Ransomware en mi empresa, piden rescate

¿Tienes razón?

El problema no es sólo técnico: en clave legal, tres factores determinan las opciones y responsabilidades: 1) la gravidad del acceso y si hubo acceso a datos personales o sensibles; 2) la existencia y calidad de copias de seguridad y planes de recuperación; 3) obligaciones contractuales y regulatorias respecto a clientes, proveedores y la protección de datos.

Si los atacantes cifraron sistemas pero no exfiltraron datos, la principal urgencia es restaurar operaciones. Si además hubo exfiltración de datos personales o sensibles, su empresa puede tener obligaciones legales de notificación a afectados y a autoridades competentes, y potencial responsabilidad por incumplimiento de deberes de seguridad. El contenido del contrato con clientes y proveedores (cláusulas de confidencialidad, niveles de servicio, seguro cibernético) también condiciona la respuesta: un contrato puede imponer la obligación de notificar incidentes y de adoptar medidas de mitigación.

La decisión sobre pagar o no el rescate no es sólo técnica ni legal: pagar no garantiza recuperar todos los datos ni que los atacantes no filtren la información después. Además, en algunos contextos internacionales pagar a ciertos actores puede implicar riesgos adicionales, como financiación de actividades ilícitas; esa valoración exige asesoría especializada.

Cómo se soluciona

1) Contención inmediata:

• Aísle sistemas afectados: desconecte de la red las máquinas comprometidas, desactive cuentas comprometidas y preserve evidencias de logs y comunicaciones con los atacantes. No reponga ni apague sin peritaje si no sabe cómo hacerlo sin perder evidencia.

2) Active copias y recuperaciones:

• Si tiene copias de seguridad seguras, valide su integridad y proceda a la restauración en entornos aislados. No restaure en caliente sin peritaje técnico que garantice que la amenaza fue neutralizada.

3) Reúna peritaje forense:

• Encargue un análisis forense para determinar vectores de entrada, alcance de la intrusión, si hubo exfiltración y qué información fue afectada. El peritaje documentará evidencias útiles para reclamaciones legales y seguros.

4) Considere notificaciones necesarias:

• Si hubo exfiltración de datos personales, evalúe las obligaciones de notificación a clientes y autoridades competentes según la normativa aplicable y las cláusulas contractuales. Prepare comunicación clara y veraz para clientes y proveedores.

5) No acceda a pagos sin asesoría:

• Antes de decidir pagar, consulte con su asesoría legal y con especialistas en ciberseguridad y respuesta a incidentes. Pagar puede tener consecuencias comerciales, regulatorias y de riesgo adicional; además, no garantiza la recuperación total.

6) Contacte su aseguradora y proveedores de servicios:

• Si tiene póliza cibernética, notifíquela; muchas pólizas cubren respuesta a incidentes y costos de peritaje. Informe a los proveedores de hosting, servicios críticos y a su equipo legal.

7) Valore acciones legales y contractuales:

• Según el peritaje, podrá identificar responsables (por ejemplo, agentes externos negligentes) y evaluar reclamaciones contra terceros por falta de medidas de seguridad. También prepare la defensa ante posibles reclamos de clientes cuyos datos hayan sido afectados.

Qué puede hacer solo y qué necesita profesional:

• Usted puede aislar sistemas y activar procedimientos internos de recuperación si dispone de protocolos y copias de seguridad confiables.
• Necesita peritos forenses, un equipo de respuesta a incidentes y un abogado que coordine notificaciones, relaciones con aseguradoras y evaluación de responsabilidades legales.

Qué puede pasar

1) Se resuelve internamente con restauración desde backups. Si las copias son válidas y el incidente se contiene, la recuperación sin pago y sin consecuencias jurídicas mayores es posible. Esto es lo ideal cuando la empresa cuenta con planes y copias segregadas.

2) Negociación y posible pago del rescate. En algunos incidentes se negocia con atacantes y se acuerda pago; aunque en muchos casos trae incertidumbres: la clave de descifrado puede ser incompleta o los atacantes pueden filtrar datos después del pago. Un acuerdo negociado puede ser un mal menor para evitar paralización, pero requiere asesoría para documentar el proceso y mitigar riesgos legales.

3) Reclamaciones y sanciones. Si hubo exposición de datos personales, pueden presentarse reclamos de clientes y acciones administrativas. La responsabilidad empresarial dependerá de las medidas de seguridad adoptadas antes del incidente. Incluso sin sanción, la gestión reputacional puede ser costosa.

Y si gana, ¿cobra? En este contexto no se trata de ganar un pleito tradicional; la cuestión es si podrá recuperar costes mediante seguros o demandas contra proveedores negligentes. Una sentencia favorable contra un tercero no garantiza liquidez inmediata y puede tardar en ejecutarse.

Errores que arruinan el caso

• No preservar logs y evidencias al intentar «arreglar» el sistema: reinstalar servidores sin peritaje destruye pruebas clave.
• Pagar el rescate sin documentarlo o sin asesoría: el pago sin estrategia puede empeorar la situación y no asegurar la recuperación.
• No informar a aseguradora o incumplir cláusulas contractuales sobre notificación: puede perder cobertura o agravar responsabilidades.
• Comunicar mal a clientes: mensajes confusos o tardíos aumentan las reclamaciones y el daño reputacional.
• No segmentar y aislar sistemas: permitir que la infección se propague por no desconectar segmentos de red aumenta alcance del daño.