Ransomware: ¿se pueden recuperar los archivos cifrados?

Las opciones reales ante archivos cifrados por ransomware

Ante un incidente de secuestro digital, los directivos y administradores de sistemas enfrentan una gran incertidumbre. Analizamos con honestidad las únicas cuatro alternativas existentes:

1. Restaurar desde un respaldo limpio e independiente

Es la ruta más eficiente si la organización contaba con una política de respaldos 3-2-1 efectiva. Antes de conectar o restaurar cualquier copia:

• Confirme que el soporte de respaldo no haya sido alcanzado por el malware ni contenga archivos alterados.
• Cerciórese de que la brecha de seguridad y los vectores de acceso inicial (credenciales filtradas, vulnerabilidades RDP, puertas traseras) hayan sido completamente erradicados de la red corporativa.

2. Proyectos y descifradores públicos oficiales

Iniciativas de colaboración internacional como No More Ransom (coordinada por Europol, la policía de los Países Bajos y aliados del sector tecnológico) ofrecen herramientas legítimas y gratuitas para descifrar cepas cuyas vulnerabilidades criptográficas han sido resueltas por analistas globales.

• Si hoy no existe una utilidad para su cepa específica, conserve copias frías de los archivos cifrados: con regularidad se liberan nuevos descifradores al intervenirse servidores de comando y control de cibercriminales.

3. Evaluación técnica pericial en laboratorio

Para las empresas donde los respaldos también fueron alcanzados, dañados o resultaban inexistentes, la evaluación pericial en laboratorio examina el soporte de almacenamiento en hardware aislado (Air-Gap).

• Permite analizar las tablas maestras de archivos, registros de transacciones de bases de datos y estructuras de bajo nivel para recuperar fragmentos y archivos reconstruibles antes del cifrado masivo.
• No prometemos resultados sin una evaluación previa: el dictamen pericial le indica con exactitud el porcentaje de recuperabilidad y fija un precio cerrado.

4. Pagar el rescate: una ruta que no se recomienda

Instituciones globales de ciberseguridad como la CISA (Cybersecurity and Infrastructure Security Agency) advierten que pagar:

• No garantiza en absoluto recibir una clave que funcione o un descifrador que no dañe sus archivos.
• Convierte a su organización en un cliente habitual para nuevas extorsiones.
• Financia la infraestructura de grupos criminales organizados.
• En Algoritmo Binario no negociamos con atacantes ni mediamos pagos de extorsión.

Qué evidencia técnica debe conservar su equipo de TI

• La nota de rescate intacta (.txt, .html, imagen) y dos o tres archivos cifrados de muestra.
• La hora exacta en que se detectó la primera actividad anómala.
• Registros de eventos de servidores (Event Logs de Windows, logs de firewall y accesos VPN).
• Una imagen forense o clon bit a bit de una muestra de estaciones antes de reinstalar.

Qué acciones están estrictamente prohibidas

• No formatear, reinstalar ni ejecutar software de limpieza destructiva sobre los discos originales.
• No renombrar masivamente las extensiones de los archivos cifrados.
• No conectar discos duros externos ni respaldos a computadoras conectadas a la red infectada.

Tiempos y costos en laboratorio

• Evaluación técnica de recuperabilidad: $1,000 MXN + IVA por unidad analizada en 24 horas (prioritaria: $2,000 en 4 horas desde la recepción).
• Tiempos de recuperación estimada: 5 días hábiles para cifrado de 128 bits y 8 días hábiles para cifrado de 256 bits.
• Cotización por caso: Se pacta un precio cerrado según la variante del malware y el volumen de datos. Si no hay datos rescatables, solo se cubre la evaluación inicial.

Reporte a autoridades de ciberseguridad en México

Recomendamos canalizar la denuncia del ciberdelito ante:

• Guardia Nacional: Unidad de Policía Cibernética mediante atención ciudadana en el teléfono 088.
• Secretaría de Seguridad Ciudadana de la CDMX: Policía Cibernética.
• Secretaría de Seguridad del Estado de México: Unidad de Delitos Cibernéticos.