Un lunes a las 8:15 a.m., el personal no puede abrir archivos compartidos, los sistemas muestran una nota de rescate y las solicitudes de clientes comienzan a acumularse. En ese momento, una guía de respuesta ransomware no es un documento de cumplimiento: es una decisión de continuidad operativa. Las primeras horas definen si el incidente queda contenido o si paraliza áreas críticas, expone información y afecta la confianza de clientes, proveedores y colaboradores.
No hay nada 100% seguro. Sin embargo, cerca del 95% de la seguridad recae en la prevención y en la capacidad de actuar con orden cuando algo ocurre. La respuesta no empieza al recibir la nota de extorsión. Empieza antes, con activos identificados, respaldos verificables, responsables definidos y monitoreo que detecte comportamientos anómalos.
Qué debe ocurrir en la primera hora
El objetivo inicial no es restaurar cada equipo ni responder al atacante. Es detener la propagación, conservar evidencia y mantener el control ejecutivo del incidente. Desconectar un equipo comprometido de la red puede ser necesario, pero hacerlo sin criterio puede borrar información útil o interrumpir procesos que aún requieren análisis. Por eso, el área de TI debe aplicar un procedimiento acordado y escalar de inmediato a Dirección.
Primero, active al equipo de respuesta. Debe incluir al responsable de TI, un representante de Dirección, responsables de operación y, cuando aplique, asesoría legal y comunicación corporativa. Una sola persona debe coordinar decisiones y registrar cada acción: hora de detección, usuarios afectados, sistemas involucrados, alertas recibidas y medidas de contención aplicadas.
Después, aísle los activos sospechosos. Esto puede implicar retirar equipos de la red, bloquear sesiones comprometidas, segmentar servidores, deshabilitar cuentas privilegiadas o cortar accesos remotos específicos. No apague servidores de manera indiscriminada. En ciertos casos, conservarlos encendidos permite obtener registros, procesos activos y evidencia para entender el alcance real.
También es momento de proteger las credenciales. Restablezca contraseñas de cuentas administrativas, VPN, correo, plataformas de nube y accesos remotos desde un entorno confiable. Si existe autenticación multifactor, revise cambios recientes, nuevos dispositivos registrados y reglas de reenvío en correo electrónico. El ransomware suele llegar después de phishing, robo de credenciales o una vulnerabilidad sin corregir.
Guía de respuesta ransomware: contención con evidencia
Un error frecuente es concentrarse solo en los archivos cifrados. El cifrado es la consecuencia visible, pero el atacante puede haber permanecido dentro de la red durante días o semanas. Puede haber extraído información, creado cuentas de respaldo, desactivado defensas o preparado mecanismos para volver a entrar.
La investigación debe responder preguntas concretas: ¿cuál fue el punto inicial de acceso?, ¿qué equipos y cuentas fueron afectados?, ¿qué información pudo salir de la empresa?, ¿hay respaldos alcanzables y limpios?, ¿el atacante mantiene persistencia? Sin esas respuestas, restaurar puede devolver la operación por unas horas y reintroducir el problema después.
Conserve registros de EDR, firewall, correo, directorio activo, VPN, servidores y plataformas Microsoft 365. Mantenga una bitácora de decisiones y evite modificar equipos comprometidos antes de obtener la información necesaria. Cuando el incidente afecta un entorno amplio, un servicio MDR y especialistas en respuesta a incidentes aportan visibilidad que un equipo interno, bajo presión, difícilmente puede sostener solo.
La comunicación también necesita control. Informe a los colaboradores afectados qué deben hacer y qué no deben hacer: no reiniciar equipos sin indicación, no conectar memorias USB, no usar correos sospechosos ni intentar recuperar archivos por cuenta propia. A Dirección se le debe reportar impacto operativo, alcance conocido, riesgos pendientes y tiempos estimados por escenario, no especulaciones técnicas aisladas.
Recuperar sin volver a abrir la puerta
La recuperación debe seguir prioridades de negocio, no el orden en que se dañaron los equipos. Identifique primero los servicios que sostienen la facturación, atención al cliente, producción, logística, comunicación interna y cumplimiento. Una empresa puede operar temporalmente sin ciertos archivos locales, pero no sin su sistema de ventas, sus servidores de identidad o su plataforma de correo.
Antes de restaurar, valide que el respaldo sea íntegro, esté libre de malware y corresponda a un punto anterior al compromiso. Un respaldo que existe pero nunca se ha probado no es una estrategia de recuperación. La regla 3-2-1 sigue siendo útil: tres copias de la información, en dos medios distintos y una copia fuera de línea o inmutable. Para información sensible, el cifrado AES-256 y controles de acceso separados ayudan a que el respaldo no se convierta en otro objetivo fácil.
La restauración puede requerir reconstruir equipos desde imágenes limpias, aplicar parches, instalar agentes de seguridad, endurecer configuraciones y validar accesos antes de volver a poner sistemas en producción. Restaurar datos en una infraestructura vulnerable solo acelera un segundo incidente.
No todas las empresas requieren el mismo nivel de recuperación. Una organización con procesos críticos 24/7 puede necesitar máquinas virtuales preparadas, replicación y un plan de recuperación ante desastres con objetivos de tiempo de recuperación definidos. Una empresa con menor dependencia tecnológica quizá priorice respaldos cifrados, procedimientos manuales temporales y pruebas periódicas. La decisión depende de cuánto tiempo puede detenerse cada proceso sin afectar ingresos, reputación o compromisos con clientes.
¿Conviene pagar el rescate?
Pagar no garantiza recuperar la información, recibir una llave funcional ni evitar la filtración de datos. Además, no elimina la causa de entrada ni asegura que el atacante haya salido del entorno. La decisión debe evaluarse con asesoría legal, técnica y directiva, considerando la continuidad operativa, obligaciones contractuales, exposición de información y evidencia disponible.
La mejor posición es no tener que decidir bajo presión. Cuando existen respaldos probados, segmentación, protección de endpoints y un plan de respuesta ensayado, el rescate deja de ser la única salida aparente. La prevención no elimina todo riesgo, pero reduce drásticamente la capacidad del atacante de convertir una intrusión en una crisis de negocio.
Después del incidente: corregir la causa, no solo el daño
Una vez estabilizada la operación, realice una revisión ejecutiva y técnica. No se trata de buscar culpables individuales, sino de corregir brechas concretas. Revise vulnerabilidades sin parche, permisos excesivos, cuentas sin multifactor, accesos de proveedores, configuraciones de correo, políticas de respaldo y alertas que no fueron atendidas a tiempo.
También analice si el inventario de activos era suficiente. Muchas empresas descubren durante un incidente que no saben qué servidores, aplicaciones, licencias, usuarios privilegiados o repositorios de información son realmente críticos. Sin ese mapa, proteger y recuperar se vuelve más lento y más caro en tiempo operativo.
La capacitación debe ser específica. En vez de una sesión genérica anual, use casos parecidos a los riesgos reales de la empresa: correos de proveedores, solicitudes urgentes de pago, documentos compartidos, cambios de contraseñas o enlaces a plataformas conocidas. El phishing sigue siendo una puerta frecuente, y la capacidad del personal para reportarlo a tiempo es parte de la defensa.
Convertir el plan en una capacidad operativa
Un plan de respuesta efectivo se prueba. Simule un incidente, mida cuánto tarda el equipo en identificarlo, aislarlo, notificarlo y recuperar un servicio prioritario. Si las decisiones dependen de una sola persona o de documentos desactualizados, el plan tiene una brecha que debe atenderse antes del siguiente ataque.
En RealNet entendemos que seguridad y confianza no se resuelven con una licencia aislada. Requieren diagnóstico, monitoreo, respaldos cifrados, defensa de endpoints, protección de correo y acompañamiento humano para tomar decisiones críticas. Creamos valor generando cambios que sostienen la operación, incluso cuando el entorno digital se vuelve adverso.
La pregunta útil no es si su empresa puede sufrir un intento de ransomware, sino cuánto control conservaría durante la primera hora. Tener esa respuesta clara protege más que cualquier promesa de seguridad absoluta.
