Anoche un ransomware cifró todos los servidores de la empresa, ¿qué debo hacer exactamente en las primeras horas?

Desconecta ahora mismo los cables de red ethernet de todos los ordenadores de la oficina y apaga las redes wifi. No desenchufes ni apagues los equipos infectados; solo corta la conexión a internet y a la red. Apagar el ordenador del todo puede destruir las claves temporales de cifrado que queden en la memoria RAM y las evidencias forenses.

Pasa un par de ejemplos de archivos cifrados y la nota de rescate a un pendrive USB limpio e analízalos en un equipo independiente. Es fundamental identificar el tipo de malware usado por los atacantes. En algunas variantes antiguas, la clave simétrica se queda guardada en memoria o hay investigadores de seguridad que ya han publicado claves públicas para esa variante.

Los que piensan que pagando el rescate van a recuperar los archivos se suelen llevar una decepción enorme. Una empresa de logística en Madrid que pasó por lo mismo pagó 30.000 euros el desencriptador que les mandaron corrompió la mitad de los archivos y a las dos semanas volvieron a entrar por la misma vulnerabilidad a pedir más dinero. Jamás paguen.

El año pasado nos bloquearon el almacenamiento con un ataque parecido. Le pagamos 5.500 euros a un experto externo en respuesta a incidentes. Teníamos una copia de seguridad en cinta offline de hacía dos semanas, restauramos desde ahí y metimos a mano las facturas del periodo intermedio. En total estuvimos 4 días sin poder trabajar, pero no les pagamos ni un solo céntimo a los secuestradores.

¿Tienen alguna idea de cómo entraron los atacantes? ¿Había algún puerto de escritorio remoto (RDP) expuesto a internet o alguien del personal abrió un archivo adjunto de un correo? ¿No hay ninguna otra copia de seguridad aislada del todo en la red o en la nube con historial de versiones?

Procure no pasarse del plazo para notificar a la Agencia Española de Protección de Datos (AEPD). Dentro del plazo de 72 horas, aunque el análisis técnico no haya finalizado, se debe realizar la primera notificación e ir añadiendo informes al expediente a medida que se aclaren el alcance de los daños y el número de registros afectados.

siento mucho lo ocurrido sé muy bien lo impotente que se siente uno cuando llega por la mañana a trabajar y se encuentra con esa pantalla pero diga a su equipo que no cunda el pánico tranquilicen a los clientes diciendo que se está ralizando un mantenimiento técnico y busquen ayuda profesional de inmediato.

Si ya desconectaron los cables de red, no formateen nada y llamen inmediatamente a un consultor profesional en respuesta a incidentes cibernéticos.

Lo que voy a preguntar sonará un poco novato, perdonadme. Lo importante no es la cifra sino en qué se basa esa cifra.

Yo pasé por esto, déjenme contarlo. Intentar hacerlo solo es la vía más cara.

Yo seguiría por ese camino.

Dejo una advertencia. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Ánimo.

Tiene razón.

Hay un error muy común al hacer esto. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

También me gustaría saber si alguien lo hace de otra manera.

Después de vivir eso, mi perspectiva cambió. La respuesta varía mucho según el sector, no hay una regla general.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan. Lo dejo como nota, por si sirve.

En su momento nosotros también nos atascamos ahí. Las decisiones apresuradas son las que hay que corregir seis meses después.

Espero que le sea útil.

Le agradecería que compartiera el resultado. No tengáis miedo de preguntar quien no pregunta siempre paga más caro.

También me gustaría saber si alguien lo hace de otra manera.

Yo también tengo curiosidad.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Si decidimos sin medir, siempre acabamos en el mismo punto.

Comprobado por experiencia.