Llegas por la mañana, enciendes el ordenador y en vez del escritorio de siempre hay un mensaje en inglés pidiendo dinero. Los archivos están ahí pero no se abren: tienen una extensión rara y pesan lo mismo que ayer. Eso es un ransomware, y lo que hagas en la primera hora cambia bastante cómo acaba la historia.
Esto no es una guía para técnicos. Es lo que tiene que hacer el dueño de un negocio, o quien esté en la oficina esa mañana, antes de que llegue nadie.
Minuto 0: desconecta, no apagues
Quita el cable de red del equipo afectado y desactiva el wifi. Es lo primero y lo más importante. Un ransomware no se queda en un ordenador: busca las carpetas compartidas, el servidor y los discos conectados. Cada minuto que siga en red es más cosas cifradas.
Pero no lo apagues. Suena contraintuitivo y es importante: apagando se pierde información de la memoria que sirve para saber qué ha entrado, por dónde y desde cuándo. En algunos casos, hasta claves que permiten recuperar archivos. Desconéctalo de la red y déjalo encendido.
Minuto 5: mira qué más está tocado
Ve a otro equipo de la oficina y abre la carpeta compartida. ¿Se abren los archivos con normalidad o tienen la extensión rara? Con eso sabes si se ha quedado en un puesto o ha llegado al servidor.
Si hay un disco duro externo de copias enchufado a algún equipo, desconéctalo físicamente ahora. Un disco de copias conectado durante un cifrado se cifra también, y ahí es donde muchos negocios pierden lo único que les quedaba.
Minuto 10: avisa
Llama a tu informático antes de tocar nada más. Si tienes contrato de mantenimiento, es justo para esto. Cuéntale qué ves en pantalla, en cuántos equipos y si el servidor está afectado.
Y avisa a la gente de la oficina de que nadie encienda ni conecte nada hasta que se revise. El error más caro que hemos visto es alguien enchufando el disco de copias «para ver si está bien».
Minuto 20: no pagues
La recomendación de las fuerzas de seguridad y del INCIBE es clara: no se paga. Pagar no garantiza que te devuelvan los archivos, financia al que te ha atacado y te marca como negocio que paga, con lo que eso implica de cara a la siguiente vez.
Además, casi siempre hay alternativa. Si las copias de seguridad están bien hechas y desconectadas, se restaura y punto. Y para algunas familias de ransomware existen descifradores públicos gratuitos.
Minuto 30: documenta y denuncia
Haz fotos con el móvil de la pantalla del rescate, apunta la hora a la que lo detectaste y quién estaba usando el equipo. Eso sirve para la denuncia y para el informe posterior.
Se puede denunciar en la Guardia Civil o en la Policía Nacional. Y si entre los datos cifrados hay información personal de clientes, empleados o proveedores, ojo: puede haber obligación de notificarlo a la Agencia Española de Protección de Datos en un plazo corto. Consúltalo, porque la sanción por no notificar puede doler más que el propio ataque.
Lo que viene después
Restaurar es solo la mitad del trabajo. La otra mitad es averiguar por dónde entró, porque si no se cierra la puerta vuelve a pasar, a veces a los pocos días. Lo normal es un correo con un adjunto, un acceso remoto abierto con contraseña floja o un equipo sin actualizar desde hace meses.
Y una cosa incómoda: el momento de decidir si tus copias valen algo no es el día del ataque. Es cualquier martes tranquilo, probando a restaurar un par de carpetas y comprobando que se abren. Media hora al año.
Cómo se evita casi siempre
Con cosas aburridas y baratas: antivirus gestionado de verdad, equipos actualizados, copias que alguien prueba, verificación en dos pasos en el correo y media hora explicándole al equipo cómo se reconoce un correo falso. Nada de esto es caro. Lo caro es la mañana en que no está.
Si quieres revisar cómo está tu negocio, en la página de ciberseguridad para empresas está lo que montamos, y el antivirus ESET para empresas es la herramienta con la que trabajamos. Si ya tienes el problema encima, llámanos antes de tocar nada.
