Nos infectaron con ransomware y piden rescate

¿Tienes razón?

No se puede decir si puede o debe pagar el rescate sin revisar cuatro factores clave: alcance del ataque, tipo de datos comprometidos, impacto en operaciones y capacidad de recuperación.

• Alcance del ataque: identifique si el cifrado afecta solo a determinados equipos o a servidores centrales y backups. Si los backups están intactos, la recuperación técnica es más factible.

• Tipo de datos comprometidos: si hay datos personales, especialmente datos sensibles, la obligación de investigar y, en su caso, notificar a las autoridades o a los afectados es diferente a un problema puramente operativo.

• Impacto en servicios críticos: si el ataque paraliza servicios esenciales (atención al cliente, procesamiento de nóminas), las decisiones operativas deben equilibrar continuidad y preservación de pruebas.

• Evidencias disponibles: conservar logs, copias forenses de discos y registros de eventos ayudará a la respuesta y a una posible investigación judicial. Si no hay evidencia, la investigación y la atribución serán más difíciles.

Con base en estos elementos se decide la hoja de ruta: contención técnica, restauración, notificación y valoración de medidas legales.

Cómo se soluciona

1. Aísle los sistemas afectados. Desconecte redes y separe máquinas comprometidas para evitar que el cifrado se propague. No reinicie equipos sin un plan forense.

1. Preserve la evidencia. Haga imágenes forenses de discos, conserve logs de red y registre todo lo que observe. La evidencia ayuda para la investigación y para una posible acción penal o aseguradora.

1. Active el plan de respuesta a incidentes. Si tiene uno, despliegue roles y responsabilidades: quién coordina, quién comunica, quién gestiona técnicos forenses y legales.

1. Informe a proveedores y especialistas. Contacte a su proveedor de ciberseguridad o a un especialista en respuesta a incidentes para diagnosticar el tipo de ransomware y posibilidades de desencriptado.

1. Evalúe la necesidad de notificar. Si hay datos personales afectados, deberá evaluar obligaciones de notificación a autoridades competentes y a los titulares de los datos. Consulte asesoría legal para determinar el alcance y la forma de la comunicación.

1. No pague el rescate sin asesoramiento. Pagar no garantiza la recuperación de datos ni evita futuras responsabilidades; además, puede haber implicaciones penales o contractuales. Evalúe alternativas de recuperación técnica y la relación con seguros.

1. Coordine la comunicación externa. Prepare un comunicado claro para clientes y empleados que explique qué ha ocurrido, qué datos podrían haberse visto afectados y las medidas que toma la empresa. Evite atribuciones sin evidencia.

1. Recupere sistemas desde copias seguras. Si cuenta con backups íntegros, realice restauraciones controladas y valide integridad antes de volver a producción.

1. Revisión post incidente. Documente causas, vulnerabilidades explotadas y aplique medidas correctoras: parcheo, segmentación de red, doble factor de autenticación y revisión de políticas de acceso.

1. Considere medidas legales. Si identifica responsables o negligencias de terceros (proveedores que no cumplían contratos), valore acciones civiles o penales. La Defensoría Pública puede asistir en casos que reúnan condiciones de acceso a justicia gratuita.

Qué puede hacer usted solo: desconectar equipos, conservar copias y comunicarse con los empleados. Necesitará peritos informáticos y asesoría legal para notificaciones, negociación con aseguradoras y posibles acciones judiciales.

Qué puede pasar

1) Recuperación con backups y sin pago. Si dispone de copias limpias, podrá restaurar operaciones y limitar daños. Normalmente esta es la opción preferible para reducir riesgos.

2) Negociación con atacantes o acuerdo técnico. Algunas organizaciones negocian con atacantes o contratan servicios de desencriptado. Esta vía conlleva riesgos: no hay garantía de recuperar todo y puede atraer mayores ataques futuros. También puede complicar la relación con aseguradoras y autoridades.

3) Investigación penal y sanciones administrativas. Si hay datos personales expuestos, puede abrirse investigación ante autoridades competentes. Si se acreditan incumplimientos de medidas de seguridad, puede haber sanciones administrativas o responsabilidad civil. En procesos judiciales, es posible reclamar daños, pero la ejecución depende de la capacidad del demandado.

Y si gana, ¿cobro? Ganar un juicio por daños no asegura la recuperación si el responsable no tiene activos. Además, probar daños y su cuantía requiere peritajes técnicos y económicos.

Errores que arruinan el caso

• Apagar y encender equipos sin imágenes forenses: destruye evidencia clave para atribución y para negociar con aseguradoras.

• No documentar las decisiones: la ausencia de registro complica las defensas ante autoridades y aseguradoras.

• Pagar sin consulta: pagar sin estrategia puede no resolver el problema técnico ni evitar responsabilidades posteriores.

• No revisar cláusulas de seguro y contratos: ignorar exclusiones de cobertura puede dejarle sin protección cuando más la necesita.

• No informar internamente: retrasar la comunicación a empleados y clientes empeora la gestión reputacional y puede aumentar responsabilidades legales.