Imagínalo: es un lunes por la mañana, intentas abrir un archivo y te encuentras con un fondo de pantalla negro, una extensión extraña en tus documentos y una nota de rescate en formato cobrando Bitcoins .txt.
Acabas de ser víctima de un ransomware.
En este momento, el pánico es tu peor enemigo. Lo que hagas (o dejes de hacer) en las primeras dos horas determinará si tu empresa sufre un bache temporal o si se enfrenta a una catástrofe financiera y de reputación.
Aquí tienes la guía de supervivencia minuto a minuto para contener el caos.
Minuto 1 al 15: Aislamiento Inmediato (Contener el virus)
El ransomware es como un incendio forestal: se propaga rápidamente a través de la red buscando infectar la mayor cantidad de servidores y computadoras posibles. Tu prioridad absoluta es cortarle el paso.
- Desconecta de la red: Desenchufa los cables Ethernet de las máquinas afectadas y desactiva el Wi-Fi inmediatamente.
- NO apagues los equipos de golpe: Aunque el instinto te diga que presiones el botón de apagado, no lo hagas. Apagar la máquina puede borrar la memoria RAM, donde a veces se guardan las claves de cifrado o pistas cruciales que los expertos forenses necesitan para ayudarte.
- Desconecta el almacenamiento externo: Desenchufa discos duros portátiles, unidades USB o sistemas de respaldo locales que estén conectados físicamente a los equipos.
Minuto 15 al 45: Triage y Evaluación de Daños
Una vez que has contenido la propagación, necesitas entender qué tan grave es la situación.
- Identifica el «Paciente Cero»: ¿Dónde empezó el ataque? Identificar la primera computadora infectada ayuda a saber cómo entraron (un correo de phishing, una vulnerabilidad en el sistema, etc.).
- Mapea el alcance: Haz una lista de los sistemas que muestran signos de cifrado y, más importante aún, de los que no han sido afectados.
- Protege tus respaldos: Verifica el estado de tus copias de seguridad. Si tus respaldos están en la nube o en una red separada, desconéctalos temporalmente de la red principal para asegurarte de que el atacante no pueda llegar a ellos y borrarlos.
Minuto 45 al 90: Activación del Equipo de Crisis
No intentes resolver esto tú solo en la sombra. Es hora de llamar a la caballería.
- Avisa a la dirección: La alta gerencia debe estar al tanto de inmediato, ya que esto afecta la continuidad del negocio.
- Contacta a tus expertos en ciberseguridad: Si tienes un equipo de TI interno, ponlos en alerta máxima. Si tienes un proveedor de servicios gestionados (MSP) o un seguro de ciberriesgo, llámalos ya. Ellos tienen protocolos de respuesta a incidentes (IR).
- Congela las comunicaciones externas: Pide al equipo que no hable del tema en redes sociales ni con clientes hasta que se tenga un mensaje oficial. Controlar la narrativa es vital.
Minuto 90 al 120: Documentación y Legalidad
Las dos horas se están terminando, la adrenalina sigue alta, pero debes empezar a dejar rastro de todo lo ocurrido.
- Toma fotos y capturas de pantalla: Documenta la nota de rescate, las extensiones de los archivos cifrados y cualquier mensaje de error.
- No borres nada: Cada archivo modificado es una pista.
- Consulta tus obligaciones legales: Dependiendo de tu país y de las regulaciones de tu sector (como el RGPD en Europa), podrías estar obligado a notificar a las autoridades de protección de datos en un plazo de tiempo muy estricto si se han visto comprometidos datos personales.
❌ Lo que NUNCA debes hacer en estas 2 horas (ni después)
- Pagar el rescate de inmediato: Pagar no garantiza que te devuelvan los datos (recuerda que tratar con criminales no tiene garantías) y te convierte en un blanco fácil para futuros ataques. Además, en muchas jurisdicciones, pagar puede ser ilegal.
- Negociar sin expertos: Si se llega a considerar la negociación, debe hacerlo un profesional experimentado, no el equipo de TI.
- Intentar desencriptar por tu cuenta: Usar herramientas dudosas de internet puede dañar los archivos de forma permanente, haciendo que sean irrecuperables incluso si consigues la clave real más adelante.
???? Conclusión: La mejor defensa es un plan escrito
Tener un ataque de ransomware es una situación de altísimo estrés. Intentar improvisar estos pasos mientras los servidores se caen es una receta para el desastre.
El consejo de oro: Imprime esta lista (sí, en papel, por si te quedas sin acceso a tus sistemas) y compártela con tu equipo de TI. Saber exactamente qué hacer en los primeros 120 minutos puede salvar a tu empresa de la quiebra.
¿Tiene tu empresa un plan de respuesta a incidentes listo para usar?
