Los ficheros aparecen con extensiones raras, hay una nota de rescate en el escritorio y los equipos empiezan a caer en cadena. En ese momento no necesitas un tratado sobre ciberseguridad: necesitas saber qué haces en los próximos sesenta minutos. Porque lo que decidas ahí —y sobre todo lo que hagas por puro nervio— marca la diferencia entre un día malo y dos semanas con el negocio parado.
Este no es un artículo de prevención. Da por hecho que ya está pasando y te da el plan de respuesta a incidente paso a paso: qué tocar, qué no tocar, a quién llamar y en qué orden recuperar. Guárdalo antes de necesitarlo, porque cuando lo necesites no vas a tener tiempo de buscarlo.
Por qué las primeras horas lo deciden todo
El ransomware no cifra a la velocidad de la luz. Cuando ves la nota de rescate, el cifrado sigue avanzando por la red: cada minuto que un equipo infectado sigue conectado son más carpetas compartidas, más servidores y —lo que más duele— más copias de seguridad cayendo. La ventana para contener el daño se mide en minutos, no en horas. Ahí se juega si mañana abres o no.
El otro enemigo de esa primera hora es el pánico. La reacción instintiva —apagarlo todo, reiniciar servidores, empezar a borrar lo que se ve infectado, pagar el rescate para acabar rápido— es casi siempre la reacción equivocada. Contener no es reaccionar deprisa; es reaccionar en el orden correcto. Una empresa que aísla con cabeza recupera desde copia en dos días. Una que improvisa a golpe de nervios acaba con el incidente extendido, las evidencias destruidas y ninguna copia limpia a la que volver.
El ransomware no castiga el fallo técnico; castiga la improvisación. Quien tiene el plan escrito ejecuta; quien no lo tiene, discute mientras el cifrado avanza.
Los primeros pasos correctos, en orden
Este es el guion de la primera hora. No lo improvises: hazlo tal cual, de arriba abajo.
- Aísla los equipos afectados de la red. Desconecta el cable, apaga el wifi, corta la VPN. El objetivo es frenar la propagación de inmediato. Aislar es lo primero, siempre, antes de investigar nada.
- No apagues a lo loco. Desconectar de la red no es lo mismo que apagar en frío. Apagar borra información volátil que sirve para saber qué pasó y cómo entraron, y en algunos casos hasta complica la recuperación de datos. Aísla, pero deja los equipos encendidos salvo que te lo indique quien lleva el incidente.
- Protege las copias de seguridad ya. Antes que cualquier otra cosa, asegúrate de que las copias no son alcanzables desde la red comprometida. Si el ransomware llega a ellas, se acabó la conversación. Desconéctalas o verifica que están aisladas e inmutables.
- Corta los accesos remotos y las cuentas privilegiadas. VPN, escritorio remoto, accesos de proveedores y cuentas de administrador. Por donde entraron pueden volver a entrar, y muchas veces el atacante sigue dentro mirando cómo reaccionas.
- Preserva las evidencias. Haz fotos de la nota de rescate, anota la hora, no borres registros ni ficheros cifrados. Esa información es oro para saber el alcance, para el seguro y, si hace falta, para la denuncia.
- Activa el plan y pon a una persona al mando. Alguien coordina, decide y comunica; el resto ejecuta. Avisa a tu proveedor de ciberseguridad gestionada y empieza a documentar qué se ve afectado. En una crisis, cinco personas decidiendo en paralelo hacen más daño que el propio ataque.
Con esto hecho, el incendio está contenido. Ahora toca valorar el alcance con calma: qué está cifrado, qué no, y si hay indicios de que además se hayan llevado datos —lo que se llama doble extorsión—, porque eso cambia tus obligaciones legales.
Qué NO hacer bajo ningún concepto
La mitad de una buena respuesta es no cometer los errores que convierten un incidente en un desastre irreversible. Estos son los cuatro que más caros salen.
- No pagues a ciegas. Pagar no garantiza recuperar los datos —muchos descifradores fallan o llegan a medias—, te marca como quien paga y financia el siguiente ataque. Es la última opción, nunca la primera, y solo tras evaluar a fondo si puedes restaurar desde copia.
- No restaures sobre lo infectado. Recuperar los datos en un sistema aún comprometido, o sin haber cerrado la vía de entrada, reinicia la pesadilla en horas. Primero se limpia o se reinstala; después se restaura.
- No lo ocultes. Silenciar el incidente para que no se entere nadie te expone a sanciones por no notificar y destruye la confianza cuando acabe sabiéndose, que acabará sabiéndose. La transparencia bien gestionada protege; el silencio agrava.
- No borres logs ni ficheros. «Limpiar» por tu cuenta destruye las evidencias que necesitas para entender el alcance, cumplir con la ley y cobrar el seguro. No toques los registros: son tu mejor aliado.
Notificación y obligaciones: el reloj legal también corre
Mientras contienes y recuperas, hay un segundo reloj en marcha que mucha gente ignora hasta que es tarde. Si en el ataque se han visto comprometidos datos personales —de clientes, empleados o proveedores—, el RGPD te obliga a notificar la brecha a la AEPD en un plazo de 72 horas desde que tienes conocimiento. No espera a que hayas recuperado el servicio y no es opcional: no notificar suma una sanción al desastre que ya tienes encima.
Y hay más frentes que atender en paralelo, sin dejarlos para el final:
- Comunicación a afectados. Si la brecha supone un riesgo alto para clientes o empleados, además de a la AEPD hay que informarles a ellos. Prepara un mensaje claro y honesto, no un comunicado vacío.
- Aviso al seguro. Si tienes una póliza de ciberriesgo, comunícalo cuanto antes: muchas exigen notificación inmediata y te dan acceso a un equipo de respuesta. Actuar por tu cuenta puede dejarte fuera de cobertura.
- Denuncia y organismos. Presentar denuncia y avisar a los canales de referencia como INCIBE deja constancia y te da apoyo. La documentación que preservaste en la primera hora es justo lo que aquí hace falta.
Tener identificado de antemano quién redacta la notificación, quién habla con el seguro y quién con los clientes es lo que permite cumplir estos plazos sin frenar la recuperación técnica. Improvisarlo con el negocio parado es la receta para incumplir los tres.
Cómo te ayuda MagicBoxDesk: respuesta a incidentes y recuperación desde copia limpia
Todo lo anterior suena sencillo escrito con calma. A las tres de la madrugada, con el negocio parado y el teléfono sonando, no lo es. Por eso el mayor valor no está en tener el plan en un PDF, sino en tener a alguien al otro lado que lo ejecute contigo. En MagicBoxDesk montamos, mantenemos y accionamos ese plan de respuesta como servicio, dentro de tu IT externalizado, con soporte remoto y presencial en toda España.
- Respuesta a incidentes con un plan definido y ensayado: quién aísla, quién decide, a quién se avisa y en qué orden, para actuar en minutos en lugar de improvisar en días.
- Contención y análisis del alcance: aislamos lo afectado, preservamos evidencias y determinamos si hubo robo de datos, sin destruir la información que necesitas después.
- Copias inmutables y aisladas, con restauraciones probadas de forma periódica, para que cuando llegue el momento haya de verdad una copia limpia a la que volver.
- Recuperación en el orden correcto: identidad y autenticación primero, después lo que factura o produce, luego correo y ficheros, y los puestos al final, reinstalados desde imagen limpia.
- Apoyo en obligaciones legales: notificación de brecha en plazo, comunicación al seguro y a los afectados, con la documentación en regla.
- Cierre de la vía de entrada antes de reconectar, para que el ataque no vuelva a empezar en cuanto todo arranca.
Lo ideal es que hablemos antes del incidente, no durante. Preparar el plan, las copias y los accesos cuesta una fracción de lo que cuesta un rescate o dos semanas de parón, y es lo que convierte una crisis en un mal rato. Si ya lo tienes encima, también estamos para ayudarte a contener y recuperar.
En MagicBoxDesk nos encargamos de tu seguridad y tu plan de respuesta para que tú te ocupes de tu negocio. Pide presupuesto sin compromiso y te decimos qué necesitas de verdad para que las primeras horas de un ransomware jueguen a tu favor y no en tu contra.
