Tu empresa sufre un ataque de ransomware y te piden rescate

¿Tienes razón?

El problema tiene tres vectores que determinan la estrategia: el alcance técnico del ataque (qué datos y sistemas están cifrados o exfiltrados), el valor del activo afectado para la operación de la empresa, y las obligaciones legales y regulatorias que pueden derivarse (si hay datos personales expuestos o datos sensibles). Si hubo exfiltración de datos personales, debes considerar la obligación de notificar a las autoridades competentes y a los titulares de los datos según la normativa aplicable y los compromisos contractuales. Si el incidente afecta infraestructura crítica o sectores regulados, la intervención de autoridades sectoriales es posible.

Desde la perspectiva penal, el ransomware es una conducta delictiva; denunciar mantiene caminos abiertos para investigación y cooperación con autoridades. Desde la civil y contractual, la respuesta técnica y documental permitirá evaluar responsabilidad frente a clientes y proveedores.

Cómo se soluciona

1. Aísla y preserva evidencia. Desconecta sistemas comprometidos siguiendo procedimientos forenses. No reinicies servidores sin un plan y no elimines registros; los logs y las copias de seguridad son pruebas que permiten a peritos identificar origen y alcance.

1. Activa el plan de respuesta y comunica internamente. Nombra responsables técnicos y legales. Establece un canal seguro de comunicación con el equipo directivo y con la persona encargada de relaciones públicas.

1. Evalúa la posibilidad de recuperación sin pago. Revisa copias de seguridad y la integridad de respaldos antes de considerar cualquier negociación. La recuperación técnica puede resolver el problema sin entrar en contacto con los atacantes.

1. Denuncia el delito. Informar a la autoridad competente permite iniciar investigación y solicitar colaboración para rastrear a los atacantes. La denuncia no impide negociar, pero preserva la vía penal.

1. Considera la negociación con cautela. Si evalúas entablar contacto con los atacantes, hazlo con el acompañamiento de expertos en seguridad y legal. Pagar no garantiza la recuperación total ni que no vayan a filtrar datos; además, puede implicar obligaciones contractuales con aseguradoras y reportes a clientes.

1. Informa a clientes y autoridades según obligaciones. Si se expusieron datos personales o información sensible, prepara avisos y registros de la investigación y de las medidas adoptadas. Mantén transparencia con clientes afectados sin revelar información que facilite la acción de terceros.

1. Preserva derecho a reclamación. Documenta costes y decisiones para futuras reclamaciones de seguros o acciones contra proveedores cuya negligencia haya facilitado el ataque.

Qué puede pasar

1) Restauración por copias y sin pago. La mejor salida es recuperar sistemas desde respaldos íntegros y reforzar la seguridad para evitar reincidencia. Técnicamente es la salida que minimiza negociación.

2) Acuerdo o negociación operativa. Algunas empresas acuerdan con atacantes o alcanzan acuerdos con proveedores y aseguradoras para mitigar daño. Un acuerdo puede incluir pago, pero también implica riesgo de que la información siga circulando. Evaluar costes reales y reputación es clave.

3) Investigación penal y civil. Si la autoridad identifica responsables, podría iniciarse proceso penal. En paralelo, clientes o proveedores afectados podrían iniciar acciones civiles por daños. Si pierdes en una reclamación civil, podrías enfrentar indemnizaciones y costas; si ganas, el cobro dependerá de la situación patrimonial del demandado.

Y si ganas, ¿cobras? Si logras sentencia favorable y el responsable es identificable y solvente, la ejecución puede generar recuperaciones; cuando el actor es externo y sin bienes localizables, la sentencia puede quedarse en un reconocimiento sin efectivo real.

Errores que arruinan el caso

• Reiniciar o limpiar servidores antes de preservarlos forenses.
• Pagar sin documentar ni coordinar con aseguradora o con asesoría técnica y legal.
• No denunciar el delito: perderás rutas de investigación y cooperación con autoridades.
• No revisar la cláusula de notificación de incidentes en contratos con clientes y proveedores.
• No guardar comunicación con atacantes y registrar cada contacto técnico y económico.