Ransomware: qué hacer en la primera hora (y qué no)

Son las 7:40 de la mañana. Alguien de contabilidad llama: los archivos tienen una extensión rara y hay un texto que pide un pago en criptomonedas. Lo que la empresa haga en los siguientes sesenta minutos vale más que todo lo que haga en los siguientes sesenta días. Y lo primero que casi todos hacen es lo peor.

Lo primero que casi todos hacen

Apagar la máquina. Parece lógico: si está infectada, que deje de funcionar. El problema es que el ransomware trabaja en memoria, y en la memoria quedan las pistas de cómo entró, qué cifró y a veces las llaves para recuperar. Al apagar, se borran.

Lo segundo que casi todos hacen es escribirle al atacante "para ver cuánto pide". Eso le confirma que hay alguien del otro lado dispuesto a negociar, y sube el precio.

Entonces, ¿qué sí se hace? Hay un orden, y el primer paso no requiere a ningún técnico.

Minuto 0 a 10: contener

• Desconecta el equipo de la red: cable fuera, wifi apagado. No lo apagues.
• Si hay más equipos con el mismo síntoma, lo mismo con cada uno.
• Pide que nadie abra archivos compartidos ni conecte memorias USB hasta nuevo aviso.
• Si tienes respaldos conectados en red o en la nube con sincronización automática, desconéctalos también: un respaldo que sigue sincronizando puede terminar cifrado.

Contener es cortar el contagio. No arregla nada todavía, pero evita que una máquina se convierta en treinta. Con eso hecho, viene la parte que requiere criterio.

Minuto 10 a 30: avisar, no decidir

Avisa a tres personas: quien dirige la empresa, quien administra los sistemas (interno o proveedor) y, si lo tienes, tu asesor de seguridad. Si tienes seguro de ciber riesgo, también a la aseguradora: muchas pólizas exigen aviso en las primeras horas y traen un equipo de respuesta incluido.

Lo que no se hace en esta ventana es decidir. No se decide pagar, no se decide restaurar, no se decide "formatear y empezar de cero". Cada una de esas decisiones destruye evidencia o dinero si se toma sin saber qué entró y por dónde.

Minuto 30 a 60: preguntas que sí puedes contestar

Mientras llega quien va a investigar, la empresa puede juntar lo que después va a hacer falta:

• ¿Cuándo se vio el primer síntoma y en qué equipo?
• ¿Qué correos o archivos abrió esa persona en las últimas horas?
• ¿Qué sistemas dejaron de funcionar: correo, contabilidad, el servidor de archivos?
• ¿Cuándo fue el último respaldo que se sabe sano, y dónde está?
• Una foto de la pantalla de rescate, con la dirección y el texto completos.

Con esas cinco respuestas, el equipo de respuesta empieza a trabajar en minutos en lugar de en horas.

Sobre pagar

Pagar no garantiza recuperar los archivos, y la empresa que paga queda marcada como una que paga. Pero tampoco es una decisión que se tome por principio en medio de la crisis: depende de si hay respaldos sanos, de qué tan rápido se contuvo y de qué información se llevaron. Esa decisión se toma con asesoría y con la aseguradora en la mesa, nunca en el minuto 15.

Lo que hace que esta hora salga bien

Todo lo de arriba se hace mejor si existía antes en una hoja: a quién se llama, qué no se apaga, dónde están los respaldos. Eso es un plan de respuesta a incidentes, y un ejercicio de mesa de dos horas con la dirección es la forma de probarlo antes de necesitarlo. Es lo que hago con las empresas que atiendo: la hoja, el ejercicio y, cuando pasa, la primera llamada.