable y las obligaciones contractuales con clientes: revisa contratos y políticas de privacidad. El hecho de haber pagado o de estar en contacto con los atacantes no borra la necesidad de informar a las autoridades y, en su caso, a los afectados.

Cómo se soluciona

1) Aísla y no apagues: desconecta los equipos de la red (pero documenta todo). Si apagas o formateas sin registrar, destruyes evidencia. Exporta registros (logs) y haz capturas de pantalla de los mensajes de los atacantes. Guarda copias forenses de discos si es posible; si no sabes cómo, haz una imagen y no la modifiques.

2) No negocies solo. Contacta a la policía y a la unidad especializada de la Fiscalía o Carabineros en delitos informáticos para denunciar el hecho. Paralelamente, avisa a tu proveedor de ciberseguridad o a un perito que haga un análisis forense. La coordinación entre perito y fiscalía es clave para preservar evidencia.

3) Revisa tus respaldos y planea la recuperación. Identifica la última copia buena y cómo restaurarla. Si la copia está en línea o accesible desde las máquinas comprometidas, aísla primero. La restauración debe planearse para evitar que el malware se propague a la copia.

4) Evalúa el riesgo legal y contractual. Comprueba si debes notificar a clientes o autoridades (por ejemplo si hay datos personales expuestos). Prepara comunicaciones sencillas y veraces: qué ocurrió, qué datos fueron afectados y qué medidas estás tomando. No inventes ni minimices sin base técnica.

5) Decide sobre el pago del rescate con asesoría técnica y legal. Pagar no garantiza recuperar todo ni que los atacantes no vuelvan a extorsionar. Además, dependiendo del origen y destinatarios del pago, puede haber implicancias legales o de bloqueo de activos. Un abogado y un experto en ciberseguridad deberían evaluar alternativas.

6) Conserva toda la cadena de custodia de la información: correos, chats, transferencias, capturas. Si vas a presentar una demanda civil o querella, necesitarás demostrar daños y la relación con el atacante.

7) Revisa y mejora: una vez recuperado, implementa medidas de mitigación: segmentación de redes, control de accesos, autenticación fuerte, copias de seguridad offline y revisiones periódicas.

Separación de tareas: tú puedes: aislar equipos, guardar pantallazos, reunir contratos y registros contables, localizar respaldos y notificar a clientes básicos. Necesitarás un perito cuando haya que extraer evidencia técnica de discos, y un abogado para evaluar obligaciones de notificación, riesgos de pago y coordinación con fiscalía.

Qué puede pasar

1) Se arregla con una carta o negociación. A veces la restauración y ajuste de copias basta para evitar mayores daños y la relación comercial continúa. Si tus respaldos funcionan y restauras, lo más habitual es que no haya pago. Esta salida es la menos costosa y la que devuelve la normalidad más rápido.

2) Acuerdo o pago del rescate. Las empresas pueden aceptar pagar o negociar. Un acuerdo rápido evita paradas prolongadas, pero tiene riesgos: no hay garantía de que los atacantes entreguen la clave, ni de que no vuelvan a extorsionar. Además, pagar puede complicar denuncias posteriores y tiene implicancias contractuales con clientes si la empresa ocultó el incidente.

3) Procedimiento penal y/o civil. Puedes presentar denuncia ante la Fiscalía por delito informático. En paralelo, podrías reclamar daños ante tribunales civiles si identificas responsables. Si llevas el caso a juicio y pierdes, podrías asumir costas; si ganas, podrías obtener reparación pero cobrar dependerá de la solvencia del responsable. Una sentencia no garantiza efectivo si el autor es difícil de localizar o insolvente.

Y si ganas, ¿cobras? Una sentencia a tu favor es un título, pero su ejecución depende de si el responsable tiene bienes localizables y ejecutables. A veces la reparación real llega por seguro o por acuerdo.

Errores que arruinan el caso

• Borrar logs o formatear equipos sin hacer una copia forense. Eso destruye la prueba central para identificar al atacante.
• Pagar sin documentar ni coordinar con peritos o autoridades. Sin registro, no podrás probar la relación entre el pago y la recuperación.
• No aislar sistemas: dejar equipos conectados puede propagar el malware a copias y respaldos.
• Ocultar el incidente a clientes o autoridades cuando haya obligación de informar. Eso complica la defensa y puede generar sanciones.
• Reinstalar sistemas sin parches y sin revisar vectores de entrada; el ataque se repite.