Un lunes por la mañana el ERP no abre y en el servidor de archivos hay un archivo de texto con un identificador y un enlace. Nadie ha hecho clic en nada, dicen siempre. La nota de rescate no es el principio del incidente: es el momento en que te enteras. El cifrado fue el último paso; antes hubo un acceso, un reconocimiento de la red y, muy probablemente, una copia de tus datos.

Las decisiones de las primeras 72 horas determinan si recuperas la actividad en días o si arrastras el problema durante meses. Estas son las que importan, en orden.

Hora 0: aislar sin destruir pruebas

Lo primero no es buscar culpables ni llamar al proveedor de copias: es cortar la propagación.

  • Desconecta el cable de red de los equipos afectados. El Wi-Fi, también.
  • No apagues ni reinicies si puedes evitarlo. En memoria quedan procesos, conexiones y claves que se pierden al apagar, y algunos programas de cifrado borran sus rastros al arrancar de nuevo.
  • No borres la nota de rescate ni los archivos cifrados: son parte de la evidencia.
  • Apunta la hora y quién hizo cada cosa. Esa cronología la vas a necesitar para la denuncia, para el seguro y para las notificaciones.

Hora 1: decide quién manda

En una pyme la crisis la gestionan cinco personas, no un comité de veinte. Y habla una sola voz:

  • Dirección: decide, prioriza y asume el coste.
  • Responsable técnico, interno o proveedor: ejecuta el aislamiento y la restauración.
  • Asesor legal: plazos de notificación y relación con la autoridad.
  • Comunicación: mensajes a clientes y empleados, sin promesas que no puedas cumplir.
  • Seguro y asesoría externa: si tienes ciberriesgo contratado, actívalo el primer día, no el quinto.

Toda la coordinación sale de una cuenta limpia y con doble factor. Si el correo corporativo está comprometido, no lo uses para dirigir la crisis.

Horas 2 a 6: alcance y puerta de entrada

Antes de restaurar nada, responde tres preguntas:

  • ¿Qué copias tienes y de cuándo? Comprueba que están íntegras y que el atacante no llegó hasta ellas.
  • ¿Sigue dentro? Revisa cuentas creadas en los últimos días, reglas automáticas en el correo, accesos de VPN, escritorio remoto expuesto y tareas programadas.
  • ¿Se han llevado datos? En la mayoría de incidentes actuales el robo precede al cifrado y después llega la amenaza de publicarlos. Busca subidas anómalas y accesos fuera de horario a los servidores de archivos.

Restaurar sobre la misma infraestructura sin cerrar el acceso es repetir el ataque con tus propias manos.

¿Se paga el rescate?

La recomendación de las Fuerzas y Cuerpos de Seguridad del Estado y de INCIBE es no pagar, y los motivos son prácticos antes que morales: pagar no garantiza que descifren bien, no impide que publiquen lo robado y confirma que tu empresa paga. Cuando se valora, la decisión es de dirección, con legal y seguro delante, y queda documentada por escrito. Nunca es una decisión del informático de guardia a las once de la noche.

Horas 24 a 72: notificar en plazo

  • AEPD en 72 horas si hay datos personales afectados (artículo 33 del RGPD). Si el riesgo es alto, también hay que avisar a los afectados.
  • Clientes y empleados, según contrato y según lo que se haya perdido: no es lo mismo un albarán que una nómina.
  • Denuncia ante policía o Guardia Civil, con la cronología y los indicadores recogidos.
  • Si comercializas productos con elementos digitales, el reglamento europeo de ciberresiliencia añade plazos propios desde este año; lo contamos en este artículo.

Ocultar el incidente es la decisión más cara de todas: convierte un problema técnico en uno legal y de reputación, y normalmente se acaba sabiendo igual.

La restauración, en limpio

  • Instalación desde cero en equipos nuevos o formateados. «Limpiar» el servidor infectado no es una opción seria.
  • Empieza por lo crítico: facturación, pedidos, correo. El resto, por fases y avisando de las fechas.
  • Rota todas las credenciales, incluidas las de proveedores y las guardadas en el navegador. Activa doble factor en todo lo que salga a internet.
  • Cierra el vector de entrada antes de devolver el servicio: el parche pendiente, la VPN sin actualizar, el acceso remoto abierto «temporalmente» hace tres años.
  • Verifica los datos: recuentos, totales y últimos movimientos. Una restauración silenciosa con un día de antigüedad genera errores durante semanas.

Los cuatro errores que se repiten

  • Copias en el mismo dominio que el resto de la red: se cifran con todo lo demás.
  • Copias que nunca se han probado: descubrir el día del incendio que la copia está corrupta es un clásico.
  • Acceso remoto sin doble factor: es la puerta habitual, junto con el correo de phishing.
  • Ocultar el incidente para «no alarmar a los clientes».

Lo que evita la próxima

Una pyme de quince personas no necesita un departamento de ciberseguridad. Necesita lo básico, hecho y probado:

  • Tres copias, en dos medios, una fuera de línea o inmutable, con una prueba de restauración cada trimestre.
  • Doble factor en correo, VPN y accesos de administración.
  • Inventario y parcheo de todo lo que está expuesto a internet.
  • Plan impreso: si el dominio cae, el PDF alojado en el servidor no sirve de nada.
  • Un simulacro al año con las cinco personas del comité, de dos horas como máximo.

Si prefieres que esto no dependa de la memoria de nadie, en mantenimiento informático montamos el plan, las copias y las pruebas, y lo dejamos por escrito con responsables y plazos.