Caso práctico: un viernes por la tarde, el ransomware llega al despacho

Caso ficticio, construido para explicar cómo se aplica la norma. Cualquier parecido con una comunidad real es casualidad.

Son las 17:40 de un viernes de octubre. En el despacho de «Gestiones Arousa», con cinco empleados, Paula intenta abrir el listado de propietarios de una comunidad y el ordenador le dice que el archivo está dañado. Prueba con otro. Lo mismo. En el escritorio aparece un fichero de texto: «Sus archivos han sido cifrados. Para recuperarlos, contacte con...». El servidor de ficheros, con las carpetas de 40 comunidades, ha dejado de funcionar.

¿Qué se hace en los primeros minutos? Lo primero, no apagar todo a lo loco ni pagar nada: aislar los equipos de la red, avisar a quien lleva la informática y empezar a anotar. La segunda pregunta, la legal, llega enseguida: ¿hay que avisar a las comunidades y a la Agencia? A las comunidades, sí y sin demora; a la Agencia, muy probablemente, y con un reloj en marcha.

Por qué un ransomware es también un asunto de protección de datos

El RGPD (se abre en una ventana nueva) define la violación de la seguridad como la que ocasiona la destrucción, pérdida, alteración o comunicación o acceso no autorizado a datos personales. Un ransomware es todo eso a la vez: los datos dejan de estar disponibles y, a menudo, los atacantes también los copian. Por eso no es solo un problema informático. Si el despacho no puede abrir los listados de propietarios, las actas, los datos bancarios de las cuotas, hay una brecha, aunque los datos no hayan salido de la oficina.

Los primeros sesenta minutos

Paula llamó al técnico externo, Samuel, que dio instrucciones sencillas. Una lista práctica de lo que conviene hacer, sin que sustituya al asesoramiento técnico:

• Desconectar de la red los equipos afectados (cable y wifi), para que el cifrado no se extienda. Dejarlos encendidos o apagados es una decisión técnica que conviene consultar.
• No tocar ni borrar nada y fotografiar la nota de rescate. Servirá para el informe y para la denuncia.
• Avisar a quien dirige el despacho, a quien lleva la informática y al seguro, si hay póliza de ciberriesgos.
• Cambiar contraseñas desde un equipo limpio: correo, banca electrónica, programa de gestión. Si el ataque entró por una cuenta, es la forma de cortar el acceso.
• Anotar la hora a la que se detectó el problema. Será la referencia del plazo.

El plazo de 72 horas y a quién avisar

Aquí el despacho tiene dos papeles, y con ellos dos obligaciones:

• Como encargado del tratamiento de las comunidades, debe notificar la violación al responsable (cada comunidad) sin dilación indebida tras tener conocimiento de ella (artículo 33.2 del RGPD (se abre en una ventana nueva)). Eso significa avisar a los presidentes o por los cauces fijados en el contrato de encargo, no esperar al lunes.
• Como responsable de sus propios datos (empleados, clientes, proveedores), debe notificar a la autoridad de control en un plazo de 72 horas desde que tiene constancia, salvo que sea improbable que haya riesgo, y comunicarlo a los afectados si el riesgo es alto.

Cada comunidad, como responsable de los suyos, tendrá que valorar si notifica a la AEPD (se abre en una ventana nueva). Para ellas, el plazo se cuenta desde que tienen conocimiento, por lo que el aviso rápido del despacho es lo que les permite cumplir. El criterio exacto de cuándo se considera que el responsable «ha tenido conocimiento» cuando se lo comunica el encargado conviene confirmarlo con un especialista, porque no siempre es evidente.

Todo esto se documenta, aunque finalmente no se notifique (artículo 33.5 (se abre en una ventana nueva)): qué pasó, qué datos y cuántas personas, qué consecuencias y qué medidas se tomaron. El fin de semana es parte del plazo, no lo interrumpe. Hay más sobre ello en la brecha de seguridad y las 72 horas.

Qué hizo que el lunes fuera manejable

Gestiones Arousa tuvo suerte, pero una suerte preparada. Tres cosas marcaron la diferencia:

• Una copia de seguridad separada. Samuel hacía una copia nocturna a un disco que se desconectaba de la red. La del jueves estaba intacta, y se restauró el sábado. Si la copia hubiera estado conectada al servidor, también habría quedado cifrada. Más sobre ello en copias de seguridad en el despacho: la regla 3-2-1.
• Autenticación en dos pasos en el correo y el programa de gestión, que limitó lo que pudo hacer el atacante con la cuenta comprometida. Está explicado en doble factor de autenticación.
• Un teléfono de emergencia escrito en papel: la lista de contactos de las 40 comunidades no estaba solo dentro del servidor cifrado.

El origen, en este caso, fue un correo de phishing que Paula abrió pensando que era de un proveedor. Es habitual: el phishing a administradores de fincas es la puerta de entrada más repetida.

¿Y si los atacantes piden rescate?

Pagar o no es una decisión que no debe tomarse en caliente ni solo desde el punto de vista técnico. Pagar no garantiza recuperar los datos ni borra la obligación de notificar, y puede implicar cuestiones legales. Lo razonable es consultarlo con asesoramiento jurídico y con la policía antes de decidir nada, y presentar denuncia con la nota de rescate y los registros.

En un incidente, el reloj de las 72 horas corre aunque el equipo esté parado. Lo que se hace en la primera hora decide el resto.

Cuando la respuesta depende del caso

No todos los ataques son iguales. Puede que los datos solo se hayan cifrado, o puede que además se hayan copiado y amenacen con publicarlos, lo que eleva el riesgo para las personas. Puede que la copia de seguridad esté intacta o no. Puede que afecte a datos de salud, bancarios o de menores. Cada circunstancia cambia la valoración de si hay que notificar a la Agencia y a los afectados. Por eso conviene tener un plan antes del viernes por la tarde.

En resumen

• Un ransomware es una violación de datos personales, aunque nada salga de la oficina.
• Aísle los equipos, conserve las pruebas y anote la hora de detección.
• El despacho, como encargado, avisa sin dilación a las comunidades; cada responsable valora la notificación a la AEPD en 72 horas.
• Una copia desconectada, el doble factor y un plan escrito marcan la diferencia.

Si su despacho no tiene todavía un protocolo de incidentes escrito, con teléfonos en papel y responsables designados, prepararlo es lo más útil que puede hacer antes del próximo viernes.