Tu empresa ha sufrido un ataque ransomware: ¿pagar el rescate o no?

¿Tienes razón?

Frente a un ataque ransomware la pregunta no es moral sino estratégica: ¿pagar le permite recuperar operacionalidad de forma más completa que otras opciones y a un coste razonable? Para responder necesita comprobar tres elementos. Primero, la existencia y la calidad de copias de seguridad: si tiene backups íntegros y probados, pagar suele ser innecesario. Segundo, la posibilidad técnica de restaurar sistemas y la disponibilidad de soporte técnico externo para eliminar el ransomware sin ceder. Tercero, la evaluación del riesgo de que los atacantes no cumplan su promesa de desencriptar o que vendan los datos filtrados incluso si paga.

También hay consideraciones legales y regulatorias. Si la afectación incluye datos personales, la empresa tiene obligaciones de notificación y de mitigación. Además, pagar a ciertos grupúsculos podría implicar riesgos de cumplimiento, especialmente si la transacción financia actividades ilícitas. Por eso la decisión debe tomarla con asesoría legal y técnica.

Cómo se soluciona

1) Aislar y contener: Inmediatamente desconecte los sistemas comprometidos de la red y preserve los equipos para análisis forense. No reinicie servidores comprometidos sin plan; documente la situación con capturas y registros.

2) Activar el plan de respuesta a incidentes: Si su empresa tiene un plan, ejecútelo: reúna al equipo de crisis, comunique a dirección y registre decisiones. Si no lo tiene, cree un equipo técnico y legal que coordine actuaciones.

3) Recuperar copias de seguridad: Confirme si las copias existen y si están limpias. Antes de restaurar, verifíquelas mediante pruebas. La restauración desde backups íntegros suele ser la vía más segura para recuperar operaciones sin negociar con atacantes.

4) Consultar peritos y responder técnico-legalmente: Contrate expertos en respuesta a incidentes y un abogado que evalúe obligaciones legales de notificación y riesgos regulatorios. Un peritaje forense identificará el vector de entrada y permitirá cerrar huellas y vulnerabilidades.

5) Evaluar la negociación: Si no hay backups y la operación corre riesgo grave, su empresa puede valorar negociar. Hágalo solo tras consultar con asesores técnicos y legales. Documente cualquier comunicación con los atacantes y evite transferencias directas sin control. Pagar no garantiza que los datos no se publiquen o se vuelvan a pedir rescates.

6) Notificación y comunicación: Si datos personales o sensibles se vieron afectados, prepare comunicaciones a clientes, autoridades y personal. Sea transparente en lo esencial y coordine los mensajes para minimizar daño reputacional.

7) Fortalecer sistemas tras la recuperación: Cambie credenciales, aplique parches, implemente segmentación de red y políticas de backup probadas. Planifique ejercicios de recuperación para evitar futuras interrupciones.

Acciones prácticas ahora: preserve evidencias, priorice la recuperación por backups y pida asesoría externa que evalúe el coste real de recuperación frente al rescate.

Qué puede pasar

Escenario uno: recuperación mediante backups y remediación. Esta es la situación ideal: la empresa restaura sistemas desde copias limpias y aplica medidas para evitar nuevas intrusiones. La recuperación es controlada y minimiza dependencia de terceros.

Escenario dos: negociación y pago seguido de entrega parcial. En algunos casos, las empresas pactan y obtienen claves de descifrado, aunque no siempre la recuperación es completa. El pago puede resolver la operatividad pero genera riesgos de repetición y de responsabilidad reputacional.

Escenario tres: pago y publicación o venta de datos. Pagar no garantiza que los atacantes no vayan a filtrar, revender o volver a pedir rescate. Además, si se demuestran negligencias en seguridad, la empresa puede enfrentar reclamaciones civiles por daños y sanciones administrativas.

Y si paga, ¿puede reclamar después? Pagar no exonera a la empresa de responsabilidades por deficiencias en seguridad. Podría enfrentar reclamaciones de afectados si se prueba falta de medidas razonables de protección.

Errores que arruinan el caso

• No preservar imágenes forenses antes de restaurar: perderá la posibilidad de investigar el vector de entrada.
• Restaurar sin comprobar backups: puede reinfectar la red.
• Negociar sin asesoría técnica y legal: puede empeorar la situación o implicar riesgos regulatorios.
• Pagar sin documentación y sin asegurar la trazabilidad del pago.
• No informar a las partes afectadas cuando la ley exige medidas de protección y notificación.