Ransomware en mi empresa: me piden rescate

¿Tienes razón?

El problema no es si la exigencia de rescate es legal: extorsionar mediante la encriptación de datos es ilícito. Lo determinante para la acción que tomes son cuatro elementos: el alcance de la intrusión (qué sistemas y datos comprometidos), la existencia de copias de seguridad, la criticidad de los activos afectados (datos personales, financieros, propiedad intelectual) y la estructura de responsabilidades internas (¿quién toma la decisión de pagar?). Si tenías copias de seguridad fuera de la red y comprobables, tu posición para no pagar se fortalece. Si el ataque expone datos personales de clientes o empleados, hay obligaciones de notificación a autoridades y, posiblemente, a titulares. Además, pagar un rescate no garantiza que el atacante entregue la clave ni que no vuelva a atacar.

También evalúa si hay requisitos regulatorios que demanden notificación: sectores con normas especiales (servicios financieros, salud) suelen tener obligaciones adicionales. La naturaleza de los datos y la presencia de datos sensibles complican la situación.

Cómo se soluciona

1. Aísla y contiene. Inmediatamente aísla las máquinas afectadas de la red para evitar propagación. No apagues indiscriminadamente equipos críticos sin asesoría técnica: documenta el estado de los sistemas y toma imágenes forenses cuando sea posible.

1. Documenta y preserva evidencia. Guarda logs, capturas de pantalla del ransoware, mensajes de los atacantes, archivos cifrados y cualquier otro indicio. La preservación de evidencia es vital para la investigación y para posibles acciones legales.

1. Contacta a un perito informático. Un especialista en respuesta a incidentes puede evaluar la extensión, determinar vectores de entrada y realizar un análisis forense para identificar si hubo exfiltración de datos y qué datos fueron comprometidos.

1. Evalúa las copias de seguridad y el plan de recuperación. Si cuentas con respaldos íntegros fuera de alcance del atacante, puedes restaurar operaciones. El perito y tu equipo de TI deben probar la integridad de las copias antes de restaurar.

1. Notifica a autoridades competentes. Presenta denuncia ante la fiscalía y coopera con la investigación. Si hay datos personales comprometidos, valora informar a la autoridad de protección de datos y a los titulares según corresponda.

1. Decide sobre el pago del rescate con base en un análisis de riesgos. Pagar puede traer consecuencias: no hay garantía de recuperación, podrías financiar actividades ilícitas y existe riesgo reputacional. Algunas empresas optan por negociación a través de especialistas; otras priorizan restaurar desde respaldos. Un consejo jurídico te ayuda a ponderar responsabilidad, cumplimiento normativo y riesgo penal.

1. Implementa medidas de mitigación y prevención a futuro. Tras la recuperación, actualiza políticas, segmenta redes, multiplica respaldos fuera de la red, aplica autenticación multifactor y realiza capacitación continua para empleados.

Qué puedes hacer tú y cuándo necesitas abogado: puedes activar el plan de respuesta y contactar peritos. Necesitas abogado cuando hay exfiltración de datos personales, reclamaciones regulatorias, presiones de socios, o cuando se valora negociar o pagar el rescate. Un abogado ayuda a coordinar la notificación a autoridades y las implicaciones regulatorias y contractuales.

Qué puede pasar

1. Recuperación mediante respaldos o negociación técnica. Si tienes respaldos íntegros, la recuperación puede lograrse sin pagar. A veces los atacantes ofrecen una clave a cambio de pago; en ocasiones la clave no funciona o llegan nuevas demandas.

1. Acuerdo o pago. En algunos incidentes las empresas pactan con atacantes a través de intermediarios. Esto puede acelerar la recuperación, pero conlleva riesgos: no hay garantía, puede haber repercusiones de cumplimiento y fomenta nuevas extorsiones.

1. Investigación penal y consecuencias regulatorias. La fiscalía puede investigar a los responsables del ciberataque; la empresa puede enfrentar obligaciones de notificación, sanciones administrativas y reclamaciones civiles si los datos de terceros resultaron comprometidos. Si la empresa es declarada negligente en sus medidas de seguridad, las consecuencias pueden incluir sanciones administrativas y responsabilidades frente a clientes o socios.

Si ganas, ¿cobro? En este contexto ganar una acción civil por daños puede ser complejo: identificar y ejecutar contra los atacantes, a menudo anónimos o en jurisdicciones extranjeras, dificulta la recuperación económica. Por eso la mitigación y prevención son esenciales.

Errores que arruinan el caso

• No preservar logs ni evidencia técnica: sin peritaje forense, es difícil probar alcance y vector.
• Apagar o formatear equipos sin documentar el estado inicial: puede destruir evidencia útil.
• Pagar el rescate sin estrategia ni verificar la procedencia de la clave ni negociar con soporte técnico.
• No notificar a autoridades cuando hay datos personales comprometidos: dificulta la respuesta y puede agravar sanciones.
• No revisar obligaciones contractuales con clientes y aseguradoras, lo que puede empeorar reclamaciones por incumplimiento.