Puntos clave
- Ante un secuestro informático, lo primero es aislar los equipos afectados y activar tu plan de respuesta, no pagar.
- Pagar no garantiza recuperar tus archivos, y la mayoría de las empresas víctimas ya decide no pagar.
- Los respaldos probados y la detección temprana son lo que realmente te devuelve el control sin negociar con delincuentes.
- El 95% de la seguridad recae en la prevención: endurecer hoy sale muchísimo más barato que negociar mañana.
Si acabas de ver el mensaje de que tus archivos están cifrados y te piden dinero, no pagues todavía y no apagues el equipo a lo loco: desconéctalo de la red, avisa a tu gente de sistemas y activa tu plan de respuesta. Un secuestro informático se gana o se pierde en las primeras horas, y pagar casi nunca es la salida. En RealNet, desde 1997 metidos en ciberseguridad, hemos atendido entre 2 y 4 empresas por semana con este problema, y la película casi siempre arranca igual.
Un hospital que amaneció con sus archivos cifrados
Les platico un caso. Un hospital mediano, al que llamaremos Clínica, abrió como cualquier lunes. La recepcionista intentó cargar el expediente de un paciente y, en lugar del sistema, apareció una pantalla negra con un texto en inglés: "tus archivos están cifrados, paga para recuperarlos". Estudios, historiales, facturación, agenda de quirófano: todo encriptado. Imagínense ustedes: un hospital no puede operar a ciegas, y de un momento a otro se fueron a la era de casi piedra, con hojas y plumas.
El director nos llamó a las 7 de la mañana, entre el enojo y el pánico. Su primera pregunta fue la de siempre: "¿pago o no pago?". Y esa es justo la pregunta equivocada para empezar. Algunos hechos de este caso fueron cambiados e incluso dramatizados, pero la escena se repite más de lo que quisiéramos.
Qué es el secuestro informático y por qué pagar casi nunca es la solución
El secuestro informático, o ransomware, es un tipo de ataque donde un delincuente cifra tus archivos, es decir los vuelve ilegibles con una especie de candado digital, y te exige un pago, casi siempre en criptomonedas, a cambio de la llave para abrirlos. Es, literalmente, un secuestro: tienen algo tuyo y lo retienen hasta que pagues.
El problema es grande, y no es cosa de unos cuantos. Según el informe anual de Verizon, el 44% de todas las brechas de seguridad investigadas ya involucraron ransomware, y en las pequeñas y medianas empresas la cifra sube a un alarmante 88%, de acuerdo con la cobertura del Verizon DBIR en Infosecurity Magazine. ¿Se imaginan? Casi nueve de cada diez golpes a una PYME traen secuestro de por medio. A los empresarios nos cuesta mucho levantar una empresa, y verla paralizada por esto duele de verdad.
¿Y por qué decimos que pagar casi nunca es la solución? Por varias razones muy terrenales:
1.- Pagar no garantiza nada. Quien te secuestró es un delincuente; no hay contrato ni garantía. Hemos visto empresas que pagaron y recibieron una llave que no funcionó, o que solo descifró la mitad.
2.- Te marca como blanco. Si pagas una vez, quedas fichado como alguien dispuesto a pagar, y es común que vuelvan a tocar la puerta meses después.
3.- Financias el crimen. Cada rescate pagado alimenta a la industria que ataca a la siguiente empresa, que puede ser la de tu vecino o la tuya otra vez.
Por algo la tendencia ya cambió. Hoy la mayoría de las víctimas se niega a pagar: el 64% rechazó el pago según el mismo informe de Verizon, y el reporte de IBM reportó una cifra muy parecida, con 63% de las organizaciones negándose a pagar. Dos estudios distintos, con métodos distintos, apuntando a lo mismo. La gente aprendió que negociar con el secuestrador rara vez termina bien.
Las primeras horas: cómo contener, aislar y activar tu plan
Cuando suena el teléfono con un "ya nos cifraron todo", lo que haces en las primeras horas pesa más que cualquier otra decisión. Esto es lo que recomendamos, en orden:
1.- Aísla, no apagues a ciegas. Desconecta de la red los equipos afectados, cable o wifi, para frenar que el cifrado siga brincando de máquina en máquina. Pero no apagues todo sin orientación: apagar sin criterio puede borrar evidencia valiosa que hay en la memoria y complicar el análisis.
2.- Identifica el alcance. ¿Es un equipo, diez, el servidor principal? Saber hasta dónde llegó define si puedes seguir operando en una parte del negocio mientras atiendes el resto.
3.- Activa tu plan de respuesta a incidentes. Si tienes un DRP y un BCP, este es el momento de usarlos. Si todavía no los tienes, aquí explicamos cómo armar tu DRP y BCP para que la próxima vez no improvises.
4.- Avisa a quien debe saber. Tu equipo de seguridad, la dirección y, según el caso, tu abogado. Si hay datos personales de pacientes o clientes de por medio, acérquese a su abogado porque en México hay obligaciones legales que atender.
5.- No negocies solo. Un secuestrador sabe presionar, pone relojes y amenazas. No tomes la decisión del pago en caliente ni sin asesoría técnica y legal.
La agencia de ciberseguridad del gobierno de Estados Unidos, CISA, publicó una guía oficial de respuesta a ransomware que vale oro y está disponible también en español. No vende nada; es material de referencia para tener tu checklist listo antes de que pase la desgracia.
Los respaldos y la detección temprana: no quedar a merced del atacante
Aquí está el corazón del asunto. La diferencia entre la empresa que se levanta en un día y la que llega a dejar de existir casi siempre se llama respaldos. Si tienes una copia íntegra y reciente de tu información, el secuestrador deja de tener poder sobre ti: borras lo cifrado, restauras desde tu respaldo y sigues caminando. El candado del atacante ya no sirve de nada.
Pero ojo, y esto es clave: un respaldo solo te salva si cumple tres condiciones.
1.- Está aislado. Si tu respaldo vive conectado a la misma red, el ransomware también lo cifra. Más de un empresario descubrió, el peor día, que su backup estaba tan secuestrado como el servidor. Por eso conviene tener copias fuera de línea o en la nube bien separadas.
2.- Está probado. Un respaldo que nunca restauraste es una ilusión. Nos ha tocado ver copias que corrían todas las noches y que, a la hora de la verdad, estaban incompletas o corruptas. Hay que probar la restauración con regularidad.
3.- Es reciente. De poco sirve una copia de hace tres meses. La frecuencia la define cuánta información puedes darte el lujo de perder.
La otra mitad de la ecuación es la detección temprana. Entre más rápido te das cuenta de que algo raro pasa, menos daño hace el ataque. Muchos secuestros no son instantáneos: el atacante entra, se mueve despacio por la red durante días y luego cifra. Si lo cachas en esa etapa, lo frenas antes del desastre. De eso se trata el monitoreo de red con sensores: poner ojos que vigilan el comportamiento y levantan la mano cuando algo no cuadra.
Cómo los servicios de RealNet te devuelven el control
Nuestra filosofía la repetimos como mantra porque es verdad: no hay nada 100% seguro. Quien les diga que les garantiza un 100% de seguridad que se los firme con sangre. Lo que sí podemos hacer es poner de nuestro lado ese 95% que recae en la prevención y en la respuesta. Para el secuestro informático, dos servicios trabajan juntos.
MDRGuru es nuestra detección y respuesta administrada. En cristiano: un equipo y una plataforma vigilando tu red las 24 horas para detectar el movimiento sospechoso antes de que se convierta en cifrado total, y para contenerlo cuando aparece. Esa detección temprana es la que convierte un desastre en un susto. MDRGuru es lo que atiende la película de la Clínica en el minuto uno, no en el día tres.
BackupGuru es la otra pata. Respaldos de servidores administrados, aislados y probados, pensados justo para el escenario del secuestro. Cuando el atacante cifró todo, BackupGuru es la copia limpia desde la cual recuperamos tus servidores sin pagar un peso de rescate. En el caso del hospital, así fue: con respaldos íntegros restauramos los sistemas críticos, y al final lo pudimos arreglar sin negociar con nadie.
Juntos, MDRGuru y BackupGuru cubren las dos preguntas que importan: ¿cómo evito que me cifren todo? y ¿cómo me levanto si lo logran? Puedes conocer más de estos y otros servicios como RadarGuru, SensorGuru, MailGuru y PentestGuru en realnet.com.mx. Llevamos desde 1993 como empresa y desde 1997 en ciberseguridad; esa experiencia de campo es la que ponemos sobre la mesa.
Prevenir es el 95%: endurecer hoy para no negociar mañana
Hay un dicho que viene al pelo: tapar el pozo después del niño ahogado. Casi todas las empresas que atendemos nos buscan ya cifradas, cuando la prevención hubiera costado una fracción. Y la factura de no prevenir es altísima: IBM calculó que el costo promedio de una brecha de datos llegó a su máximo histórico, 10.22 millones de dólares en Estados Unidos. Ninguna PYME aguanta un golpe así.
¿Qué hacer para endurecer tu empresa hoy, antes de que pase?
1.- Respaldos aislados y probados. Lo más importante. Es tu seguro de vida digital.
2.- Detección y monitoreo continuo. Para cachar al intruso en la etapa silenciosa.
3.- Ciberconciencia en tu gente. La mayoría de los ataques entra por un clic en un correo. Formar al equipo con una cultura de seguridad es de lo más rentable que puedes hacer.
4.- Plan de respuesta escrito. Un DRP y un BCP para no improvisar bajo presión.
El siguiente paso concreto es sencillo y no cuesta nada arrancar: siéntate hoy a revisar si tu última copia de seguridad realmente restaura. Pídele a tu equipo que haga una prueba de restauración esta semana, no el mes que viene. Si no tienes con quién, escríbenos a RealNet y lo revisamos contigo. A los empresarios nos cuesta mucho hacer una empresa; no dejemos que un delincuente la borre en una mañana. Una relación solo funciona cuando los dos tienen la misma intención: crecer juntos.
Por favor, reenvía este texto a todo empresario que conozcas. El que previene, gana.
Preguntas frecuentes
¿Debo pagar el rescate si me secuestran la información?
Casi nunca conviene. Pagar no garantiza que te devuelvan los archivos, financia al crimen y te marca como blanco dispuesto a pagar. Primero aísla, activa tu plan y revisa tus respaldos.
¿Qué es lo primero que debo hacer ante un secuestro informático?
Desconecta de la red los equipos afectados para contener la propagación, no apagues sin orientación para no perder evidencia, avisa a tu equipo de seguridad y activa tu plan de respuesta a incidentes.
¿Los respaldos me salvan de un ataque de ransomware?
Solo si están aislados de la red y los pruebas con regularidad. Un respaldo que el atacante también cifró no sirve de nada. Por eso conviene mantener copias fuera de línea y verificar que realmente restauran.
¿Cómo ayuda RealNet si ya me cifraron los servidores?
Con MDRGuru detectamos y contenemos el ataque, y con BackupGuru restauramos tus datos desde respaldos íntegros, para que recuperes la operación sin depender de la buena voluntad del secuestrador.
