Qué hacer ante un ataque de ransomware: plan de respuesta paso a paso

Si estás buscando qué hacer ante un ataque de ransomware, debes actuar rápido, pero sin entrar en pánico. El objetivo principal en los primeros minutos es detener la propagación del software malicioso, preservar pruebas, proteger copias de seguridad y preparar una recuperación segura. En este artículo se detalla un orden práctico de acciones para empresas y usuarios domésticos: cómo reconocer ransomware, qué desconectar, a quién informar, si pagar el rescate y cómo reducir el riesgo de un ataque repetido.

El ransomware bloquea el acceso a archivos y sistemas y luego exige un rescate por la clave de descifrado. A veces, los atacantes también roban datos y amenazan con publicarlos. Por esto, la respuesta debe considerar no solo la recuperación de archivos, sino también la posible fuga de información.

Plan rápido para los primeros 15 minutos

A continuación, se presenta un algoritmo comprimido que ayuda a ganar tiempo y reducir el daño. Es adecuado para la mayoría de los casos en los que aparecen archivos cifrados, una nota de rescate o errores de acceso a datos masivos.

1. Aísle el dispositivo infectado de la red. Desconecte el cable Ethernet, Wi-Fi y VPN. No conecte discos externos.
2. No elimine la nota de rescate ni archivos sospechosos. Pueden ser necesarios para la investigación y la búsqueda de un descifrador.
3. No reinicie la computadora sin la indicación de un especialista. A veces, después del reinicio, se pierden huellas del ataque o continúa el cifrado.
4. Informe al responsable de TI o seguridad de la información. Si está en casa, registre la hora del incidente y fotografíe la pantalla.
5. Desconecte las carpetas compartidas y los almacenes de red, si tiene acceso. Es importante detener la propagación a través de SMB, RDP, VPN y otros canales.
6. Revise las copias de seguridad, pero no las conecte al entorno infectado. Es necesario proteger las copias de cualquier sobrescritura e infección.
7. Reúna datos mínimos. Nombre del dispositivo, usuario, hora de detección, extensiones de archivos cifrados, texto de la solicitud de rescate.
8. No pague de inmediato. Primero, evalúe la magnitud, la existencia de copias de seguridad, los riesgos legales y la posibilidad de un descifrado gratuito.

Cómo saber si es un ataque de ransomware

No cada daño en un archivo significa ransomware. Sin embargo, hay señales que, en conjunto, casi siempre indican un ataque de ransomware.

Signos principales de infección

Los síntomas típicos son:

• los archivos han recibido una nueva extensión inusual;
• documentos, bases de datos, fotos o archivos comprimidos han dejado de abrirse;
• en las carpetas han aparecido archivos con instrucciones de pago de rescate;
• el escritorio ha cambiado a un mensaje de amenaza;
• antivirus, EDR o SIEM han registrado cambios masivos de archivos;
• los servidores han comenzado a funcionar lentamente, y los discos están escribiendo datos activamente;
• los usuarios han perdido acceso a las carpetas de red;
• las cuentas se han bloqueado repentinamente o se utilizan desde direcciones inusuales;
• los registros muestran conexiones por RDP, PowerShell, PsExec o scripts sospechosos.

Particularmente peligrosa es la situación en la que el cifrado ocurre simultáneamente en varias computadoras o en un servidor de archivos. Esto significa que los atacantes ya podrían haber obtenido privilegios administrativos.

Qué no considerar como prueba por sí solo

Un archivo dañado, un error de disco o un fallo en el programa no siempre están relacionados con atacantes. Por lo tanto, es importante no apresurarse a sacar conclusiones. Primero, revise los registros, eventos antivirus, historial de accesos y el estado de otros dispositivos. Pero si hay una nota de rescate y un cambio masivo en los nombres de archivos, reaccione como si fuera un incidente real.

Respuesta paso a paso a un incidente

Ante un ataque de ransomware, es importante actuar de manera secuencial. Las acciones caóticas obstruyen la investigación y pueden aumentar el daño. A continuación se presenta un orden práctico que se puede utilizar como lista de verificación.

Paso 1. Asigne un coordinador

En la empresa debe haber un único coordinador responsable: el director de TI, un especialista en seguridad de la información, el jefe del turno o un experto externo. Él registrará las decisiones, distribuirá tareas y evitará acciones conflictivas.

Para el usuario doméstico, el papel del coordinador es más simple: anote la hora de detección, qué sucedía antes del incidente, qué dispositivos estaban conectados y qué archivos resultaron dañados.

Paso 2. Aísle los sistemas infectados

El aislamiento es la principal prioridad. Desconecte la red en los dispositivos infectados, pero no comience a apagar todo masivamente sin un plan. Si el cifrado está ocurriendo activamente en un servidor de archivos, puede ser necesario desconectar de inmediato la interfaz de red o bloquear el acceso a recursos compartidos.

Qué hacer:

• desconectar los cables de red en las estaciones de trabajo infectadas;
• apagar el Wi-Fi y los clientes de VPN;
• bloquear cuentas sospechosas;
• limitar temporalmente RDP, SMB y conexiones administrativas;
• desconectar la sincronización de carpetas en la nube, si está extendiendo archivos cifrados;
• separar servidores críticos de la red de usuarios.

Lo que se debe evitar: no conecte al ordenador infectado USB, discos externos y soportes de respaldo. Esto puede cifrar la única copia de los datos.

Paso 3. Preserve pruebas

Las pruebas ayudan a entender la vía de entrada y a buscar maneras de restaurar. No elimine la nota de rescate, archivos ejecutables sospechosos, archivos comprimidos, scripts y registros. Si tiene la oportunidad, haga una imagen del disco o un snapshot de la máquina virtual.

Es útil preservar:

• capturas de pantalla de los mensajes de rescate;
• un ejemplo de un archivo cifrado y su original, si lo tiene;
• texto de la solicitud de rescate;
• registros de Windows, Linux, VPN, firewall, gateway de correo y EDR;
• lista de procesos activos y conexiones de red;
• información sobre la hora de la primera actividad.

No envíe archivos confidenciales a sitios aleatorios para verificación. Utilice solo servicios de confianza y elimine previamente datos personales o comerciales si es posible.

Paso 4. Detenga cuentas de los atacantes

Muchos ataques modernos de ransomware no comienzan con un archivo de virus, sino con una contraseña robada. Los atacantes acceden a través de VPN, RDP, panel en la nube, correo o cuenta de administrador. Por lo tanto, es necesario verificar rápidamente accesos sospechosos.

Acciones:

• desactive las cuentas observadas en accesos sospechosos;
• cambie las contraseñas de administrador desde un dispositivo limpio;
• revoque sesiones activas de VPN y tokens;
• revise las reglas de reenvío en el correo;
• habilite MFA donde no había;
• revise nuevas cuentas y cambios en grupos de administradores.

Es importante cambiar las contraseñas solo después de aislar los sistemas infectados. Si un programa malicioso está en funcionamiento en la computadora, puede interceptar nuevas credenciales.

Paso 5. Determine la magnitud del ataque

Antes de la recuperación, es necesario comprender qué está infectado. De lo contrario, corre el riesgo de reiniciar un sistema en el que el atacante aún está presente.

Verifique:

• estaciones de trabajo de los usuarios;
• servidores de archivos y carpetas de red;
• controladores de dominio;
• servidores de respaldo;
• hipervisores y almacenes de máquinas virtuales;
• catálogos en la nube y servicios SaaS;
• buzones y reglas de reenvío;
• registros de VPN, firewall y proxy.

Elabore una lista de sistemas en tres categorías: infectados, sospechosos, relativamente limpios. Luego, actualícela a medida que avanza la investigación.

Paso 6. Proteja las copias de seguridad

Las copias de seguridad son el recurso principal al recuperar de un ransomware. Pero muchos ataques están específicamente dirigidos a servidores de respaldo. Por lo tanto, no inicie la recuperación hasta que se asegure de que las copias no están dañadas y no son accesibles para los atacantes.

Verifique si hay:

• copias offline en soportes desconectados;
• copias inalterables, como almacenamiento inmutable;
• copias antes de la fecha de compromiso;
• cuentas separadas para el sistema de respaldo;
• registros de eliminación, sobrescritura o tareas fallidas de respaldo.

Si las copias de seguridad se almacenan en la nube, verifique el historial de versiones, la papelera, las configuraciones de acceso y los registros de accesos.

Paso 7. Elija una estrategia de recuperación

Hay tres opciones principales: restaurar desde copias de seguridad, descifrar con una herramienta disponible o reinstalación completa trasladando datos limpios. A menudo se utiliza una combinación.

Situación	Mejor acción	Qué evitar
Hay copias de seguridad limpias	Reinstalar sistemas y restaurar datos de copias	Restaurar sobre un sistema operativo infectado
Hay un descifrador conocido	Probarlo en copias de archivos	Ejecutar utilidades no verificadas de autores desconocidos
No hay copias de seguridad	Conservar imágenes de discos y consultar a especialistas	Eliminar archivos cifrados y formatear discos de inmediato
Hay señales de fuga de datos	Consultar con abogados y directiva	Ocultar el incidente de las personas responsables
Infraestructura de dominio infectada	Restaurar un entorno de confianza desde cero o de copias limpias	Simplemente cambiar contraseñas y reiniciar servidores

¿Debería pagar el rescate?

La respuesta corta: no se debe pagar hasta que se hayan agotado las opciones seguras. El pago no garantiza el descifrado, no asegura la eliminación de datos robados y puede crear riesgos legales y de reputación adicionales. Además, muestras a los delincuentes que la organización está dispuesta a pagar.

Sin embargo, en la vida real, la decisión a veces se considera si se trata de infraestructura crítica, una amenaza a la vida de las personas o una completa ausencia de copias recuperables. En tal caso, la decisión debe ser tomada por la dirección junto con abogados, expertos en seguridad y, si es necesario, las fuerzas del orden. Es importante tener en cuenta las limitaciones sancionadoras y el riesgo de financiar grupos criminales.

Antes de tomar cualquier decisión, verifique:

• si hay copias de seguridad funcionales;
• si se conoce el tipo de ransomware;
• si existe un descifrador gratuito;
• si se habían robado datos;
• qué leyes y obligaciones contractuales son aplicables;
• cómo el pago afectará la seguridad futura.

Si los atacantes han enviado lo que se denomina prueba de descifrado de un archivo, esto aún no garantiza la recuperación de toda la infraestructura.

¿Dónde buscar un descifrador?

A veces, los archivos se pueden recuperar sin pagar rescate. Para ciertas familias de ransomware, se publican descifradores gratuitos. Puede comenzar con proyectos conocidos de lucha contra el ransomware, como No More Ransom, sitios de fabricantes de antivirus y recomendaciones de centros nacionales de ciberseguridad.

Antes de usar un descifrador:

1. Haga copias de los archivos cifrados.
2. Preserve los archivos originales sin cambios.
3. Ejecute la herramienta en una máquina aislada.
4. Verifique la fuente de descarga.
5. Pruebe el descifrado en un pequeño conjunto de datos.

No confíe en sitios que prometen un descifrador universal para todos los ransomware. No existe un descifrador universal.

Recuperación tras un ataque de ransomware

La recuperación no es solo devolver archivos. Debe asegurarse de que el atacante ya no tenga acceso y que la vulnerabilidad que permitió el ataque esté cerrada.

Recupere solo en un entorno limpio

El mejor enfoque es desplegar nuevos sistemas o restaurarlos de imágenes claramente limpias. Luego, instale actualizaciones, configure la protección, cambie las contraseñas y solo después transfiera datos de copias de seguridad verificadas.

No basta con eliminar el archivo malicioso y continuar trabajando. Los grupos de ransomware modernos a menudo dejan varias formas de reingreso: nuevas cuentas, tareas de programador, web shells, políticas modificadas, tokens de acceso y herramientas ocultas de administración remota.

Verifique la fecha de compromiso

La infección podría haber comenzado días o semanas antes del cifrado. Si recupera una copia demasiado reciente, puede estar reintegrando a la red un sistema que ya fue comprometido. Por lo tanto, busque signos tempranos: primer acceso sospechoso, ejecución de script, creación de una nueva cuenta, desactivación de protección, exploración de la red.

Pruebe los datos antes de reanudar la actividad

Antes de volver a poner sistemas en funcionamiento, revise la integridad de bases de datos, permisos, funcionamiento de aplicaciones y vigencia de configuraciones. Para servicios críticos, realice una prueba en un segmento aislado.

Un orden útil:

1. Restaurar servicios de infraestructura: dominio, DNS, DHCP, identificación.
2. Restaurar sistemas de seguridad: EDR, SIEM, registros, respaldo.
3. Iniciar aplicaciones críticas para el negocio.
4. Verificar datos y derechos de acceso.
5. Conectar usuarios por grupos, no todos a la vez.
6. Vigilar la red tras el inicio.

Qué hacer ante un ataque de ransomware como negocio

Para una organización, un incidente con ransomware no solo afecta a TI. Influye en operaciones, clientes, contratos, datos personales y finanzas. Por ello, es importante incluir inmediatamente el circuito de gestión y legal.

Organice las comunicaciones

Designe responsables para mensajes internos, comunicación con clientes, socios y contratistas. No haga promesas no verificadas. Es mejor informar los hechos: qué servicios no están disponibles, qué se ha hecho ya, cuándo será la próxima actualización.

Es necesario explicar a los empleados:

• qué sistemas no se pueden encender;
• a dónde informar sobre archivos y correos extraños;
• si es posible usar dispositivos personales;
• cuáles canales de comunicación son oficiales;
• quién toma las decisiones sobre recuperación.

Evalúe el riesgo de fuga de datos

Si los atacantes tuvieron acceso a la red, no se puede excluir el robo de información. Verifique el tráfico saliente, archivos comprimidos, descargas en la nube, registros de proxy, correo y acciones de cuentas privilegiadas. Si podrían haberse visto afectados datos personales, secretos comerciales o datos de clientes, involucre abogados y defina las responsabilidades de notificación.

En diferentes países y sectores, las exigencias son diferentes. Por eso no hay una plantilla universal para la notificación. Pero ocultar un incidente dentro de la organización es peligroso: obstruye la investigación correcta y aumenta el riesgo de un ataque repetido.

Busque ayuda especializada si no hay experiencia

Si están infectados servidores, dominios, copias de seguridad o múltiples sitios, es mejor contratar un equipo de respuesta a incidentes. Los especialistas ayudarán a preservar pruebas, encontrar el punto de entrada, evaluar la fuga y construir un plan de recuperación seguro.

Qué hacer como usuario doméstico

Si un ransomware ha atacado una computadora personal, el procedimiento es más simple, pero los principios son los mismos.

Haga lo siguiente:

1. Desconecte la computadora de Internet y de la red doméstica.
2. No conecte un disco externo con fotos o archivos comprimidos.
3. Fotografie el mensaje de rescate.
4. Copie en un soporte separado algunos archivos cifrados y la nota, si el especialista lo solicita.
5. Revise otros dispositivos en la casa.
6. Cambie las contraseñas de correo, bancos, servicios en la nube y redes sociales desde un dispositivo limpio.
7. Verifique los almacenes en la nube y el historial de versiones de archivos.
8. Verifique si hay un descifrador gratuito para su tipo de ransomware.
9. Reinstale el sistema o acuda a un servicio si no está seguro de la limpieza de la computadora.

Si en la nube se sincronizaban archivos cifrados, no se apure a limpiar las carpetas. Muchos servicios permiten recuperar versiones anteriores o revertir el estado del catálogo.

Cómo prevenir un ataque repetido

Después de la recuperación, es necesario cerrar las causas del incidente. De lo contrario, el ataque puede repetirse a través de las mismas credenciales o vulnerabilidad.

Configure copias de seguridad confiables

Una buena estrategia de respaldo se basa en el principio de varias copias independientes. Una práctica recomendable es almacenar datos al menos en diferentes lugares y tener una copia que no se pueda modificar rápidamente desde la red de trabajo.

Verifique:

• la regularidad de las copias de seguridad;
• la recuperación automática de pruebas;
• cuentas separadas para el respaldo;
• protección contra eliminación y sobrescritura;
• copias offline o inmutables;
• documentación para la recuperación de sistemas críticos.

Un respaldo que nunca se ha verificado no puede considerarse confiable.

Fortalezca accesos y cuentas

Gran parte del daño ocurre debido a privilegios administrativos. Limite el acceso de administrador, utilice MFA, desactive cuentas no utilizadas y revise regularmente grupos de administradores.

Preste especial atención a RDP y VPN. No deje RDP abierto en Internet. Para acceso remoto, utilice VPN, MFA, restricciones por IP y monitoreo de accesos.

Actualice y segmenta la red

Las actualizaciones cierran vulnerabilidades conocidas, y la segmentación evita que el ransomware acceda rápidamente a todos los sistemas. Separe computadoras de usuarios, servidores, respaldos, sistemas de producción y puestos de administración.

También son útiles:

• EDR o protección antivirus de calidad;
• recolección centralizada de registros;
• filtrado de correos y archivos adjuntos;
• prohibición de macros desde Internet;
• control en la ejecución de scripts;
• principio de privilegios mínimos;
• formación de empleados sobre phishing;
• plan de respuesta a incidentes.

Preguntas frecuentes sobre ataques de ransomware

¿Se puede apagar la computadora durante un ataque de ransomware?

Si el cifrado está activo, el aislamiento de la red es lo más importante. Un apagado completo a veces ayuda a detener el proceso, pero puede destruir datos en la memoria RAM que son necesarios para la investigación. En la empresa, es mejor desconectar primero la red y llamar a un especialista. En casa, si el proceso claramente está cifrando archivos y no hay ayuda, apagarla puede ser una medida razonable para detener el daño.

¿Es necesario eliminar el virus de inmediato?

No se apresure. Primero, preserve las pruebas y ejemplos de archivos. Luego, elimine el malware o reinstale el sistema. Si elimina todo de inmediato, será más difícil entender cómo ocurrió el ataque y qué datos pudieron verse comprometidos.

¿Es posible recuperar archivos sin una copia de seguridad?

A veces sí, si hay un descifrador para la familia de ransomware específica o si los datos están disponibles en copias sombra, versiones en la nube, archivos adjuntos de correo, en otros dispositivos. Pero no hay garantías. Por lo tanto, las copias de seguridad siguen siendo el principal método de protección.

¿Servirá un antivirus después de la infección?

El antivirus puede detener algunos procesos maliciosos y encontrar restos de malware. Pero no siempre descifrará archivos y no sustituye a una investigación. Después del ataque, es importante entender el punto de entrada, cambiar las credenciales comprometidas y restaurar sistemas desde una fuente limpia.

¿Qué hacer si el servidor 1C o la base de datos está cifrada?

Primero, aísle el servidor y detenga el acceso de usuarios. Luego, conserve una copia de la base cifrada, los registros y las copias de seguridad. Restaure la base solo en un entorno limpio y asegúrese de verificar la integridad de los datos. Si el servidor estaba en un dominio, verifique también las cuentas, carpetas de red y servidores adyacentes.

¿Cómo saber si los datos fueron robados?

Es necesario analizar los registros del tráfico saliente, las acciones de las cuentas, la archivación de archivos, las conexiones a servicios en la nube y las herramientas de los atacantes. La falta de pruebas claras no siempre significa que no hubo fuga. Si los datos son sensibles, es mejor realizar una investigación completa.

¿A dónde acudir después de un ataque?

Las empresas deben contactar a especialistas en respuesta a incidentes, abogados, compañías de seguros si tienen ciberseguro y, si es necesario, a las fuerzas del orden. Un usuario doméstico puede acudir a un centro de servicio de confianza y buscar un descifrador en recursos confiables.

Plan de acción final

Ante un ataque de ransomware, lo principal es no pagar en pánico y no restaurar sistemas a ciegas. Primero, aísle los dispositivos infectados, preserve pruebas, proteja copias de seguridad y determine la magnitud del incidente. Luego, recupere datos únicamente en un entorno limpio, cambie los accesos comprometidos y cierre el punto de entrada. Comience con el aislamiento ahora mismo, registre señales de ataque y consulte a especialistas si se han visto afectados servidores, copias de seguridad o datos importantes.