Ransomware: qué hacer en los primeros 30 minutos del ataque

La regla de oro: contención antes de cualquier remediación

Cuando un empleado o administrador descubre extensiones desconocidas en sus archivos, pantallas de bloqueo o notas extorsivas en los escritorios, cada segundo cuenta. Las acciones en la primera media hora determinan la supervivencia de los datos:

Los primeros 30 minutos: lista de verificación obligatoria

1. Aísle de toda conectividad: Desconecte los cables de red Ethernet de servidores, estaciones y dispositivos NAS. Desactive antenas Wi-Fi y desconecte de inmediato los enlaces VPN corporativos. Si un servidor no permite desconexión controlada, corte la energía de golpe para congelar el proceso de cifrado en disco.
2. Prohibido reiniciar o formatear: No intente restaurar sistemas a valores de fábrica, no aplique imágenes previas ni formatee discos. Las operaciones de formateo eliminan estructuras de bajo nivel que pueden ser rescatables en laboratorio.
3. Preserve evidencia intacta: Conserve una copia de la nota de rescate (README.txt, .html) y un par de archivos cifrados de muestra. No intente renombrarlos ni modificar sus extensiones.
4. Proteja los respaldos fríos: Bajo ninguna circunstancia conecte discos externos, unidades RDX o sistemas NAS de respaldo a la red hasta haber certificado que la infección no mantiene persistencia lateral en el dominio.
5. Trace el perímetro del incidente: Identifique qué equipos, carpetas compartidas y segmentos de VLAN muestran archivos afectados, sin ejecutar programas antivirus agresivos que puedan bloquear o alterar los discos.
6. Notificación corporativa coordinada: Alerte simultáneamente al equipo de Tecnologías de Información, a la Dirección General, al asesor legal de la empresa y a la aseguradora de ciberriesgo.
7. No negocie ni pague el rescate: Algoritmo Binario no negocia con atacantes ni avala el pago a organizaciones delictivas.
8. Contacte a un laboratorio especializado: Active el protocolo de evaluación técnica de emergencia 24/7.

Por qué no se debe negociar con los ciberdelincuentes

La postura de las principales agencias de seguridad y la nuestra es categórica: no pagar.

• Estadísticamente, una proporción considerable de empresas que pagan nunca reciben la clave descifradora o reciben utilidades defectuosas que corrompen las bases de datos de forma irreversible.
• Pagar confirma a los atacantes que la empresa cuenta con liquidez y debilidades operativas, lo que suele traducirse en un nuevo ataque extorsivo meses después.
• En muchas jurisdicciones, transferir criptoactivos a grupos delictivos catalogados plantea serias contingencias legales y fiscales para la dirección de la empresa.

Protocolo de atención de emergencias en Algoritmo Binario

Para incidentes críticos de ransomware en Ciudad de México y Estado de México:

• Respuesta 24/7: Atención telefónica continua los 365 días del año.
• Recolección en menos de 2 horas: Despliegue con protocolo propio de custodia en la zona metropolitana.
• Evaluación en 4 horas: Dictamen pericial de recuperabilidad en nuestro laboratorio aislado sin acceso a red (Air-Gap).
• Tiempos de recuperación: 5 días hábiles para variantes con cifrado de 128 bits y 8 días hábiles para variantes de 256 bits.
• Costos: Evaluación de $1,000 MXN + IVA por unidad analizada ($2,000 en atención prioritaria). La recuperación se cotiza individualmente según la variante de malware y el precio pactado es definitivo y cerrado. Si el dictamen concluye que no hay datos recuperables, solo se cubre la evaluación técnica.