Mi empresa sufrió ransomware y piden rescate

¿Tienes razón?

Aquí la pregunta no es si la empresa tiene razón, sino cómo responder para minimizar el daño. Lo que determina la mejor ruta son: el alcance de la encriptación o filtración, si existen copias de seguridad íntegramente seguras, y si el ataque incluyó exfiltración de datos sensibles que imponga obligaciones de notificación a clientes o autoridades. Si hay filtración de datos personales, la empresa puede tener obligaciones frente a la ley de protección de datos y frente a sus clientes; si sólo hay cifrado local y copias de seguridad completas, la recuperación técnica puede evitar negociar con delincuentes.

También es relevante quién sufre el daño financiero. Si el ataque afecta a proveedores o a terceros cuyos datos fueron comprometidos, la responsabilidad puede trascender la esfera interna y generar responsabilidades contractuales y obligaciones de aviso. La relación con aseguradoras es otro factor frecuente: algunas pólizas cubren incidentes cibernéticos y tienen protocolos que exigen notificación inmediata.

Por último, la existencia de evidencia forense es vital. Si no se preserva la información, la investigación criminal se dificulta y la empresa pierde la posibilidad de obtener una investigación efectiva por parte de la Fiscalía. Conservar registros de acceso, bitácoras, copias de discos y la comunicación del atacante es esencial para identificar la vulnerabilidad y para acciones legales posteriores.

Cómo se soluciona

1. Aisla los sistemas afectados. Desconecta de la red los equipos comprometidos y evita que el malware se propague. No apagues sistemas críticos sin plan: coordina con personal de TI o respuesta a incidentes.

1. Preserva y documenta evidencia. Guarda logs, capturas de pantalla del mensaje del atacante, correos y cualquier comunicación. No reinstales ni formatees antes de que el peritaje forense recoja evidencia.

1. Activa protocolos internos y notifica aseguradora si aplica. Revisa la póliza de ciberseguridad y sigue los pasos que la aseguradora exija para conservar cobertura.

1. Contacta a un equipo de respuesta técnica especializado. Un peritaje informático puede determinar el vector de acceso, el alcance de la exfiltración y la factibilidad de recuperación sin pagar rescate.

1. Notifica a las autoridades competentes. Presenta denuncia ante la Fiscalía y entrega la evidencia preservada; la autoridad puede colaborar con la investigación y coordinar acciones con otros organismos.

1. Evalúa la comunicación con clientes y proveedores. Si hay datos personales comprometidos, prepara avisos claros y medidas de mitigación; un abogado puede ayudar a redactar comunicaciones evitando admitir responsabilidad más allá de lo establecido.

1. Decide sobre el rescate con asesoría especializada. Pagar no garantiza la recuperación ni la no difusión de datos; la decisión requiere análisis técnico, legal y de riesgos reputacionales. Si te ofrecen claves a cambio de dinero, documenta todo y consulta con expertos.

1. Recuperación y fortalecimiento. Una vez recuperados sistemas, actualiza políticas, realiza auditoría de seguridad y establece respaldo externo y planes de contingencia para reducir el riesgo de repetición.

Qué puede pasar

1. Recuperación sin pago. Si tienes copias de seguridad y la restauración es posible, la empresa recupera el control y reduce exposición. Es la mejor salida cuando es factible.

1. Negociación o acuerdo con los atacantes. En algunos casos se negocia un pago para obtener la clave; aunque la llave puede funcionar, no hay garantía de que no haya copia de datos ni de que no vuelvan a atacar. Además, pagar puede complicar relaciones con aseguradoras y con autoridades.

1. Investigación penal y civil. Si la Fiscalía identifica a los responsables, se persigue la acción penal. A nivel civil, terceros afectados pueden reclamar daños. Si pierdes en un eventual litigio, las consecuencias incluyen la obligación de reparar y, en su caso, pago de costas.

Si ganas, ¿cobras? En materia criminal la reparación depende de la localización de bienes de los responsables; si son extranjeros o anónimos, la sentencia puede quedar sin efecto práctico en términos de compensación inmediata.

Errores que arruinan el caso

• No preservar logs ni evidencias técnicas antes de intentar limpiar sistemas.
• Formatear equipos sin peritaje, lo que destruye pistas para investigar el origen.
• Pagar sin documentar la transacción y sin valorar otras opciones técnicas.
• No notificar a aseguradora o incumplir protocolos contractuales que condicionan la cobertura.
• Comunicar públicamente información técnica o admitir responsabilidad sin asesoría legal.