Ransomware en tu empresa: qué hacer en las primeras 24 horas

¿Cómo sé si es un ransomware?

Un ransomware es un programa malicioso que bloquea tus archivos (los «cifra») y te pide dinero para devolvértelos. Las señales más habituales son estas:

• Los archivos no se abren o tienen una extensión rara que antes no tenían.
• Aparece una nota o un fondo de pantalla que pide un rescate, casi siempre en criptomonedas.
• El ordenador va muy lento o un servidor deja de responder.
• Las copias de seguridad fallan de repente o han desaparecido.

Si dudas, trátalo como si lo fuera. Aislar un equipo que no estaba infectado te cuesta unos minutos. No aislar uno infectado puede costarte todo.

En los primeros minutos

1. Desconecta de la red el equipo afectado: cable, wifi y VPN. Si no sabes cuál es, desconecta el router de la oficina. Te quedas sin internet un rato, pero cortas la propagación.
2. Avisa a la persona responsable de la empresa y a quien te lleve la informática.
3. No formatees ni reinstales todavía. Puede hacer falta para entender qué pasó y cómo entraron.
4. Haz fotos de la pantalla con el móvil: es la mejor prueba y no ocupa nada.

En la primera hora

• Averigua qué está afectado: ordenadores, servidores, correo, archivos en la nube.
• Mira tus copias de seguridad, sin conectarlas a la red afectada. ¿Existen? ¿Están fuera de línea? ¿Son recientes?
• Pide ayuda: llama al 017 o a tu informático o empresa de soporte. Si tienes ciberseguro, avisa a la aseguradora: muchas pólizas exigen comunicarlo enseguida.
• Activa el doble factor en el correo y en el resto de cuentas importantes.

En las primeras 24 horas

• Denuncia. Es un delito: puedes denunciarlo ante la Policía Nacional o la Guardia Civil. Además de ser lo correcto, puede ser necesario para tu seguro.
• Comprueba si hay datos personales afectados. Si es así y supone un riesgo para las personas, el RGPD te obliga a notificarlo a la Agencia Española de Protección de Datos (AEPD) en un máximo de 72 horas desde que lo supiste. Si no lo tienes claro, pide asesoramiento cuanto antes. Aquí tienes los pasos de una brecha de datos.
• Cuéntalo a tus clientes y a tu equipo, con un mensaje breve y claro (tienes una plantilla más abajo).
• Decide cómo recuperar: restaurar desde copias limpias en equipos limpios, probar descifradores gratuitos o ponerte en manos de un profesional.

¿Pagar el rescate o no?

La recomendación de las autoridades (INCIBE, la Policía y Europol) es no pagar. Estos son los motivos:

• No hay garantía de que te devuelvan los datos, ni de que funcionen al recuperarlos.
• Financias a los delincuentes y puedes quedar marcado como alguien que paga.
• Pueden haberse copiado tus datos y volver a pedirte dinero a cambio de no publicarlos.

Es una decisión tuya, pero tómala con asesoramiento y no en caliente. Con unas buenas copias de seguridad, normalmente no hace falta ni planteársela.

Qué decir a tus clientes y a tu equipo

Cuéntalo pronto y con claridad. Casi siempre se pierde más confianza por ocultar un incidente que por haberlo sufrido. Puedes copiar este mensaje y adaptarlo:

Asunto: Aviso sobre un incidente de seguridad en [nombre de tu empresa]

Hola [nombre]:

Hoy hemos detectado un incidente de seguridad informática que afecta a [por ejemplo: nuestro correo y la gestión de pedidos]. Hemos tomado medidas para contenerlo y estamos trabajando con especialistas para recuperar el servicio.

Por ahora [no tenemos constancia de que tus datos se hayan visto afectados / estamos comprobando si tus datos se han visto afectados]. Te mantendremos informado en cuanto sepamos más.

Hasta entonces, desconfía de correos o llamadas que digan ser de nosotros y pidan pagos o contraseñas. Si tienes dudas, llámanos al [tu teléfono].

Gracias por tu paciencia.
[Tu nombre y empresa]

Tres consejos: sé breve, no especules y no culpes a nadie. Di solo lo que sabes y cuándo volverás a informar.

Cómo evitarlo: siete hábitos que marcan la diferencia

1. Copias de seguridad que no estén conectadas. La regla 3-2-1: tres copias, en dos soportes distintos y una fuera de la oficina y desconectada. Y pruébalas: una copia que nunca se ha restaurado es una esperanza, no una copia. Aquí tienes cómo montarlas.
2. Actualiza todo: Windows, programas, la web y el router. Muchos ataques entran por fallos que ya tenían arreglo.
3. Doble factor (2FA) en el correo, la banca y el panel de tu web.
4. Cuidado con el correo. Muchos ataques empiezan con un mensaje falso. Configura SPF, DKIM y DMARC para que nadie pueda suplantarte y enseña a tu equipo a desconfiar de adjuntos y enlaces inesperados. Aquí tienes cómo detectar un correo falso.
5. Cada persona, con los permisos justos. Un empleado no necesita ser administrador del ordenador.
6. Un plan en un papel: quién llama a quién y a qué número. Esta misma guía, impresa, ya vale.
7. Revisa lo que se ve desde fuera: tu web, tu correo y tus certificados. Es lo primero que mira quien quiere hacerte daño.

Preguntas frecuentes

Sigue leyendo

• Brecha de datos en tu empresa: qué hacer y cuándo avisar a la AEPD7 min de lectura
• Copias de seguridad para tu pyme: la regla 3-2-1 explicada4 min de lectura
• Fraude del falso jefe y de la factura con el IBAN cambiado: cómo evitarlo y qué hacer5 min de lectura

Fuentes y más información

• INCIBE: Línea de Ayuda en Ciberseguridad (017)
• INCIBE-CERT: respuesta a incidentes
• AEPD: Agencia Española de Protección de Datos
• No More Ransom: descifradores gratuitos

Esta guía es orientativa y no sustituye el asesoramiento técnico o legal de un profesional. Se actualiza cuando cambian los hechos.