Ransomware en una PyME: qué hacer en las primeras dos horas
Lo que se haga —y sobre todo lo que no se haga— en las primeras dos horas determina si la empresa recupera su información en días o en semanas.
Ante un ransomware, las primeras dos horas se ocupan en tres cosas: aislar los equipos afectados sin apagarlos, cortar el acceso del atacante a los respaldos y a las cuentas privilegiadas, y documentar todo lo que se toca. Restaurar es el último paso, no el primero, y nunca antes de saber cómo entró el atacante.
Cómo se reconoce
El aviso rara vez llega como una alerta del antivirus. Llega como una llamada de alguien de contabilidad diciendo que sus archivos «se ven raros» y tienen una extensión nueva, o como un servidor que dejó de responder de madrugada. En el escritorio aparece un archivo de texto con instrucciones de contacto y un identificador de víctima.
Para cuando eso es visible, el atacante ya lleva días —a veces semanas— dentro de la red. El cifrado es el último paso de su operación, no el primero: antes exploró, escaló privilegios, localizó los respaldos y, muy probablemente, copió información antes de cifrarla para poder extorsionar dos veces.
Asume desde el minuto uno que hubo robo de información, no solo cifrado. Cambia el orden de las decisiones: obliga a evaluar la obligación de notificar a clientes y titulares de datos, aunque los archivos se recuperen del respaldo esa misma tarde.
Los primeros 30 minutos
En orden, sin saltarse pasos y con una persona anotando la hora de cada acción.
Aísla, no apagues
Desconecta el cable de red y el Wi-Fi de los equipos afectados, pero no los apagues. La memoria RAM contiene evidencia —a veces la propia llave de cifrado— que se pierde al apagar. Si el cifrado sigue activo, desconectar la red lo detiene tan bien como apagar, sin destruir información.
Corta el acceso a los respaldos
El ransomware busca respaldos antes de cifrar. Desconecta físicamente discos externos y NAS, y revoca las credenciales que usan las tareas de respaldo hacia la nube. Si la copia en la nube todavía está limpia, esta acción es la que salva la recuperación.
Corta las cuentas privilegiadas
Cambia las contraseñas de administrador de dominio y de los servicios críticos desde un equipo que no esté comprometido, y revoca las sesiones activas. El atacante suele mantener acceso remoto: si conserva credenciales, vuelve a cifrar lo que apenas restauraste.
Lo que no se debe hacer
Cada uno de estos errores es común y todos encarecen la recuperación:
- No apagues los equipos afectados: destruye evidencia de memoria.
- No reinicies ni corras un antivirus sobre el equipo cifrado antes de tomar una imagen forense.
- No borres la nota de rescate ni los archivos cifrados: identifican la variante y a veces existe descifrador público.
- No restaures el respaldo sobre la misma red antes de saber cómo entró el atacante.
- No escribas al atacante desde un correo corporativo ni con datos personales.
- No anuncies el incidente en redes sociales ni a clientes antes de tener el alcance confirmado.
De la hora uno a la hora dos
Dimensionar
Qué está cifrado y qué no
Revisa desde un equipo limpio qué servidores, carpetas compartidas y buzones están afectados. Anota qué sistemas siguen operando: normalmente hay más de lo que parece en el primer susto, y eso define qué se puede seguir facturando mañana.
Verificar el respaldo
Antes de prometer nada
Monta la copia más reciente en un entorno aislado y comprueba que abre. Un respaldo que existe pero no restaura es la peor sorpresa posible, y es mejor descubrirlo en la hora dos que en el día tres.
Comunicar hacia adentro
Una sola voz
Avisa a dirección y define quién habla con clientes y proveedores. Instruye al personal a no encender equipos ni conectarse a la red hasta nuevo aviso; es la instrucción que más rápido contiene la propagación.
Documentar
Desde el minuto cero
Bitácora con hora, acción y responsable. Es lo que después necesita el seguro, la denuncia y el análisis de causa raíz. Reconstruirla de memoria tres días después no funciona.
Los cuatro controles que cambian el desenlace
La diferencia entre una empresa que recupera en dos días y otra que pierde el ejercicio completo no está en el antivirus: está en cuatro controles que se implementan antes.
- Respaldo inmutable fuera de sitio, con prueba de restauración documentada cada trimestre.
- Doble factor en correo, VPN y cualquier acceso remoto. Sin excepciones para directivos.
- Ningún servicio de escritorio remoto publicado directamente a internet.
- Privilegios mínimos: que la cuenta de uso diario no sea administrador de dominio.
¿Sabes si tu respaldo restaura?
La mayoría de las empresas descubre la respuesta el peor día posible. Revisamos tus respaldos, accesos remotos y privilegios sin costo, y te decimos qué cerrar primero.