Ransomware: què fer en les primeres 24 hores

Davant d'un ransomware, les primeres 24 hores decideixen quant de dany es produeix. L'ordre d'actuació: aïllar els equips afectats per frenar la propagació, activar el pla de resposta i avisar les persones que prenen decisions, preservar evidències, avaluar l'abast, i només després pensar a recuperar. I quasi mai pagar: no garanteix recuperar les dades i les autoritats ho desaconsellen.

Primera hora: contenir

1. Aïlla, no apaguis. Desconnecta de la xarxa (cable, Wi-Fi, VPN) els equips amb símptomes: fitxers amb extensions estranyes, notes de rescat, equips lents. Apagar-los pot destruir informació en memòria útil per a la investigació; si l'aïllament no és possible, llavors sí, apagar és millor que deixar que continuï xifrant.
2. Talla l'accés de l'atacant. Deshabilita els comptes compromesos (començant pels privilegiats), revoca sessions i bloqueja accessos remots (RDP, VPN) sospitosos. Si l'atacant té credencials d'administrador de domini, assumeix que tota la xarxa està compromesa.
3. Protegeix les còpies de seguretat. Desconnecta les còpies de la resta de la xarxa abans que el ransomware les xifri o les esborri. Els atacants les busquen expressament.
4. Reuneix l'equip de crisi. Tècnics, direcció, qui porti comunicació i assessoria legal. Una persona decideix, una altra documenta cada acció amb hora.

Primeres hores: entendre

• Preserva evidències. Notes de rescat, llistes de fitxers afectats, logs del tallafocs i del controlador de domini, mostres de l'executable. No reinstal·lis equips encara.
• Esbrina el vector d'entrada abans de restaurar: un accés remot exposat, un compte robat per phishing, una vulnerabilitat sense pedaç. Si no es tanca, l'atacant torna.
• Avalua quines dades s'han exfiltrat. Avui el més habitual és la doble extorsió: xifren i a més roben dades per amenaçar amb publicar-les.

Avisos i obligacions

• Si hi ha dades personals afectades, el RGPD obliga a notificar la bretxa a l'AEPD en un màxim de 72 hores des que la coneixes, tret que sigui improbable que suposi un risc per a les persones.
• Si la teva empresa entra a l'àmbit de NIS2 o de la normativa sectorial, hi ha terminis de notificació específics (consulta on és NIS2 a Espanya).
• Denuncia a la Policia Nacional, la Guàrdia Civil o els Mossos d'Esquadra, i informa INCIBE-CERT. També avisa la teva asseguradora si tens ciberassegurança: algunes pòlisses exigeixen avisar en termini.

Recuperació

1. Restaura des de còpies netes, comprovant que la còpia és anterior a la intrusió.
2. Reconstrueix els sistemes crítics des d'imatge neta en lloc de netejar a mà el que estava compromès.
3. Canvia totes les credencials, especialment les de comptes de servei i administració, i revisa comptes òrfenes i accessos que no haurien d'existir.
4. Reconnecta per fases, amb monitorització reforçada.

Pagar el rescat?

Les autoritats ho desaconsellen: no hi ha garantia de rebre una clau que funcioni, finança els atacants i et marca com a pagador. És una decisió de la direcció amb assessorament legal i, si es contempla, amb una empresa especialitzada. Tenir còpies fora de línia és el que evita arribar a plantejar-se la pregunta.

El que evita arribar aquí

• MFA a tots els accessos remots i comptes d'administració.
• Còpies de seguretat desconnectades i provades.
• Sense ports d'administració exposats a internet i amb pedaços al dia.
• Un EDR o XDR vigilat, amb algú que respongui a l'alerta.

Preguntes freqüents

Què és el ransomware?

Un malware que xifra els fitxers d'una organització i exigeix un pagament a canvi de la clau per recuperar-los. Cada cop més, també roba les dades abans de xifrar per pressionar amb la seva publicació.

Es poden recuperar els fitxers sense pagar?

A vegades. Amb còpies netes, sí. En alguns casos hi ha desxifradors gratuïts per a certes famílies; el projecte No More Ransom reuneix els disponibles.

Cal apagar l'ordinador infectat?

El preferible és aïllar-lo de la xarxa sense apagar-lo, per conservar evidències. Si no pots aïllar-lo i continua xifrant, apaga'l.