Ransomware: qué hacer en las primeras 24 horas | Blog

Ante un ransomware, las primeras 24 horas deciden cuánto daño se produce. El orden de actuación: aislar los equipos afectados para frenar la propagación, activar el plan de respuesta y avisar a las personas que toman decisiones, preservar evidencias, evaluar el alcance, y solo después pensar en recuperar. Y casi nunca pagar: no garantiza recuperar los datos y las autoridades lo desaconsejan.

Primera hora: contener

Aísla, no apagues. Desconecta de la red (cable, Wi-Fi, VPN) los equipos con síntomas: ficheros con extensiones raras, notas de rescate, equipos lentos. Apagarlos puede destruir información en memoria útil para la investigación; si el aislamiento no es posible, entonces sí, apagar es mejor que dejar que siga cifrando.
Corta el acceso del atacante. Deshabilita las cuentas comprometidas (empezando por las privilegiadas), revoca sesiones y bloquea accesos remotos (RDP, VPN) sospechosos. Si el atacante tiene credenciales de administrador de dominio, asume que toda la red está comprometida.
Protege las copias de seguridad. Desconecta las copias del resto de la red antes de que el ransomware las cifre o las borre. Los atacantes las buscan expresamente.
Reúne al equipo de crisis. Técnicos, dirección, quien lleve comunicación y asesoría legal. Una persona decide, otra documenta cada acción con hora.

Primeras horas: entender

Preserva evidencias. Notas de rescate, listas de ficheros afectados, logs del firewall y del controlador de dominio, muestras del ejecutable. No reinstales equipos todavía.
Averigua el vector de entrada antes de restaurar: un acceso remoto expuesto, una cuenta robada por phishing, una vulnerabilidad sin parchear. Si no se cierra, el atacante vuelve.
Evalúa qué datos se han exfiltrado. Hoy lo habitual es la doble extorsión: cifran y además roban datos para amenazar con publicarlos.

Avisos y obligaciones

Si hay datos personales afectados, el RGPD obliga a notificar la brecha a la AEPD en un máximo de 72 horas desde que la conoces, salvo que sea improbable que suponga un riesgo para las personas.
Si tu empresa entra en el ámbito de NIS2 o de la normativa sectorial, hay plazos de notificación específicos (consulta dónde está NIS2 en España).
Denuncia a la Policía Nacional, la Guardia Civil o los Mossos d'Esquadra, e informa a INCIBE-CERT. También avisa a tu aseguradora si tienes ciberseguro: algunas pólizas exigen avisar en plazo.

Recuperación

Restaura desde copias limpias, comprobando que la copia es anterior a la intrusión.
Reconstruye los sistemas críticos desde imagen limpia en lugar de limpiar a mano el que estaba comprometido.
Cambia todas las credenciales, especialmente las de cuentas de servicio y administración, y revisa cuentas huérfanas y accesos que no deberían existir.
Reconecta por fases, con monitorización reforzada.

¿Pagar el rescate?

Las autoridades lo desaconsejan: no hay garantía de recibir una clave que funcione, financia a los atacantes y te marca como pagador. Es una decisión de la dirección con asesoramiento legal y, si se contempla, con una empresa especializada. Tener copias fuera de línea es lo que evita llegar a plantearse la pregunta.

Lo que evita llegar aquí

MFA en todos los accesos remotos y cuentas de administración.
Copias de seguridad desconectadas y probadas.
Sin puertos de administración expuestos a internet y con parches al día.
Un EDR o XDR vigilado, con alguien que responda a la alerta.

Preguntas frecuentes

¿Qué es el ransomware?

Un malware que cifra los ficheros de una organización y exige un pago a cambio de la clave para recuperarlos. Cada vez más, también roba los datos antes de cifrar para presionar con su publicación.

¿Se pueden recuperar los ficheros sin pagar?

A veces. Con copias limpias, sí. En algunos casos existen descifradores gratuitos para ciertas familias; el proyecto No More Ransom reúne los disponibles.

¿Hay que apagar el ordenador infectado?

Lo preferible es aislarlo de la red sin apagarlo, para conservar evidencias. Si no puedes aislarlo y sigue cifrando, apágalo.