El ransomware es un programa que cifra los archivos de tu empresa y pide un rescate para devolverlos. Suele aparecer de golpe: pantallas con un mensaje, archivos con extensiones extrañas que no se abren, servidores que dejan de responder. Lo que hagas en la primera hora decide cuánto se pierde.
1. Aísla los equipos afectados, sin apagarlos
Quita el cable de red y desactiva el wifi de los equipos donde veas el mensaje. El objetivo es que el ataque no siga extendiéndose a otros ordenadores o al servidor. No los apagues: en la memoria quedan pistas que sirven para saber cómo entraron y, a veces, para recuperar las claves.
2. Protege las copias de seguridad
Si tienes copias en un disco conectado o en un servidor de la red, desconéctalo ya. Los atacantes buscan las copias para borrarlas antes de pedir el rescate. Una copia intacta es la diferencia entre recuperarse en días o no recuperarse.
3. No pagues ni negocies por tu cuenta
Pagar no garantiza recibir una clave que funcione, financia nuevos ataques y te señala como empresa que paga. Tampoco contestes a los atacantes sin asesoramiento: hay información en esa conversación que puede ser útil para la investigación.
4. No borres nada
Ni el mensaje de rescate, ni los archivos cifrados, ni los registros. Todo eso es evidencia. Tampoco reinstales equipos todavía: primero hay que entender por dónde entró el ataque, o volverá a pasar.
5. Pide ayuda profesional
Un equipo de respuesta a incidentes contiene el ataque, identifica la puerta de entrada, comprueba si se han llevado datos y planifica la recuperación. En Ovnar atendemos urgencias a cualquier hora. INCIBE ofrece además una línea gratuita de ayuda en ciberseguridad, el 017.
6. Denuncia y avisa a quien corresponda
Presenta denuncia ante la Policía Nacional o la Guardia Civil. Si el ataque afecta a datos personales de clientes o empleados, puede ser obligatorio notificarlo a la Agencia Española de Protección de Datos en un plazo de 72 horas. Te ayudamos a preparar esa notificación.
Después del ataque
Una vez recuperada la actividad, revisa lo que falló: contraseñas sin doble factor, equipos sin actualizar, copias accesibles desde la red. Son los tres puntos por los que entra la mayoría de ataques, y los tres tienen solución sencilla.