Si estás leyendo esto con un cifrado en marcha, ve directo al primer punto. Si lo lees con calma un martes cualquiera, mejor: esto se prepara antes, no durante.
Hora 0: contener
- Desconecta de la red los equipos afectados. Cable fuera o wifi apagado. No los apagues del todo todavía si se puede evitar: hay información útil en memoria.
- Aísla las copias de seguridad antes de nada. Si el ransomware llega a ellas, se acabó la conversación.
- Corta el acceso remoto: VPN, escritorio remoto, accesos de proveedores. Por donde entró puede volver a entrar.
Hora 1: valorar el alcance
Antes de tocar nada más, hay que saber qué está cifrado y qué no: puestos, servidores, carpetas compartidas, copias, y si hay indicios de que se hayan llevado datos además de cifrarlos. Eso último cambia las obligaciones legales.
Aquí también toca decidir quién manda: una persona coordina y comunica. En una crisis, cinco personas tomando decisiones en paralelo hacen más daño que el propio incidente.
Hora 2: obligaciones
Si hay datos personales comprometidos, el RGPD da 72 horas para notificar a la autoridad de control. No es opcional y no espera a que hayas recuperado el servicio. Conviene tener identificado de antemano quién redacta esa notificación.
Nunca se paga el rescate sin haber agotado la vía de restauración. Y aun agotándola, pagar no garantiza recuperar nada.
Hora 3 y 4: recuperar en el orden correcto
La tentación es restaurarlo todo a la vez. Es un error: se restaura primero lo que sostiene el negocio, y solo en equipos que ya se han limpiado o reinstalado.
- Directorio y autenticación primero: sin identidad no funciona nada más.
- Después, el sistema que factura o produce. Lo que para la empresa si está caído.
- Correo y ficheros compartidos a continuación.
- Puestos de trabajo al final, reinstalados desde imagen limpia.
Lo que evita el 90% de estos días
Copias inmutables, doble factor en todos los accesos remotos, segmentación de red para que un equipo infectado no llegue al servidor, y usuarios sin permisos de administrador en su propio equipo. No es glamuroso, pero es lo que funciona.
