Ataque sospechoso a los sistemas TI de la empresa: ¿qué hacer exactamente en las primeras 24 horas?

Ni se te ocurra cometer el error de reiniciar el servidor. Los procesos en la memoria RAM son la zona más crítica para detectar el origen del ataque. Si es posible, saca un volcado de memoria (memory dump) y copia de inmediato los logs del firewall a un disco externo de solo lectura.

¿Dónde teníais guardadas las copias de seguridad? Si estaban en un almacenamiento conectado a la red (NAS), lo más seguro es que también se haya afectado. ¿Tenéis copias inmutables (immutable) guardadas en un entorno desconectado físicamente (air-gapped) o en otra cuenta de la nube?

Cambia ya mismo todas las contraseñas del correo corporativo del administrador del dominio y del panel de la nube desde un ordenador limpio de fuera de la empresa, obligando a usar verificación en dos pasos. Ni se os ocurra usar las máquinas infectadas de la oficina para cambiar contraseñas.

El año pasado nos pasó algo parecido con el ransomware en nuestro almacén de Stuttgart. El equipo de respuesta cobró 4.800 euros por las primeras 48 horas, y con el informe forense el coste total llegó a los 11.000 euros. Como teníamos ciberseguro nos devolvieron todo, si tenéis póliza no perdáis ni un minuto.

Habla sí o sí con tu abogado informático antes de llamar a la policía. Si por pánico declaras tajantemente a las autoridades o clientes 'nos han robado los datos' y luego la investigación demuestra que no fue así, vas a sufrir una pérdida de reputación comercial y asumirás responsabilidades legales innecesarias.

Nota: esto es mi experiencia, puede no aplicar a todos.

El primer día de crisis gestiona la comunicación interna con estas reglas: 1) Prohibido usar el correo de la empresa y los chats internos de la red local para escribir sobre esto. 2) Informa al personal por teléfonos personales o un grupo externo seguro. 3) Da instrucciones a los empleados para que no pinchen en ninguna pantalla sospechosa ni toquen sus ordenadores.

muchho ánimo, el estrés que tenéis ahora es supernormal pero lo más importante es mantener la calma y no responder de inmediato prometiendo pagos a ningún enlace o correo que hayan dejado los atacantes... no os pongáis a negociar sin apoyo profesional.

Desconecta solo los cables de red, no la corriente, y no formatees ningún disco hasta que lo revise un perito forense.

aquí hay que hacer una distinción.. luego cuanto más difícil sea revertir una decisión más despacio debéis tomarla.

comproobado por experiencia.

La discusión se ha dispersado, voy a ordenarla. Si regañas las falsas alarmas, nadie volverá a reportar.

Al tomar decisiones, escribe también el peor escenario, no solo el mejor. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

La respuesta de arriba ha dado en el clavo... Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Gracias por escribir.

Os cuento lo que me pasó a mí a ver si os sirve de ayuda. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Yo seguiría por ese camino.

Me quedé tranquilo al leer esta respuesta así que no solo me pasa a mí. Una copia de seguridad no probada no es una copia de seguridad.

Lo dejo como nota, por si sirve.

Aquí hay una trampa no puedo dejar de mencionarla. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Por supuesto, cambia si tu situación es diferente.

Totalmente. Si tuviera que añadir algo más: Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Espero que le sea útil.

Después de vivir eso, mi perspectiva cambió. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Tiene razón. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Comprobado por experiencia.