Ransomware: qué hacer si un día los archivos del despacho aparecen cifrados

Imagine que un lunes, al encender el equipo, las carpetas no se abren. Todos los archivos tienen una extensión extraña y en el escritorio hay un documento de texto que dice, en un español torpe, que sus datos han sido cifrados y que, para recuperarlos, debe pagar en criptomonedas antes de 48 horas. En esas carpetas están los datos de todos los propietarios que administra.

Eso es un ransomware. La respuesta a «qué hago ahora» tiene tres partes: contener el daño, avisar a quien corresponde y no pagar a ciegas. Este artículo ordena los pasos para que, si ocurre, no tenga que improvisar con el estómago encogido.

La primera hora: contener

1. Desconecte de la red los equipos afectados, quitando el cable o apagando el wifi. Así evita que el cifrado se extienda a otros equipos y al servidor.
2. No borre nada y no formatee. La nota del atacante y los archivos cifrados son pruebas, y a veces ayudan a identificar la variante.
3. Haga una foto de la pantalla con el móvil y apunte la hora a la que lo vio.
4. Avise a su responsable de informática o al proveedor que le da soporte. Si no tiene ninguno, busque un profesional de ciberseguridad.
5. Cambie las contraseñas de correo, banca y programas de gestión, desde un equipo que no esté afectado.
6. No restaure las copias todavía. Primero hay que saber cómo entraron, o volverán a entrar.

¿Pagar el rescate?

La recomendación general del Instituto Nacional de Ciberseguridad (INCIBE) y de los expertos es no pagar: no garantiza que recupere los datos, financia a los delincuentes y puede marcarle como víctima fácil. Pero la decisión final depende de cada caso (qué copias tiene, qué se ha perdido) y conviene tomarla con asesoramiento, no a solas ni con prisa. Recuerde que el reloj de 48 horas de la nota es una táctica de presión.

La salvación: las copias

Si tiene copias recientes y fuera del alcance del atacante, el panorama cambia por completo. Tendrá que limpiar los equipos, restaurar y cambiar todas las claves. Si no las tiene o estaban conectadas y también se cifraron, el daño será mucho mayor. Por eso, de todo lo que se puede hacer antes, lo más rentable es aplicar la regla 3-2-1.

Una brecha de seguridad con obligaciones

Un ransomware que cifra datos personales es una violación de la seguridad de los datos personales: se ha perdido su disponibilidad, y quizá también su confidencialidad, porque muchos grupos copian los datos antes de cifrarlos para chantajear después.

El reparto de papeles importa:

• Si el despacho trata los datos de las comunidades como encargado del tratamiento, debe comunicar la brecha a cada comunidad responsable, sin dilación indebida (art. 33.2 RGPD). No espere a tenerlo todo aclarado para avisar.
• La comunidad, como responsable, debe notificar a la AEPD en un máximo de 72 horas desde que tiene constancia, salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas (art. 33.1). Si hay un riesgo alto, también debe informar a los afectados (art. 34).
• El despacho es responsable de sus propios datos (empleados, proveedores, clientes) y, si procede, notifica por su cuenta.

Con datos de varias comunidades cifrados o robados, es difícil sostener que el riesgo es improbable, aunque la valoración depende de qué datos eran y de si estaban protegidos. Todo el proceso está explicado en Brecha de seguridad: las 72 horas.

La notificación inicial puede ser incompleta y completarse por fases (art. 33.4). Lo que no vale es no hacer nada. Y, aunque al final no se notifique, la brecha debe quedar documentada (art. 33.5).

Otras gestiones

• Denuncia. Presente denuncia ante la Policía Nacional o la Guardia Civil. Las aseguradoras suelen pedirla y deja constancia de la fecha.
• Aseguradora. Si tiene un seguro de ciberriesgos o de responsabilidad civil, avise cuanto antes; algunas pólizas fijan plazos.
• INCIBE. El Instituto Nacional de Ciberseguridad ofrece un servicio de ayuda, también telefónico, para empresas y ciudadanos. Es un buen primer sitio al que consultar.
• Un registro cronológico. Qué se vio, a qué hora, qué se hizo, a quién se avisó. Servirá para la AEPD y para el seguro.

Qué cambiar después

El ataque suele empezar por algo pequeño: un correo de phishing, una contraseña débil o un equipo sin actualizar. Cierre la puerta por la que entraron antes de volver a abrir el despacho. Active el doble factor, actualice los equipos y pruebe las restauraciones.

Prepárese antes de que ocurra

Un plan de una página cambia el desarrollo de la crisis. Debería incluir: el teléfono de la persona o empresa de informática, el de la aseguradora, el listado de comunidades con datos en el despacho, el nombre de quien decide y quien avisa, y dónde están las copias y cómo se restauran. Imprímalo. Si el ataque cifra todo, el documento que estaba en el ordenador tampoco se podrá abrir.

En resumen

• Desconecte los equipos de la red, no borre nada y avise a informática.
• Por lo general, no se aconseja pagar el rescate; decídalo con asesoramiento.
• El ransomware sobre datos personales es una brecha: el despacho avisa a las comunidades sin dilación.
• La comunidad notifica a la AEPD en 72 horas salvo que sea improbable un riesgo, y lo documenta siempre.
• Las copias aisladas son lo que más reduce el daño.

Tener hoy un plan escrito de actuación ante incidentes, con teléfonos y responsables, es lo que separa un mal día de una crisis, y se prepara en poco tiempo.