Tu empresa sufre un ataque de ransomware y te piden rescate

¿Tienes razón?

Si recibes una petición de rescate no significa automáticamente que estés obligado a pagar ni que el pago garantice la recuperación. Tres factores marcan la respuesta: qué datos han sido cifrados o exfiltrados; si son datos personales o información crítica para servicios regulados; y las obligaciones contractuales o regulatorias que te obligan a notificar. Si han salido datos personales o datos sujetos a secreto profesional, la situación es más grave y exige medidas adicionales. Además, el funcionamiento de copias de seguridad y la posibilidad técnica de restaurar sistemas influye en la decisión: si tienes copias limpias y probadas es más razonable abstenerse de negociar.

La naturaleza del atacante y su modus operandi también cuentan: algunos colectivos publican datos aunque pagues; otros entregan claves a cambio de pago. Sin pruebas técnicas y legales firmes, no puedes asumir que el pago resolverá la cuestión. Por eso lo esencial es preservar evidencias y coordinar a los equipos técnicos, legales y, si procede, aseguradores.

Cómo se soluciona

1. Aislar y contener: corta los accesos comprometidos para evitar propagación. Documenta todas las acciones: quién desconectó qué equipos, cuándo y por qué. Exporta logs y snapshots antes de reinicios.

1. Conserva pruebas: duplica discos, guarda imágenes forenses y copia los registros de red y sistemas. No sobrescribas evidencias: el proceso forense es clave para reconstruir el ataque y para posibles denuncias.

1. Activa tu equipo interno y proveedores: contacta con tu responsable de seguridad (o proveedor MSSP), el equipo legal y el seguro cibernético. Si trabajas con un proveedor externo de respuesta a incidentes, contrátalo con cláusula de confidencialidad.

1. Valora el alcance: identifica qué sistemas, qué datos y qué copias de seguridad están afectados. Comprueba la integridad de las copias de seguridad; si son fiables, prioriza la restauración desde ellas.

1. Decide sobre el rescate con asesoramiento: si el impacto operativo y la pérdida de negocio es catastrófica y las copias no sirven, algunas empresas evalúan negociar. Antes de cualquier pago, consulta al abogado y al asegurador. Considera el riesgo adicional de financiar actividades ilícitas y de que el pago no devuelva los datos.

1. Notificación: si hay datos personales afectados, prepara la notificación a la autoridad de protección de datos y, cuando proceda, a los interesados. Documenta lo que sabes y las medidas tomadas. Si hay obligaciones sectoriales o contractuales de comunicación a clientes, proveedores o supervisores, actívalas.

1. Recuperación y mitigación: planifica la restauración de servicios priorizando misión crítica. Después de la recuperación, revisa y fortalece controles: parcheo, segmentación de redes, políticas de acceso y formación.

Qué puedes hacer hoy solo: desconectar equipos comprometidos y copiar logs; avisar a responsables internos y tu proveedor de seguridad. Qué necesita un abogado: evaluar la obligación de notificar, coordinar con aseguradoras, y asistir en la negociación contractual con proveedores de respuesta o, eventualmente, en la comunicación a afectados y autoridades.

Qué puede pasar

1) Se arregla sin pagar: muchas empresas recuperan sistemas desde copias seguras o mediante recuperación por expertos. Cuando las copias son válidas y la raíz del problema se corrige, pagar no es necesario.

2) Acuerdo con el atacante o mediador: algunas organizaciones negocian con intermediarios. Esto puede acelerar la recuperación, pero no hay garantía de que los datos no se publiquen después. Además, pagar puede exponer a problemas legales y reputacionales.

3) Procedimiento penal y administrativo: si hubo afectación de datos personales, la autoridad de protección de datos puede abrir expediente. Celebrar una denuncia ante Policía o Guardia Civil es frecuente. Si se inicia acción penal, la documentación forense es clave. En un proceso civil, las reclamaciones por daños pueden chocar con la solvencia de los atacantes; una sentencia no siempre asegura recuperación económica.

Y si ganas, ¿cobras? Ganar un pleito por daños derivado de un ciberataque implica demostrar responsabilidad de terceros y su capacidad de pago. Muchas veces la solución práctica depende de seguros y de medidas internas de mitigación.

Errores que arruinan el caso

• Apagar o formatear equipos sin hacer una imagen forense: destruyes la prueba.
• No comunicar al seguro o a la autoridad cuando las condiciones lo exigen: pierdes cobertura y defensa administrativa.
• Negociar por tu cuenta sin asesoramiento legal o técnico: puedes empeorar la situación.
• Pagar sin comprobar que la llave funciona o que no hay exfiltración: pagas sin recuperar ni protección.
• No registrar decisiones y costes: sin registro, justificar actuaciones frente a autoridades o clientes es difícil.