Nos cifraron los archivos: qué hacer en las primeras horas
Los documentos abren con nombres raros, hay una nota pidiendo dinero y el sistema no arranca. Lo que hagas en las próximas dos horas decide cuánto cuesta esto: no en rescate, sino en días de operación perdidos. Las tres decisiones que más pesan son aislar sin apagar, no destruir evidencia y comprobar si tus respaldos también quedaron cifrados antes de confiar en ellos.
El cifrado es el final del ataque, no el principio
Cuando aparece la nota, el atacante lleva días o semanas dentro. Entró por una credencial robada, por un acceso remoto expuesto o por un servidor sin parchear; escaló privilegios, miró qué había, buscó los respaldos y los borró o cifró primero. El cifrado se dispara al final y de noche, cuando ya no queda nada que salvar y nadie está mirando. Eso cambia dos cosas. Primera: restaurar sin averiguar cómo entraron devuelve el problema en semanas, con la misma puerta abierta. Segunda: es muy probable que además de cifrar hayan copiado información, así que el incidente no termina cuando los archivos vuelven. Trátalo como una intrusión completa, no como un problema de archivos.
Las primeras horas, en orden
Aísla, pero no apagues
Desconecta el cable de red y el inalámbrico de los equipos afectados, y separa los segmentos para frenar la propagación. No apagues ni reinicies: la memoria del equipo encendido puede contener claves, procesos y conexiones que desaparecen con el corte, y a veces es lo único que permite recuperar sin pagar. Apagar es el reflejo natural y el error más caro.
Corta las credenciales y los caminos
Deshabilita las cuentas sospechosas, revoca sesiones abiertas y cambia las contraseñas de administración desde un equipo limpio. Cierra cualquier acceso remoto publicado hacia internet. Si el atacante conserva una cuenta con privilegios, vuelve a cifrar lo que acabas de restaurar.
Protege los respaldos antes de tocarlos
Desconecta físicamente las unidades de respaldo y corta el acceso de red al servidor que las guarda. Antes de restaurar nada, comprueba en un equipo aislado si las copias abren bien y con qué fecha. Un respaldo montado en la red suele estar cifrado también, y descubrirlo a mitad de la restauración cuesta un día entero.
Preserva la evidencia
Guarda la nota de rescate, un par de archivos cifrados de muestra, los registros del servidor y del cortafuegos, y anota horas exactas de cada hallazgo. Los registros se rotan solos: si no los exportas hoy, en tres días no existen. Esa información determina por dónde entraron y hasta dónde llegaron.
Identifica la variante y decide la vía
El nombre en la nota y la extensión añadida a los archivos permiten identificar la familia. Algunas tienen herramienta de descifrado pública porque sus claves se filtraron; en ese caso la recuperación es directa. La comprobación cuesta minutos y conviene hacerla antes de asumir que el único camino es restaurar.
Activa a las personas, no solo a la técnica
Avisa a la dirección, a tu asesor legal y a la aseguradora si tienes póliza. Define quién comunica y qué se dice, y usa un canal fuera del correo comprometido. Si hay datos personales de terceros implicados, en Panamá aplica la Ley 81 de 2019 de protección de datos personales y su reglamento: consulta con tu asesor legal el plazo y la forma de notificar antes de comunicar nada.
Por qué no apagar y por qué no pagar
No apagues. Un equipo encendido guarda en memoria claves, procesos y conexiones abiertas. Apagarlo destruye eso para siempre. Además, algunos cifrados a medias se pueden completar o revertir con lo que hay en memoria. Aislar de la red logra el objetivo —frenar la propagación— sin perder nada.
No pagues, y no es solo una cuestión de principios.
- Pagar no devuelve los datos de forma fiable. La herramienta que entregan suele ser lenta, incompleta y a veces corrompe lo que descifra.
- No cancela el segundo problema: si copiaron información, ya la tienen, pagues o no.
- Marca a la empresa como pagadora, y ese dato circula entre grupos.
- Puede tener consecuencias legales según a quién se transfiera el dinero.
La decisión de pagar aparece cuando no hay respaldo utilizable. Por eso el trabajo real no ocurre durante el incidente: ocurre meses antes, cuando alguien decidió si la copia era recuperable.
Los errores que más caros salen
- Apagar los equipos afectados: destruye la memoria, que es donde a veces está la clave y siempre está la evidencia.
- Restaurar antes de saber cómo entraron: devuelve el sistema y también al atacante, con las mismas credenciales.
- Conectar el respaldo a la red comprometida para ver si sirve. Se cifra mientras lo revisas.
- Formatear el equipo de origen por prisa. Con él se va la única pista de la puerta de entrada.
- Usar el correo comprometido para coordinar la respuesta. El atacante lee la coordinación en tiempo real.
- Suponer que el respaldo funciona porque el panel dice que la tarea terminó bien. Terminar no es lo mismo que poder restaurar.
- Restaurar en desorden: aplicaciones antes que identidad y nombres, y todo vuelve a autenticar contra algo que aún no es confiable.
- Cambiar contraseñas sin revocar sesiones: los accesos ya abiertos siguen funcionando.
- Cerrar el incidente cuando los archivos vuelven, sin revisar qué información salió de la empresa.
El respaldo que sí sobrevive: 3-2-1-1-0
La regla clásica pedía tres copias, en dos medios distintos, con una fuera del sitio. Contra el cifrado dirigido eso ya no basta, porque el atacante llega a todo lo que la red alcanza. La versión vigente añade dos exigencias:
- Tres copias de la información, contando la original.
- Dos medios distintos.
- Una fuera del sitio, en otra ubicación física.
- Una inmutable o desconectada. Inmutable significa que ni siquiera un administrador puede modificarla o borrarla durante un periodo fijado. Desconectada significa que no hay camino de red hacia ella. Cualquiera de las dos rompe la cadena del ataque; tener las dos es mejor.
- Cero errores en la verificación. Una restauración de prueba periódica, con el archivo abierto y comprobado.
El último punto es el que casi nadie cumple y el que decide todo. Un respaldo que nunca se restauró no es un respaldo: es una intención. Prueba una restauración completa al menos cada trimestre, cronométrala y anota cuánto tardó, porque ese número es tu tiempo real de recuperación y suele ser el triple de lo que la dirección imagina. El diseño lo detallamos en respaldo y recuperación ante ransomware.
El orden de restauración que evita rehacer el trabajo
Primero, un entorno limpio
Se restaura sobre equipos reinstalados desde cero o sobre hardware separado, nunca encima del sistema comprometido. Y antes de conectar nada, se cierra la puerta de entrada identificada en el análisis.
Identidad y nombres antes que nada
Servicio de directorio, autenticación y resolución de nombres primero, con las contraseñas de administración ya cambiadas. Si vuelven después, todo lo demás se autentica contra algo que todavía no es confiable.
Después los servicios que sostienen la operación
Se restaura por prioridad de negocio, no por facilidad técnica: primero lo que impide facturar, cobrar y atender. Conviene tener esa lista escrita antes del incidente, porque discutirla ese día cuesta horas.
Los datos de usuario al final
Carpetas compartidas y buzones se restauran cuando la base está sana. Se comprueba la fecha de cada copia, porque restaurar de una anterior a la intrusión puede costar días de trabajo que hay que rehacer a mano.
Vigilancia reforzada durante semanas
Después de restaurar, se vigila con más detalle de lo habitual: intentos de acceso, cuentas nuevas, tareas programadas y conexiones salientes raras. Los regresos ocurren, y suelen usar un acceso que quedó sin cerrar.
Lo que de verdad lo previene
Ningún control es suficiente solo, pero estos cubren la mayoría de las entradas que encontramos.
- Segundo factor en todo lo que se alcance desde internet, empezando por el correo y el acceso remoto. La credencial robada sigue siendo la puerta más usada.
- Nada de escritorio remoto publicado hacia internet. Si hace falta acceso desde fuera, va detrás de una conexión privada, como explicamos en VPN y trabajo remoto seguro.
- Parches con calendario. Los servidores y los equipos de borde primero, y con fecha comprometida, no cuando haya tiempo.
- Segmentación de la red. Que un equipo infectado en recepción no alcance el servidor de contabilidad ni el de respaldo. Es lo que más limita el daño cuando ya entraron.
- Mínimo privilegio. Nadie trabaja a diario con una cuenta de administración, y las cuentas de servicio no comparten contraseña.
- Macros bloqueadas en documentos que llegaron de internet.
- Detección en los equipos, con alguien que lea las alertas. Una herramienta que nadie mira no detiene nada.
Y el control que más veces marca la diferencia no es técnico: que la gente sepa a quién avisar y que avisar temprano no tenga castigo.
Qué haces en la primera hora y qué no debes hacer solo
Hazlo tú, ahora mismo: desconectar de la red los equipos afectados sin apagarlos, desconectar físicamente las unidades de respaldo, dejar de usar el correo comprometido para coordinar, guardar la nota y un par de archivos cifrados, y avisar a la dirección.
No lo hagas solo: decidir si un respaldo es utilizable, determinar la puerta de entrada, reconstruir el servicio de directorio, o cualquier trato con el atacante. Y si hay información de terceros comprometida, la comunicación se coordina con tu asesor legal antes de escribir a nadie.
Vijor Networks es una empresa familiar panameña fundada en 2009 en Ciudad de Panamá. Trabajamos la prevención y la recuperación como una sola cosa, porque el resultado del incidente se decide meses antes. Las personas del equipo atienden de lunes a viernes en horario de oficina.
Sigue por aquí:
Preguntas frecuentes sobre ransomware
¿Apago los equipos para que no siga cifrando?
No. Desconéctalos de la red, que consigue lo mismo sin destruir nada. La memoria de un equipo encendido puede contener claves y siempre contiene evidencia sobre cómo entraron. Apagar es irreversible y es el error más frecuente de la primera media hora.
¿Conviene pagar si no hay respaldo?
Es la peor situación posible y aun así la recomendación es no pagar. La herramienta que entregan es lenta e incompleta, no impide que publiquen lo que copiaron y te marca como pagador. Antes de considerarlo, comprueba si existe descifrador público para esa variante y si alguna copia antigua sobrevivió desconectada.
¿Cómo sé si también se llevaron información?
Busca en los registros del cortafuegos transferencias de salida grandes en los días previos, y en el servidor herramientas de compresión o de sincronización que nadie instaló. Muchos grupos lo anuncian en la nota. Si hay dudas razonables, trátalo como fuga confirmada y consulta con tu asesor legal las obligaciones que aplican.
¿Cuánto tarda una recuperación?
Depende de si el respaldo sobrevivió y de si está probado. Con copias inmutables verificadas y un orden de restauración escrito, los servicios críticos vuelven en horas y el resto en días. Sin eso, se habla de semanas. La única forma de saber tu número es cronometrar una restauración de prueba antes de necesitarla.
El respaldo está en la nube. ¿Estoy a salvo?
Solo si el atacante no puede borrarlo con las credenciales que robó. Una carpeta sincronizada en la nube no es un respaldo: los archivos cifrados se sincronizan igual. Necesitas versiones con retención, borrado protegido y una copia que ni un administrador pueda eliminar durante un periodo fijado.
¿Por dónde suelen entrar?
Tres puertas concentran la mayoría: una credencial válida robada por phishing, un acceso remoto publicado hacia internet con contraseña débil, y un servidor o equipo de borde sin parchear. Las tres se cierran con segundo factor, sin escritorio remoto expuesto y con un calendario de parches que alguien cumpla.
Averigua hoy si podrías recuperarte
Probamos una restauración real, revisamos si tus copias son alcanzables desde la red y dejamos el plan escrito.