Mi empresa ha sido víctima de ransomware: ¿qué puedo hacer?

¿Tienes razón?

Que sus sistemas estén cifrados no implica que todo esté perdido ni que haya obligación legal de pagar; lo decisivo es la existencia y validez de respaldos, el alcance del compromiso y la posible exfiltración de datos. Si tiene respaldos fiables e integridad de copias, la recuperación técnica es viable sin negociar con atacantes. Si además hay indicios de exfiltración, la situación se complica porque puede activar obligaciones de notificación a titulares o a autoridades. También importa si el vector del ataque se relaciona con negligencia de un proveedor: esa responsabilidad contractual puede permitir reclamar daños.

Evaluar estas circunstancias requiere un peritaje inicial que identifique el tipo de ransomware, si hubo exfiltración y qué sistemas son críticos.

Cómo se soluciona

1. Aislar y preservar. Aísle redes afectadas, retire equipos de la red y preserve imágenes forenses de servidores y estaciones. No intente abrir archivos cifrados ni ejecutar herramientas de terceros sin respaldo.

1. Peritaje forense. Contrate expertos que identifiquen el vector, el tipo de cifrado, vectores de persistencia y si hubo extracción de información. El informe técnico es pieza clave para la evaluación legal y para la comunicación con autoridades.

1. Identificar respaldos y plan de recuperación. Verifique la integridad de respaldos fuera de línea y diseñe un plan de restauración priorizando sistemas críticos. Si los respaldos están intactos, la restauración es la ruta técnica preferible.

1. Decidir sobre negociación. Pagar no garantiza la llave de descifrado ni que los atacantes no revendan la información. Si se considera la negociación, documente las comunicaciones y asegrese de consultar a un abogado; además, evalúe repercusiones fiscales y contractuales.

1. Notificar según corresponda. Si hubo exfiltración de datos personales, evalúe la necesidad de notificar a titulares y a la autoridad competente conforme a la regulación aplicable. Coordine los mensajes para evitar contradicciones.

1. Revisar contratos y seguros. Analice pólizas de seguro cibernético, cláusulas de responsabilidad de proveedores y posibles reclamaciones contra terceros que permitieron el acceso.

1. Implementar medidas preventivas. Después de la recuperación, actualice políticas, segmentación de red, gestión de privilegios y formación para reducir la probabilidad de reincidencia.

Tareas que puede hacer internamente: aislar equipos, identificar respaldos y recopilar cronología de eventos. Necesita profesionales para peritaje, negociación y gestión de la comunicación con autoridades.

Qué puede pasar

1. Recuperación por respaldos. Si los respaldos son íntegros, se restaura la operación y se aplican medidas correctivas. Esta opción evita pago y reduce exposición.

1. Acuerdo con atacantes o proveedores. En algunos casos se logra recuperar parte del acceso mediante negociación; también puede haber acuerdos con proveedores responsables que colaboren en recuperación. Estas salidas pueden ahorrar tiempo, pero conllevan riesgos y costos ocultos.

1. Procedimientos penales y civiles. Si hay evidencia de delito, puede denunciarse ante la fiscalía y reclamar a responsables comerciales. Si la empresa gana, la ejecución depende de la posibilidad real de localizar y embargar bienes de los responsables.

Si gana, ¿cobro? Una sentencia que reconozca daños no asegura recuperación plena si los responsables son extranjeros o insolventes.

Errores que arruinan el caso

• No preservar imágenes forenses antes de restaurar o formatear equipos.
• Pagar sin documentar ni coordinar con perito y abogado.
• No revisar pólizas de seguro ni contratos con proveedores antes de tomar decisiones.
• Reincorporar equipos comprometidos a la red sin limpieza completa.
• Minimizar la comunicación interna y externa, lo que puede empeorar la reputación y la relación con clientes.