Mi empresa sufrió ransomware o pérdida masiva de datos

¿Tienes razón?

Que la empresa haya sufrido un ataque o una pérdida masiva de datos no significa automáticamente que estés desamparado. Lo que importa para saber si tienes una posición sólida frente a clientes, socios, reguladores o aseguradoras son, básicamente, cuatro cosas: la naturaleza de los datos afectados (si son datos personales sensibles o solo copias de trabajo), las medidas mínimas de seguridad que tenía la empresa antes del incidente (cifrado, backups probados, control de accesos), la existencia de copias de seguridad completas fuera de la red afectada y la documentación sobre la gestión del incidente (logs, comunicaciones internas, informes técnicos). Si tenías backups recientes y medidas razonables, puedes recuperar operaciones y limitar responsabilidad; si no tenías nada y además no hay registro del incidente, tendrás que pelear tanto técnicamente como legalmente.

Cómo se soluciona

1. Aísla y preserva: desconecta sistemas comprometidos de la red, sin borrar nada. Guarda imágenes forenses de discos y volcado de memoria si puedes. No intentes restaurar sobre el sistema afectado ni borrar logs; eso elimina evidencia.
2. Contacta a un equipo técnico forense y de respuesta a incidentes. Si tu empresa no tiene experto, contrata uno que pueda generar un informe técnico que explique el alcance, vector de entrada y evidencia de exfiltración. Ese informe será clave para aseguradoras, clientes y posibles investigaciones.
3. Identifica los datos afectados y evalúa riesgos: clasifica si hay datos personales, sensibles o secretos comerciales. Haz una lista con tipos de datos y grupos de titulares (clientes, empleados, proveedores) y valora el daño potencial.
4. Notifica a las autoridades competentes cuando corresponda. En Perú, la protección de datos personales exige que la empresa responsable valore si debe comunicar el incidente a la autoridad de protección de datos y a las personas afectadas. Además, si hay delito informático, presenta denuncia ante la autoridad policial o fiscal competente y adjunta el informe técnico.
5. Comunica a clientes y usuarios con cuidado: prepara un mensaje claro diciendo qué pasó, qué datos se vieron afectados, qué medidas tomaste y qué deben hacer los titulares para protegerse. No inventes ni minimices; la claridad reduce litigios y reclama confianza.
6. Revisa contratos y pólizas: examina contratos con proveedores y cláusulas de seguridad, y revisa pólizas de ciberseguro para activar cobertura. Si el proveedor que falló tiene responsabilidad contractual, inicia reclamación formal por incumplimiento.
7. Implementa medidas de remediación: recupera servicios desde backups limpios, aplica parches, cambia credenciales, activa autenticación fuerte y monitoriza accesos. Documenta cada paso: la traza documental es la llave para defenderte.

Qué puedes hacer tú ya: haz inventario de qué sistemas y copias existen, reúne emails, contratos y pólizas, descarga y guarda en un lugar seguro cualquier log o mensaje que muestre actividad inusual. Qué debe hacer un profesional: realizar la copia forense, preparar el informe técnico, redactar la notificación a titulares y coordinar la denuncia penal si procede.

Qué puede pasar

1) Se arregla con comunicación y mitigación: muchas empresas logran contener el daño, restaurar servicios desde backups y responder a titulares; la reputación sufre, pero se evita sanción si se demostró diligencia. Un buen informe técnico y comunicación transparente suelen cerrar el episodio sin mayor costo legal.

2) Acuerdo extrajudicial o procedimiento administrativo: clientes o la autoridad pueden requerir indemnizaciones o sanciones. Es posible negociar compensaciones, revisiones de contratos o planes de mejora de seguridad. Un acuerdo rápido puede ser preferible a un procedimiento largo y público.

3) Investigación y sanción: si la autoridad determina incumplimiento de la normativa de protección de datos o si hay daño económico importante, puede iniciarse un procedimiento administrativo y, separado, una investigación penal si hay indicios de delito. Si pierdes en una reclamación civil o administrativa, podrías enfrentar multas y obligaciones correctivas; además, una sentencia contra una empresa insolvente puede ser difícil de ejecutar.

Y si ganas, ¿cobras? Una resolución favorable contra una persona natural o jurídica solvente se cobra vía ejecución. Si el responsable es insolvente, la sentencia puede quedarse como título, pero su eficacia depende de la capacidad real de cobro.

Errores que arruinan el caso

• Borrar logs o reinstalar sistemas sin hacer imágenes forenses: destruye la evidencia esencial para probar cómo entró el atacante.
• No documentar las acciones de respuesta: si no hay registro de qué se hizo y cuándo, será difícil demostrar diligencia ante autoridades o clientes.
• Callar o minimizar el incidente frente a clientes y autoridades: la falta de comunicación puede multiplicar las reclamaciones y empeorar la sanción.
• Firmar acuerdos de confidencialidad con proveedores sin revisar cláusulas de responsabilidad: limita tus remedios y puede trasladar la responsabilidad.