Un ataque de ransomware en una empresa mediana no se parece a lo que muestran las películas. Alguien llega un lunes, nota que los archivos tienen una extensión rara y que hay un documento de texto en el escritorio. En ese momento empieza una cuenta regresiva donde lo que se haga en las primeras horas determina si el negocio pierde 2 días o 2 meses.
Hora 0 a 2: contener
- Aislar, no apagar: desconecta de la red los equipos afectados, pero no los apagues. Apagar destruye evidencia en memoria que puede identificar la variante y, en algunos casos, recuperar claves.
- Cortar la propagación: desconecta unidades de red compartidas y suspende las cuentas con privilegios. El ransomware se sigue moviendo mientras nadie lo detiene.
- Proteger los respaldos: es el objetivo principal del atacante. Si el respaldo está montado en la red, desconéctalo físicamente antes que cualquier otra cosa.
- Activar el canal alterno: si el correo corporativo está comprometido, coordina por otro medio. No uses la infraestructura que estás investigando.
Hora 2 a 12: entender el alcance
Antes de restaurar hay que saber 3 cosas: por dónde entraron, hasta dónde llegaron y desde cuándo están adentro. Esta última es la que más sorprende: en la mayoría de los casos el acceso inicial ocurrió semanas antes del cifrado. El atacante estuvo explorando, escalando privilegios y localizando los respaldos.
Importa porque define hasta qué fecha son confiables tus copias. Restaurar un respaldo posterior a la intrusión es reinstalar el problema.
Hora 12 a 48: restaurar en orden
- Reconstruir, no limpiar: un equipo comprometido se reinstala desde cero. Limpiar y confiar es cómo se producen las reinfecciones 2 semanas después.
- Rotar todas las credenciales: contraseñas de servicio, cuentas administrativas, llaves de API y certificados. Asume que todo lo que estaba en esa red fue leído.
- Cerrar la vía de entrada primero: restaurar sin haber cerrado el acceso es abrir la puerta con la casa recién arreglada.
- Restaurar por criticidad: primero lo que detiene la operación, después lo demás. Con la lista definida antes del incidente, no improvisada durante.
Los 3 errores que empeoran todo
Apagar los equipos. Es el instinto y es contraproducente. Se pierde la evidencia que permite identificar la variante y determinar el alcance.
Restaurar de inmediato. Restaurar antes de saber por dónde entraron garantiza el segundo cifrado, normalmente en menos de un mes y con los respaldos ya gastados.
Negociar en solitario. Además de las implicaciones legales y de que el pago no garantiza recuperación, cualquier contacto sin asesoría entrega información sobre el tamaño y la urgencia de la víctima.
La decisión que más pesa en un incidente de ransomware se tomó meses antes: si el respaldo estaba conectado a la misma red o no.
Lo que hubiera evitado el incidente
- Respaldo aislado: una copia fuera de línea o inmutable, que el atacante no pueda alcanzar aunque tenga privilegios de administrador.
- Segmentación: que el equipo de recepción no vea el servidor de producción limita el movimiento lateral.
- Autenticación multifactor: sobre todo en accesos remotos y VPN, que es la vía de entrada más frecuente.
- EDR con respuesta automática: detecta el comportamiento de cifrado masivo y aísla el equipo en segundos, sin esperar a que alguien lo note.
- Restauración probada: un simulacro semestral que compruebe que el respaldo sirve y cuánto tarda.
Ninguna de esas 5 medidas es cara comparada con 48 horas de operación detenida. Todas son difíciles de justificar antes del incidente y evidentes después.
