Nuestros equipos fueron cifrados por un ransomware: ¿puedo recuperar los archivos sin pagar el rescate?

Tengan mucho cuidado con ciertos intermediarios en el mercado que dicen solucionar esto sin pagar rescate. Muchos son oportunistas que van por detrás, pagan un rescate menor al atacante a su nombre y encima les cobran una comisión. Trabajen con un perito informático forense independiente.

Corrección: recordaba mal la cifra, era un poco más baja.

Los atacantes suelen borrar las instantáneas (shadow copies), pero a veces el proceso queda a medias. En la copia forense del disco que hayan tomado, no dejen de escanear en busca de restos de shadow copies o archivos temporales de bases de datos eliminados usando software de recuperación de datos.

Desconectar los servidores es un buen primer paso, pero apagarlos sin volcar la memoria RAM puede hacer que se pierdan claves de cifrado temporales. Si quedó alguna máquina encendida no la apaguen, solo desconecten el cable de red.

El año pasado en un caso similar nos pidieron 50.000 SAR y no pagamos. Restauramos el respaldo de dos semanas y cargamos a mano las facturas intermedias revisando movimientos bancarios y e-fatura en 4 días. El coste total por la interrupción del negocio nos salió por un tercio de lo que pedían de rescate.

Aunque pagues el rescate no hay ninguna garantía de que descifren nada. La mayoría de las veces las claves que te dan dañan archivos grandes como bases de datos y te quedas sin dinero y con los datos corruptos.

Sigan estas tres reglas: 1) No conecten el disco externo a ningún equipo de la red actual. 2) No manden mensajes a las direcciones de contacto de la nota de rescate, que no vean el sistema activo. 3) No ejecuten ningún antivirus ni herramienta de limpieza sin antes sacar una imagen forense.

que putada, conecten el disco de respaldo a una pc limpia en modo solo lectura y revisen, si tienen suerte se salvan perdiendo solo dos semannas de datos.

Conforme a la normativa de ciberseguridad en Arabia Saudí, les recomiendo verificar también su obligación legal de notificar a las autoridades nacionales competentes en materia de ciberseguridad ante una posible filtración de datos de clientes.

Tiene razón. Lo importante no es la cifra, sino en qué se basa esa cifra.

Gracias por escribir esto, es lo correcto. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones. Ánimo.

Hace dos años viví exactamente lo mismo. Empezad con una pequeña prueba, no lo integréis todo de golpe.

La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí. Si escribís el resultado aquí, también servirá de ayuda a otros.

Estoy de acuerdo.

Tomo nota, gracias. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Voy a detallar un poco el aspecto técnico. en fin todo lo que no está por escrito ambas partes lo recordarán de forma distinta en el futuro.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Separemos los conceptos, se están confundiendo. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Le agradecería que compartiera el resultado. Si regañas las falsas alarmas, nadie volverá a reportar.

Me han quedado claras las dudas, gracias.

a mí me pasó justo al revés, por eso escribo pero bueno tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

yo seguiría por ese camino.