Mi empresa ha sido víctima de ransomware: ¿qué puedo hacer?

¿Tienes razón?

Que le hayan encriptado archivos o bloqueado el acceso no significa automáticamente que la empresa tiene los mismos recursos para recuperarlos sin coste ni riesgo. Lo que determina si su posición es fuerte son, principalmente, cuatro cosas: la existencia y estado de las copias de seguridad; si hubo fuga de información sensible (datos de clientes, empleados, secretos comerciales); el origen del ataque y si hay evidencia técnica que permita identificar a los atacantes; y la reacción inmediata de su personal técnico y de gerencia para contener el daño y preservar rastros. Si tiene copias de seguridad completas y sin infección, su capacidad de recuperarse es mucho mayor. Si hay robo de datos personales o financieros, la situación añade obligaciones de notificación y riesgos reputacionales y regulatorios.

No importa si cree que la responsabilidad es del proveedor, de un empleado o de un tercero: lo que va a determinar lo que puede reclamar es la prueba técnica (logs, backups, accesos) y documental (contratos de servicios, acuerdos de confidencialidad, pólizas de seguro).

Cómo se soluciona

1. Aísle los sistemas afectados. Corte conexiones de red de las máquinas comprometidas y evite que se repliquen las acciones. Esta es una acción técnica que puede hacer personal de TI interno; si no lo tiene, pida soporte profesional.
2. Preserve evidencia digital sin alterarla. Haga copias forenses de discos y registros de red, guárdelas en un lugar seguro y documente quién tocó qué y cuándo. No reinstale sistemas sobre el original.
3. Identifique el alcance. Liste servidores, estaciones de trabajo, bases de datos y activos afectados; determine si hubo exfiltración de datos. Exporte y conserve logs de firewall, VPN, accesos remotos y autenticación multifactor.
4. Active sus copias de seguridad. Si tiene backups aislados y limpios, planifique la restauración en un entorno controlado para evitar reintroducir el malware. Haga pruebas en entornos aislados antes de restaurar producción.
5. Evalúe la comunicación. Prepare un mensaje interno para empleados y otro para clientes si hay riesgo de fuga de datos. Sea claro sobre lo que sabe y las medidas que toma; la comunicación paralela con clientes o supervisores regulatorios debe ser coordinada.
6. Notifique a la policía y a la autoridad competente. Denuncie el hecho ante la Fiscalía o la autoridad que corresponda y entregue la evidencia preservada. Esto permite iniciar una investigación y buscar colaboración internacional si es necesaria.
7. Contacte su aseguradora y proveedor de servicios gestionados. Revise la póliza de ciberseguridad y los servicios contratados: algunos contratos incluyen respuesta a incidentes y cobertura de recuperación.
8. Documente todo en un registro de incidente. Hora por hora anote decisiones, medidas, quién autorizó qué y costes. Este registro es crucial para cualquier reclamo, denuncia o auditoría posterior.

Qué puede hacer sin abogado: coordinar el aislamiento, conservar evidencia, y denunciar. Qué hace mejor un especialista: evaluar la prueba técnica, preparar la denuncia penal con cadenas de custodia correctas y negociar con aseguradoras o con las autoridades regulatorias.

Qué puede pasar

1) Se arregla extrajudicialmente y se recupera sin denuncia formal: en muchos casos la empresa restaura desde backups y no existe demanda contra terceros. A veces esto incluye pagar consultoría para limpieza y endurecer controles.

2) Acuerdo con terceros o proveedores: si la investigación técnica muestra que la vulnerabilidad vino por un proveedor o tercero, es posible alcanzar un acuerdo o reclamación contractual. Un acuerdo por menos recursos puede ser preferible a un juicio largo: llega antes y reduce incertidumbre.

3) Procedimiento penal y civil: si los atacantes son identificados, la Fiscalía puede iniciar investigación y en paralelo la empresa puede reclamar daños ante la vía civil. Si pierde un reclamo civil contra un tercero, deberá asumir costas procesales. Además, una sentencia a favor no garantiza que las sumas se cobren si el responsable es insolvente o está fuera de jurisdicción.

Y si gana, ¿cobro efectivo? Una sentencia favorable sirve para reconocer la responsabilidad pero el cobro depende de que la contraparte tenga bienes o de acuerdos internacionales de recuperación. Por eso la valoración de la solvencia del responsable es parte de la estrategia.

Errores que arruinan el caso

• Restablecer sistemas o sobrescribir discos sin hacer copias forenses: destruye evidencia para investigar origen y responsables.
• No documentar quién hizo qué: rompe la cadena de custodia y debilita denuncias y reclamos.
• No separar sistemas de pruebas y producción al restaurar backups: reintroduce el malware y pierde la prueba de que el backup estaba limpio.
• No denunciar ni notificar autoridades competentes cuando hay datos personales comprometidos: puede implicar sanciones administrativas y agrava el daño reputacional.
• Comunicar mal a clientes sin confirmar hechos técnicos: genera demandas y pérdidas de confianza.