Tu empresa sufre un ataque de ransomware y te piden rescate

¿Tienes razón?

El problema no es “tener razón” sino gestionar riesgos técnicos y legales. Lo que determina tu posición es: 1) si la intrusión fue por falta de medidas de seguridad razonables, 2) si hubo exposición de datos personales o sensibles, y 3) cómo comunicaste internamente y a terceros (clientes, proveedores, autoridades). Si mantenías medidas básicas de seguridad —copias de respaldo no conectadas, segmentación de red, parches, control de acceso— tu empresa tendrá mejores defensas frente a responsabilidad administrativa o civil. Si, por el contrario, hubo negligencia evidente (backups inexistentes, credenciales compartidas sin control), entonces la situación será más compleja. Además, si datos personales de terceros fueron exfiltrados, tienes obligaciones legales de notificación y de mitigar el daño.

El factor que siempre pesa: la evidencia técnica. Los registros de acceso, back-ups, políticas de seguridad, inventarios de activos y logs de detección son clave para reconstruir qué pasó y cuándo. Sin ellos, negociar con atacantes o justificar decisiones ante autoridades será muy difícil.

Cómo se soluciona

1) Contención y aislamiento. Aísla los sistemas afectados: desconecta de la red, apaga servicios expuestos y evita reiniciar equipos críticos sin copia forense. Esa acción la puede hacer tu equipo de TI, pero debe coordinarse con peritos para no destruir evidencia.

2) Copia forense. Realiza imágenes forenses de los discos y registra hashes. Guarda evidencias de los mensajes del atacante (pantallas, archivos de texto, logs de comunicación). No intentes eliminar el malware por tu cuenta antes de hacer estas copias.

3) Evalúa alcance. Identifica qué datos fueron cifrados y si hubo exfiltración. Revisa logs de salida, transferencias de archivos y accesos a servidores. Si hay datos personales de clientes o empleados, documenta qué tipo de datos fueron afectados.

4) Consultoría técnica y legal. Contacta a un equipo de respuesta a incidentes y a un abogado con experiencia en ciberseguridad y privacidad. Ellos te ayudan a decidir la política frente al pago del rescate, la notificación a interesados y la comunicación pública.

5) Tomar una decisión sobre pago. Esa decisión debe basarse en un balance técnico, legal y de riesgo reputacional: si el pago restaura con alta probabilidad la información y limita la filtración, algunas empresas lo consideran; otras rehúyen por políticas internas y por el incentivo que crea. El hecho de pagar no garantiza que el atacante cumpla.

6) Notificaciones y mitigación. Si hubo exposición de datos personales, prepara las comunicaciones a los afectados y a la autoridad competente, con evidencias y medidas adoptadas para reducir daño. Implementa medidas de remediación técnica: restaurar desde backups seguros, rotar credenciales, parchear vulnerabilidades.

7) Recuperación y mejoras. Revisa y refuerza la política de respaldo, segmentación de red, autenticación multifactor y controles de acceso. Haz pruebas de restauración periódicas.

Acciones que puedes hacer hoy: desconecta activos críticos, guarda capturas del mensaje del extorsionador y solicita imágenes forenses. Acciones que requieren expertos: negociación con atacantes, pericia de malware, redacción de notificaciones a autoridades.

Qué puede pasar

1) Se resuelve sin pagar: restauras desde backups limpios y cierras la brecha técnica. Es lo mejor si los backups son íntegros y no hubo exfiltración crítica.

2) Acuerdo con el atacante o pago del rescate: algunos deciden pagar para recuperar datos, aunque no hay garantía. Pagar puede reducir daño inmediato, pero aumenta riesgos reputacionales y regulatorios.

3) Investigación administrativa o judicial: si hubo filtración de datos personales, la autoridad puede abrir investigación y exigir medidas correctivas y sanciones. En un juicio civil, clientes afectados podrían reclamar indemnizaciones. Si pierdes, las costas de defensa y las indemnizaciones pueden ser elevadas; si ganas, probablemente recuperas control pero no inmunidad reputacional.

Y si ganas, ¿cobras?: ganar un litigio no compensa necesariamente los costos operativos y de recuperación. Muchas pérdidas son de negocio o confianza que no se traducen directamente en cobro.

Errores que arruinan el caso

• Reiniciar o limpiar sistemas sin hacer copias forenses. Eso destruye la prueba y dificulta comprobar cómo entraron los atacantes.
• No mantener backups offline o testearlos. Backups inútiles significan pérdida total de negocio.
• Comunicar mal a clientes o empleados: admitir datos sin tener hechos puede generar pánico o exposición innecesaria.
• Negociar con el atacante sin asesoría técnica y legal: podrías pagar y seguir expuesto.
• Subestimar la necesidad de medidas organizacionales: la ciberseguridad no es solo tecnología, es procesos y responsabilidades claras.