Tu empresa ha sufrido un ataque ransomware: ¿pagar el rescate o no?

¿Tienes razón?

La cuestión central no es moral: es pragmática y depende de tres componentes. Primero, la capacidad de recuperación: si tienes copias de seguridad íntegros y probados, la necesidad de pagar disminuye. Segundo, la fiabilidad del atacante: pagar no siempre garantiza la devolución o que no haya segunda extorsión. Tercero, obligaciones externas: contratos con clientes, normativa aplicable y notificaciones a autoridades pueden condicionar la decisión.

Evalúa también el tipo de información cifrada o robada. Si hay datos personales o secretos empresariales, las consecuencias legales y reputacionales difieren respecto a un sistema operativo afectado. Examina además posibles cláusulas en pólizas de seguro que cubran incidentes cibernéticos o la obligación de informar a clientes o autoridades.

Cómo se soluciona

1. Contención inmediata y preservación. Aísla los sistemas afectados para evitar propagación; no apagues servidores si la acción técnica que realices puede borrar evidencia. Clona discos y realiza copias forenses antes de intentar restauraciones.

1. Activa peritaje especializado. Un equipo forense evaluará el alcance, si hubo exfiltración de datos y la forma de cifrado. Ese informe es esencial para decidir la ruta: restauración, negociación o pago.

1. Valora la restauración desde backups. Si tus copias son completas y están probadas, restaurar desde backup suele ser la opción más segura. Comprueba la integridad de las copias y que no estén también comprometidas.

1. Negociación con atacantes: riesgos y práctica. En ocasiones las empresas negocian con atacantes para obtener la llave de descifrado. Si consideras esta opción, hazlo a través de expertos y con apoyo legal, porque pagar puede implicar complicaciones adicionales: no hay garantía de que se elimine la copia robada ni de que no vuelvan a pedir más.

1. Coordina notificaciones legales y contractuales. Si hubo exfiltración de datos personales, evalúa la obligación de informar a titulares y autoridades. Coordina la comunicación con clientes y proveedores para cumplir contratos y minimizar impacto reputacional.

1. Revisión de seguros y opciones financieras. Revisa si la póliza de ciberseguro cubre rescates o gastos asociados y qué requisitos exigen para pagar. A veces el seguro condiciona la actuación.

Qué puedes hacer internamente y qué requiere externo: tu equipo puede aislar sistemas y preparar copias de seguridad; necesitas peritos y abogados para negociar, gestionar comunicación regulatoria y evaluar riesgo contractual y penal.

Qué puede pasar

1) Recuperación por backups y contención. La mejor salida es restaurar datos desde backups íntegros y reforzar controles para prevenir recurrencias. Esto limita exposición y evita diálogo con atacantes.

2) Negociación y acuerdo con atacantes. En algunos casos las empresas negocian y pagan. Puede resultar en recuperación parcial o total, pero no elimina el riesgo de que la información ya haya sido copiada y utilizada. Además, pagar puede incentivar futuros ataques.

3) Litigio o sanción por exposición de datos. Si hubo exfiltración de datos personales y se demuestra incumplimiento en medidas de seguridad, puedes enfrentar reclamaciones civiles, sanciones administrativas y daños reputacionales. Si elige la vía judicial, la prueba forense y la actuación diligente son clave para la defensa.

Si pagas y luego ganas un juicio contra el atacante, la ejecución es complicada: identificar y recuperar activos suele ser complejo y costoso.

Errores que arruinan el caso

• Pagar sin peritaje: abonar el rescate sin saber si realmente devolverán los datos o si hubo exfiltración es arriesgado.

• Restaurar sin comprobar backups: restaurar datos dañados o comprometidos sin validar su integridad lleva a nuevas interrupciones.

• No notificar a stakeholders cuando es necesario: omitir avisos a clientes o autoridades puede agravar responsabilidad.

• Intentar negociación por cuenta propia: negociar sin apoyo técnico y legal puede aumentar el coste y dar pie a extorsiones sucesivas.