Ransomware en mi empresa: me piden rescate

¿Tienes razón?

Que te pidan un rescate no legitima la extorsión ni borra derechos. Tres factores determinan si tu posición es fuerte y qué puedes exigir:

1) Alcance técnico del ataque. Si los atacantes cifraron datos pero no los extrajeron, tu daño es distinto que cuando además hubo sustracción de información personal o comercial. La existencia de copia externa abre responsabilidades adicionales por protección de datos y obliga a medidas más amplias.

2) Pruebas y trazas. Registros de acceso, logs de servidores, copias de seguridad, correos con las demandas de rescate, capturas de pantalla y todo lo que muestre la intrusión y las amenazas son vitales. Si tienes backups intactos y registros de red, tu posición es muy superior.

3) Reacción y daños colaterales. Si el ataque afectó a clientes, proveedores o terceros (por ejemplo, datos personales), deberás considerar obligaciones de notificación y contingencias contractuales. También importa si pagaste o negociaste; un pago no borra el delito, pero complica la prueba y la ruta de recuperación.

Tener derecho a no pagar está claro en sentido moral y legal: la extorsión es delito. Pero la decisión práctica depende de la situación técnica y comercial: si no tienes backups críticas y el daño es a la operación, la presión es real. De todos modos, la ley y las autoridades pueden abrir investigación penal y civil; la coordinación entre el equipo técnico y un abogado es lo que va a definir la mejor ruta.

Cómo se soluciona

1) Aísla sin destruir evidencia.

• Acción inmediata que puedes hacer: desconecta los sistemas afectados de la red, pero no apagues servidores si no hay plan técnico para preservarlos. Haz imágenes forenses de discos y copias de logs. Exporta y guarda correos y mensajes con la demanda de rescate. Si no sabes hacerlo, pide a un proveedor de respuesta a incidentes que haga la preservación forense.

2) No negocies con el atacante por tu cuenta.

• Si vas a comunicarte, registra todo: guarda pantallazos, exporta mensajes, y deja constancia técnica. Evita transferir dinero sin asesoría; un pago puede ser rastro de tu propia decisión y no garantiza la recuperación.

3) Activa tus copias de seguridad y plan de continuidad.

• Revisa backups previos a la fecha de ataque. Documenta su integridad y fecha. Si no existen, registra esa falta; servirá para discutir daños y responsabilidad de terceros.

4) Notifica a autoridades.

• Denuncia en la policía y fiscalía especializada. Presenta la información técnica y las copias forenses. La investigación penal puede identificar responsables y obligar a bloqueos o recuperar activos.

5) Evalúa obligación de informar a afectados.

• Si hay datos personales afectados, revisa normativa de protección de datos aplicable y obligaciones contractuales con clientes/proveedores. Informa de forma mesurada y con la asesoría legal.

6) Prepara reacción civil y contractual.

• Revisa pólizas de seguro (ciberseguro), contratos con clientes y proveedores, y cláusulas de responsabilidad. Mantén comunicación con tu aseguradora y solicita cobertura de respuesta a incidentes.

Qué hace la persona sola y qué necesita profesional:

• Tú puedes recopilar comunicaciones, desconectar sistemas y localizar backups. También puedes hacer denuncias iniciales.
• Necesitarás profesionales para preservación forense, recuperación de datos y para coordinar la denuncia penal y las reclamaciones contractuales y de seguro.

Qué puede pasar

1) Se arregla con una carta o negociación técnica.

• A veces la empresa logra recuperar datos con backups o pagando por descifrado. Técnicamente posible, pero pagar no elimina responsabilidad penal del atacante ni garantiza ausencia de filtración. Un acuerdo económico con el atacante no es una solución legal; es una operación de emergencia.

2) Acuerdo o conciliación con terceros afectados.

• Si hubo exposición de datos de clientes, lo común es negociar compensaciones, ofertas de protección o medidas correctivas. Un acuerdo puede ser más rápido y menos costoso que perseguir responsabilidades largas, especialmente si la otra parte quiere evitar daño reputacional.

3) Investigación penal y juicio.

• La denuncia puede derivar en investigación y en imputación por delitos informáticos y extorsión. Si hay sentencias, la recuperación de dinero depende de la capacidad de los autores y de medidas de extinción de dominio. Una sentencia civil o penal es útil, pero si los atacantes son insolventes o están en otro país, cobrar puede ser difícil.

Y si ganas, ¿cobras?

• Ganar judicialmente no siempre significa recuperar el dinero. No hay garantía de cobro si el responsable no tiene bienes localizables o está fuera del país. Por eso la vía técnica (copias de seguridad, recuperación) y la contractual (seguros) son igualmente importantes.

Errores que arruinan el caso

• Borrar o formatear equipos antes de hacer una copia forense; destruye la prueba técnica.
• Pagar sin dejar rastro documentado o sin coordinar con investigación; complica la reconstrucción de la acción delictiva.
• No denunciar inmediatamente a la autoridad competente o a la fiscalía especializada.
• No revisar pólizas de ciberseguro ni comunicar el incidente al asegurador; puedes perder cobertura.
• Comunicaciones públicas improvisadas que admiten fallas o minimizan el alcance sin asesoría: pueden agravar demandas de clientes.