Ransomware en mi empresa: me piden rescate

¿Tienes razón?

Un ataque de ransomware es una intrusión informática donde atacantes cifran o retienen sus datos a cambio de un rescate. La actuación adecuada depende de cuatro cosas:

1. Alcance del daño: qué sistemas están cifrados, si hay exfiltración de datos y qué áreas de la empresa quedan inoperativas. Saber si existe fuga de datos es crucial para la respuesta legal y reputacional.

1. Copias de seguridad y capacidad de recuperación: si dispone de respaldos íntegros y aislados, la necesidad de negociar disminuye. Si no existen respaldos, la decisión de pagar pasa a evaluarse en términos de impacto operativo.

1. Identidad del atacante y prueba forense: imágenes del ransomware, direcciones de la billetera para pagos en criptomonedas y registros de acceso ayudan a construir una investigación penal. La evidencia técnica sin peritaje puede ser insuficiente.

1. Obligaciones legales y de notificación: según los datos comprometidos (clientes, empleados) pueden existir obligaciones de reporte. Además, la coordinación con la Fiscalía es importante para preservar la cadena de custodia de pruebas.

Si la empresa tiene respaldos y respuesta técnica, su posición es más fuerte para rechazar el pago; si no, la opción de negociación puede aparecer como una alternativa pero debe evaluarse con asesoría técnica y legal.

Cómo se soluciona

1. Contención inmediata. Aisle los sistemas afectados desconectándolos de la red para evitar la propagación. Documente las acciones tomadas: qué máquinas se apagaron, cuándo y por quién. No reinicie sistemas sin orden del perito.

1. Preserve evidencia. Haga copias forenses de discos y registros, capture los mensajes del atacante y anote las direcciones de pago. No borre archivos ni realice cambios que puedan alterar metadatos; entregue los equipos a personal técnico con experiencia forense.

1. Contacte a un equipo de respuesta: un proveedor de seguridad informática con experiencia en forense digital y ransomware. El equipo debe evaluar si es posible recuperar datos sin pagar y si los atacantes han exfiltrado información.

1. Informe a las autoridades. Denuncie el hecho ante la Policía o la Fiscalía especializada en delitos informáticos y entregue la evidencia preservada. La investigación penal puede ayudar a establecer responsabilidades y gestionar pedidos de cooperación internacional si el atacante está en otra jurisdicción.

1. Evalúe la necesidad de pagar. La decisión de pagar no es automática y tiene costes legales y éticos. Pagar no garantiza de forma segura la recuperación completa ni que el atacante no vuelva a acceder. Si considera negociar, hágalo con asesoría técnica y legal que contemple las implicaciones y la trazabilidad del pago.

1. Comunicación y mitigación: informe internamente con mensajes claros y registre quiénes deben tener acceso a la información. Si hay datos de clientes o empleados expuestos, prepare comunicados y coordine con asesores legales sobre las obligaciones de notificación.

1. Plan de recuperación a largo plazo. Tras la contención y análisis, implemente medidas para evitar recurrencias: segmentación de red, copias de seguridad off-line, políticas de acceso y formación a empleados.

Qué puede hacer internamente y qué necesita experto: la empresa puede aislar sistemas y conservar evidencia, pero necesita peritos en informática forense y abogados con experiencia en ciberdelitos para coordinar la investigación, las comunicaciones y las relaciones con autoridades y proveedores.

Qué puede pasar

1. Recuperación sin pago. Con respaldo y peritaje puede restaurar sistemas y minimizar pérdidas. Es la salida ideal y valida la inversión en seguridad.

1. Acuerdo con el extorsionador. En algunos incidentes se negocia un pago para obtener la clave de descifrado o no divulgar datos. Aunque puede restaurar la operatividad, pagar no garantiza la ausencia de filtraciones posteriores ni impide nuevas exigencias.

1. Investigación penal y consecuencias legales. La Fiscalía puede investigar, identificar a los autores y, si procede, abrir proceso contra responsables. Además, la empresa puede enfrentar procedimientos administrativos si hubo incumplimiento de obligaciones de protección de datos personales o de notificación a afectados. Si la investigación concluye sin responsables identificados, la empresa podría quedarse con la carga del perjuicio económico.

Si el caso llega a juicio y la empresa obtiene reparación, la ejecución depende de la localización de bienes del atacante. Por eso, la prioridad inmediata es la contención y la recuperación operativa.

Errores que arruinan el caso

• Apagar y encender equipos sin hacer copias forenses: eso puede destruir metadatos imprescindibles para la investigación.

• Pagar precipitadamente sin evaluación técnica: puede facilitar el blanqueo de fondos y no asegurar la recuperación completa.

• No denunciar a la autoridad: la falta de denuncia dificulta la investigación y la cooperación de plataformas y bancos.

• Intentar negociar por cuenta propia con el atacante sin asesoría: facilita la extorsión y puede dejar trazas que compliquen la investigación.

• No revisar proveedores y accesos de terceros: muchos incidentes derivan de proveedores con credenciales comprometidas.