Ransomware en tu empresa: qué hacer en las primeras 24 horas

Si tu empresa sufre un ransomware, desconecta de la red los equipos afectados, no pagues el rescate sin valorar antes tus copias, pide ayuda profesional y, si hay datos personales afectados, notifica a la AEPD en un máximo de 72 horas. Las primeras horas deciden cuánto daño se contiene y cuánto cuesta recuperarse.

Este es el orden que recomendamos. Mantén la calma: improvisar es lo que más empeora estos incidentes.

¿Qué hago en la primera hora?

1. Aísla los equipos afectados. Quita el cable de red y desactiva el wifi para evitar que el cifrado salte a otros ordenadores, servidores o al NAS de copias.
2. No apagues todo de golpe sin pensar. Apagar puede borrar evidencias en memoria que ayudan a entender cómo entraron. Si dudas, desconecta de la red y consulta con un técnico.
3. Haz fotos de la nota de rescate y apunta la hora, los equipos afectados y las extensiones de los ficheros cifrados.
4. Protege las copias. Desconecta los discos externos o las unidades de backup antes de que también se cifren.
5. Cambia credenciales desde un equipo limpio, empezando por administradores, correo y accesos remotos.

¿A quién debo avisar?

Cuanto antes, a tu responsable informático o proveedor. Si no lo tienes, INCIBE ofrece la línea de ayuda en ciberseguridad 017, gratuita y confidencial, que atiende también a empresas y profesionales y orienta en casos como el ransomware.

Avisa también a tu aseguradora si tienes póliza de ciberriesgos, porque suele exigir un aviso rápido, y presenta una denuncia ante la Policía Nacional o la Guardia Civil. Te sirve para el seguro y para dejar constancia.

¿Hay que notificar a la AEPD?

Si el ataque afecta a datos personales de clientes, empleados o proveedores, el RGPD exige notificar la brecha a la autoridad de control, en España la AEPD, sin dilación indebida y, de ser posible, a más tardar 72 horas después de que tengas constancia. Se exceptúa el caso en que sea improbable que suponga un riesgo para las personas. Si te pasas del plazo, la notificación debe explicar el motivo del retraso.

Decide con quien lleve tu protección de datos, pero no lo dejes para el final.

¿Pago el rescate?

La recomendación general es que no. Pagar no garantiza recuperar nada, te marca como objetivo que paga y financia a los delincuentes. Antes de plantearlo, comprueba si puedes restaurar desde copias limpias. Si tus copias están intactas y probadas, el chantaje pierde casi toda su fuerza.

¿Cómo restauro con garantías?

No restaures encima de un sistema todavía comprometido. El orden razonable es:

• Identificar cómo entraron los atacantes y cerrar esa puerta.
• Reinstalar o limpiar los equipos afectados.
• Restaurar los datos desde copias verificadas.
• Reconectar por fases, vigilando que no haya actividad rara.

¿Cómo evitar que vuelva a pasar?

Copias de seguridad desconectadas o inmutables y probadas de verdad, actualizaciones al día, doble factor en correo y accesos remotos, y formación para detectar el phishing. Revisa también quién tiene permisos de administrador.

¿Qué conviene documentar durante el incidente?

Llevar un registro cronológico te ahorra problemas después: cuándo lo detectaste, qué decisiones tomaste, quién participó y qué sistemas se vieron afectados. Ese registro te sirve para la denuncia, para el seguro, para la posible notificación a la AEPD y para aprender de lo ocurrido. Guarda también los correos sospechosos y los registros de acceso, sin modificar los equipos afectados más de lo imprescindible.

¿Te ayudamos?

En ATOMTECH ayudamos a pymes de Canarias y de toda España a contener incidentes, recuperar sistemas y montar una protección razonable. Si estás en pleno incidente o quieres prepararte antes, contacta con nosotros o conoce nuestra consultoría tecnológica.