Casi nunca pasa a buena hora. Suele ser un lunes a primera hora, o un viernes por la tarde cuando ya queda poca gente. Alguien intenta abrir un archivo y no puede. Aparece un mensaje raro pidiendo un rescate. Y en cuestión de minutos varios equipos más empiezan a fallar. Si estás leyendo esto con un ransomware activo ahora mismo, respira y baja al primer apartado. Si lo lees con calma para estar preparado, mejor todavía, porque la diferencia entre un susto y una catástrofe se decide casi siempre en la primera hora.
Lo primero: contener, no apagar a lo loco
El objetivo inmediato es frenar la propagación. El ransomware se mueve por la red buscando más equipos y carpetas compartidas que cifrar, así que cada minuto cuenta. Qué hacer:
- Desconecta de la red los equipos afectados. Quita el cable y desactiva el wifi. Si la cosa pinta mal y se está extendiendo, aísla el segmento de red entero.
- No apagues los equipos comprometidos. Esto va contra el instinto, pero apagar puede destruir evidencias que están en la memoria y que luego son clave para entender qué pasó y cómo recuperar. Desconectar de la red sí; apagar, no, salvo que un técnico te lo indique.
- No abras ni toques los archivos cifrados ni intentes «probar cosas» por tu cuenta. Puedes empeorarlo.
- Protege las copias de seguridad. Si tienes backups conectados a la red, desconéctalos ya, antes de que el ransomware llegue a ellos. Las copias son tu mejor carta y el atacante lo sabe: muchas familias de ransomware buscan cifrarlas a propósito.
Avisa a quien tiene que actuar
En paralelo a contener, hay que mover a las personas. Designa cuanto antes a quien coordina: alguien con capacidad de decidir, no toda la oficina opinando a la vez. Contacta con tu equipo técnico o con un servicio de respuesta a incidentes con experiencia en ransomware. Esto no es el momento de aprender sobre la marcha; si no tienes a alguien dentro que ya haya gestionado un incidente así, busca ayuda externa de inmediato.
Documenta desde el primer minuto: a qué hora empezó, qué equipos están afectados, qué mensaje aparece, qué habéis ido haciendo. Parece un detalle menor con el incendio encima, pero esa cronología es oro para la recuperación, para el seguro y para una posible denuncia.
No pagues el rescate (todavía, y casi nunca)
Sé que la tentación es enorme cuando tienes la empresa parada. Pero pagar es mala idea por varios motivos a la vez. No garantiza recuperar los datos: hay quien paga y no recibe nada, o recibe una herramienta de descifrado que funciona a medias. Te marca como objetivo que paga, lo que invita a un segundo ataque. Y financias directamente a quien te ha atacado para que se lo haga al siguiente. Además, según quién esté detrás, pagar puede tener implicaciones legales.
Antes de siquiera plantearlo, habla con especialistas. A veces existen herramientas de descifrado públicas para ciertas familias de ransomware, y a veces hay vías de recuperación que no se ven desde dentro del pánico del primer día.
Cuidado con el reloj legal: las 72 horas
Si el ataque ha afectado a datos personales, y un ransomware casi siempre lo hace, entra en juego el RGPD. Tienes la obligación de notificar la brecha a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que la detectas si supone un riesgo para las personas afectadas. Y si tu empresa está dentro del ámbito de la NIS2, hay además plazos de notificación propios, con una alerta temprana en 24 horas. Por eso conviene que la parte legal y la técnica trabajen a la vez desde el principio, no una detrás de otra.
Recuperar: desde copias limpias y con cabeza
Una vez contenido el incidente, llega la recuperación. Y aquí la prisa es mala consejera. Antes de restaurar nada hay que asegurarse de dos cosas: que sabes cómo entró el atacante y has cerrado esa puerta, y que las copias que vas a usar están limpias. Restaurar sobre una red que sigue comprometida, o desde un backup que también estaba infectado, solo sirve para volver a empezar el ciclo a los pocos días.
Este es, por cierto, el momento en el que las empresas descubren si sus copias de seguridad valían algo. Tener backups no es lo mismo que tener backups que se restauran de verdad. Las copias que nunca se han probado tienen la mala costumbre de fallar justo el día que las necesitas.
Después del incidente: que no vuelva a pasar
Cuando ya estás operativo, queda la parte que más se salta todo el mundo y la que más valor tiene: entender qué falló y arreglarlo. ¿Entró por un correo de phishing? ¿Por un servicio expuesto sin doble factor? ¿Por un sistema sin actualizar? Casi siempre la causa raíz es una de estas tres, y casi siempre se podía haber evitado con medidas que cuestan poco: doble factor en todos los accesos, parches al día, copias probadas y aisladas, y formación para que la gente reconozca un correo trampa.
Un ransomware bien gestionado deja una empresa más segura que antes. Mal gestionado, deja una empresa cerrada: el 60% de las pymes que sufren un ciberataque grave no levanta cabeza en seis meses. La preparación previa no es paranoia, es lo que decide en qué lado de esa estadística acabas.
Resumen para tener a mano
Si pasa: desconecta de la red sin apagar, protege las copias, no toques los archivos cifrados, avisa a un responsable y a un equipo de respuesta, documenta todo, no pagues sin consultar y vigila el plazo de 72 horas si hay datos personales. Y cuando se calme la cosa, arregla la causa y prueba tus copias antes de necesitarlas. Si quieres llegar preparado a ese mal día, esa última frase es por donde empezar hoy.
Cómo te ayudamos en CiberPYME
Fuentes oficiales
Ten a mano también el procedimiento de la primera hora ante un incidente que usamos con las empresas de Valencia, con el reloj legal de las 72 horas de la AEPD y los teléfonos de INCIBE y CSIRT-CV.
