Un aviso de rescate en pantalla no es el momento de improvisar ni de buscar culpables. Saber cómo responder ante ransomware en los primeros minutos puede determinar si el incidente se limita a unos equipos o se convierte en una interrupción operativa, una pérdida de información y un problema reputacional. La prioridad no es negociar ni reiniciar sistemas: es contener, decidir con evidencia y recuperar con control.
El ransomware no afecta solo a TI. Puede detener facturación, logística, atención al cliente, producción, ventas y acceso a información contractual. Por eso, la respuesta debe estar liderada como un incidente de negocio, con responsables claros entre Dirección, TI, Seguridad, Legal y Comunicación.
Las primeras horas: contenga antes de recuperar
Cuando se detecta una nota de rescate, archivos con extensiones desconocidas, actividad anómala en servidores o alertas de un EDR, el objetivo inicial es evitar que el cifrado siga avanzando. Desconectar un equipo de la red no significa apagarlo de inmediato. Mantenerlo encendido, pero aislado, puede preservar memoria, registros y otros indicios útiles para entender el alcance del ataque.
Aísle los equipos comprometidos de la red cableada, Wi-Fi, VPN y recursos compartidos. Si hay indicios de propagación, suspenda temporalmente accesos remotos, sesiones privilegiadas y sincronizaciones que puedan llevar archivos cifrados a otros entornos. Esto incluye revisar servicios de almacenamiento, unidades compartidas y conexiones con oficinas, proveedores o filiales.
No borre archivos, no formatee equipos y no ejecute herramientas de descifrado encontradas sin validación. Una acción precipitada puede eliminar evidencia, sobrescribir datos recuperables o facilitar una segunda intrusión. Tampoco conviene restaurar copias de seguridad hasta confirmar que el atacante ya no conserva acceso al entorno.
Durante la contención, conviene registrar la hora del hallazgo, el usuario afectado, el equipo, los mensajes mostrados, las cuentas con actividad sospechosa y los sistemas aparentemente impactados. Las capturas de pantalla, logs del firewall, alertas de correo, registros de autenticación y datos del EDR ayudan a reconstruir qué ocurrió y desde dónde entró el atacante.
Cómo responder ante ransomware con un equipo de decisión
El error más habitual es dejar toda la gestión en manos del técnico que recibe la primera alerta. TI debe coordinar la respuesta técnica, pero Dirección necesita definir prioridades de continuidad: qué procesos deben recuperarse primero, cuánto tiempo puede operar cada área de forma alternativa y qué comunicaciones deben activarse.
Designe un responsable de incidente con autoridad para tomar decisiones y convocar a las áreas necesarias. Debe existir un canal de comunicación fuera de los sistemas posiblemente afectados, como telefonía móvil corporativa o una plataforma externa segura. No utilice el correo corporativo comprometido para coordinar acciones sensibles.
La organización necesita responder a cuatro preguntas antes de iniciar una restauración: qué activos están afectados, cómo accedieron los atacantes, si hubo extracción de datos y qué procesos del negocio son prioritarios. No todas las aplicaciones tienen la misma criticidad. Recuperar primero un servidor secundario mientras sigue caída la facturación o el ERP puede alargar innecesariamente el impacto.
Un inventario de activos críticos permite ordenar la recuperación con criterios empresariales. Debe identificar, como mínimo:
- Servicios esenciales para operar, como ERP, facturación, correo, CRM, ficheros de producción o plataformas de atención.
- Dependencias técnicas, incluyendo identidades, DNS, servidores virtuales, redes, bases de datos y accesos de administradores.
- Propietarios de negocio que validen que cada aplicación funciona correctamente tras la restauración.
- Objetivos de recuperación: cuánto dato puede perderse y cuánto tiempo puede permanecer detenido cada proceso.
Esta información debe estar definida antes de un incidente. Si se construye bajo presión, las decisiones se vuelven más lentas y la operación queda expuesta a prioridades contradictorias.
Investigue el acceso inicial y el alcance real
El cifrado visible suele ser la última fase del ataque, no la primera. Un atacante puede haber permanecido días o semanas en la red, robando credenciales, elevando privilegios, desactivando defensas y localizando copias de seguridad. Por ello, restaurar archivos sin eliminar la vía de acceso puede devolver el entorno al mismo atacante.
La investigación debe revisar accesos remotos, cuentas administrativas, VPN, buzones de correo, reglas sospechosas de reenvío, aplicaciones expuestas a internet, vulnerabilidades sin parchear y cambios recientes en políticas de seguridad. El phishing sigue siendo una puerta de entrada frecuente, pero no es la única: credenciales filtradas, servicios RDP expuestos, software desactualizado y proveedores con acceso remoto también generan riesgo.
Es fundamental determinar si hubo exfiltración de datos. Muchos grupos combinan cifrado y extorsión: amenazan con publicar información si no se paga. La ausencia de archivos cifrados en un servidor no descarta que sus datos hayan sido copiados. Revise transferencias inusuales, herramientas de compresión, conexiones salientes anómalas y actividad en repositorios sensibles.
Si el incidente puede afectar datos personales, información financiera, secretos comerciales o contratos, involucre pronto a asesoría legal y a los responsables de cumplimiento. Las obligaciones de notificación dependen del tipo de información, los contratos vigentes y las jurisdicciones implicadas. Comunicar demasiado pronto, o demasiado tarde, puede aumentar el riesgo.
¿Pagar el rescate? Una decisión que no garantiza recuperación
La presión para pagar aparece cuando el negocio está detenido y no existen respaldos utilizables. Sin embargo, el pago no garantiza una clave de descifrado funcional, la recuperación completa de los datos ni la eliminación de copias extraídas. También puede situar a la empresa ante riesgos legales, financieros y reputacionales, según el grupo atacante y el contexto aplicable.
La decisión no debe tomarse desde un único departamento ni basarse en el importe exigido. Debe considerar el estado real de los respaldos, el alcance del ataque, la posibilidad de recuperación alternativa, la evidencia de exfiltración y el impacto de cada hora de indisponibilidad. Un equipo especializado en respuesta a incidentes puede aportar criterios técnicos antes de tomar una decisión irreversible.
La mejor posición ante esta disyuntiva se construye antes del ataque: copias verificadas, aisladas y recuperables reducen la dependencia de cualquier exigencia criminal.
Recupere de forma limpia, no de forma rápida a cualquier precio
La recuperación empieza cuando el entorno está contenido y se ha identificado una ruta razonable de acceso. Primero se reconstruyen o validan los servicios de identidad, red, seguridad y administración. Después se restauran las aplicaciones y los datos según el orden de criticidad definido por el negocio.
Las copias deben cumplir una estrategia que combine versiones históricas, almacenamiento segregado y pruebas periódicas de restauración. El cifrado AES-256 protege la confidencialidad del respaldo, pero no sustituye el aislamiento ni la verificación. Un backup accesible con las mismas credenciales administrativas del entorno productivo puede ser cifrado o borrado por el atacante.
Antes de devolver un sistema a producción, valide que está parcheado, que sus cuentas privilegiadas han sido revisadas y que no conserva mecanismos de persistencia. Restablezca contraseñas, rote claves y tokens, revise el doble factor de autenticación y elimine cuentas o accesos que ya no sean necesarios. La restauración debe incluir pruebas funcionales con los responsables de cada área, no solo comprobaciones técnicas.
En organizaciones con Microsoft 365, también hay que revisar buzones, SharePoint, OneDrive, Teams y las identidades asociadas. Recuperar un servidor local mientras persisten reglas maliciosas de correo o sesiones comprometidas en la nube deja una puerta abierta.
Después del incidente: convierta la experiencia en control operativo
Cuando la operación se estabiliza, comienza una fase que muchas empresas omiten: analizar qué falló y corregirlo con fechas, responsables y métricas. El informe posterior debe explicar el vector de entrada, los sistemas afectados, el tiempo de detección, la duración de la interrupción, los datos expuestos y las acciones pendientes.
No basta con comprar una nueva herramienta tras el incidente. La protección efectiva combina personas, procesos y tecnología: filtrado de correo para frenar phishing, EDR o MDR para detectar actividad hostil, seguridad perimetral, gestión de parches, doble factor, segmentación de red y respaldos probados. La combinación exacta depende de la operación, el número de equipos, los sistemas críticos y el nivel de exposición de cada empresa.
RealNet trabaja este enfoque como acompañamiento operativo: diagnóstico del entorno, protección configurada según el riesgo, monitorización y revisión continua con responsables que conocen la cuenta. El valor no está en acumular licencias, sino en saber qué alertas requieren acción y qué servicio debe recuperarse primero.
Un simulacro anual es útil, pero para procesos críticos conviene practicar con mayor frecuencia. Pregunte a sus responsables: si mañana se cifraran los sistemas, ¿quién decide aislar la red?, ¿qué respaldo se restauraría primero?, ¿cuánto tardaríamos en facturar de nuevo? Tener respuestas verificadas antes del incidente protege mucho más que una política archivada.
