Cómo recuperarse de un ataque de ransomware: 10 pasos
Una guía clara para pequeñas empresas, en el orden que importa. Los pasos 1 a 5 son para las primeras horas. El resto llega una vez contenido el ataque.
Llame al (213) 986-4855 Recuperación de datos por ransomware
Ir a: Las primeras horas Respaldos El pago La reconstrucción Después
Paso 1. Aísle de la red los equipos infectados
Desconecte el cable de red y apague el Wi-Fi de cada computadora o servidor que muestre señales del ataque. Si no sabe cuáles están afectados, desconecte la conexión a internet de la oficina en el router.
Déjelos encendidos. Apagarlos borra la memoria de la computadora, que puede contener pistas sobre la variante e incluso, a veces, las claves de cifrado. Desconecte la red, no la corriente.
Desconecte los discos de respaldo y los equipos NAS que todavía no se hayan visto afectados, y pause cualquier sincronización en la nube, para que el cifrado no se extienda a ellos.
Paso 2. Confirme que es ransomware y averigüe cuál es
Las señales son una nota de rescate en el escritorio o en cada carpeta, archivos con una extensión nueva que no se abren, o una pantalla de bloqueo que exige un pago. Fotografíe la nota. Su redacción, la extensión de los archivos y la dirección de contacto identifican la variante, y un sitio gratuito como ID Ransomware puede identificarla.
La variante importa. Indica lo que suelen hacer los atacantes a continuación, si también roban datos y si existe un descifrador gratuito en No More Ransom.
Paso 3. Avise a las personas adecuadas
- Su proveedor de TI, o a nosotros al (213) 986-4855
- Su aseguradora de ciberriesgos, de inmediato: la mayoría de las pólizas fijan un plazo corto para notificar el incidente, y algunas indican qué empresas de respuesta debe usar
- Un abogado, si es posible que se hayan sustraído datos de clientes, pacientes o empleados
- Los dueños o la dirección, que tendrán que tomar las decisiones que se describen a continuación
Coordínense por teléfono o con correos personales. Parta de la base de que el correo y el chat de la empresa pueden estar vigilados.
Paso 4. Conserve las evidencias
Antes de limpiar, borrar o restaurar nada, conviene sacar una imagen de los discos afectados y guardar los registros: firewall, servidores, acceso remoto y correo electrónico. Esas evidencias muestran cómo entraron los atacantes y qué tocaron, y las aseguradoras y los investigadores pueden pedirlas. También son lo que permite que un laboratorio de recuperación por ransomware trabaje después con los datos.
Paso 5. Denuncie el ataque
En Estados Unidos, denúncielo ante el FBI en ic3.gov y ante CISA en cisa.gov/report. Denunciar es gratis y no implica ceder el control de sus sistemas a nadie. A veces las autoridades disponen de claves o de información sobre una variante. Si se expusieron datos personales, las normas de California y federales pueden obligarle a notificar a las personas afectadas; busque asesoría legal al respecto.
Paso 6. Compruebe lo que sus respaldos pueden hacer de verdad
Este paso determina todo lo demás. Averigüe si existe una copia que los atacantes no pudieron alcanzar: un disco desconectado, un respaldo inmutable en la nube, una copia en otra sede. Revise su fecha y haga una restauración de prueba de algunos archivos en un equipo aislado antes de confiar en ella.
- Respaldo limpio y reciente: puede reconstruir sin pagar. Pase al paso 8.
- Respaldos también cifrados o borrados: detenga toda escritura en el almacenamiento de respaldo. Las máquinas virtuales y los archivos de respaldo cifrados a menudo todavía se pueden reconstruir en un laboratorio.
Paso 7. No se precipite con la decisión del rescate
El FBI recomienda no pagar. El pago no garantiza un descifrador que funcione, el descifrado suele ser lento e incompleto, los datos robados pueden publicarse o venderse de todos modos, y pagar marca a la empresa como una que paga. Además, pagar a ciertos grupos puede infringir las normas sobre sanciones. Si se plantea la cuestión, decídala junto con la dirección, su abogado y su aseguradora, y no bajo la presión del plazo de la nota.
Paso 8. Reconstruya a partir de sistemas limpios
No intente limpiar los equipos infectados y seguir trabajando. Bórrelos y reinstálelos desde medios de confianza, y restaure los datos solo desde respaldos que haya confirmado como limpios. Empiece por lo que la empresa necesita para funcionar, como el controlador de dominio, el correo y la contabilidad, y mantenga los equipos reconstruidos en una red separada hasta revisarlos.
Cambie todas las contraseñas: cuentas de administrador, correo, acceso remoto, servicios en la nube y cualquier cuenta que los atacantes puedan haber creado. Active la verificación en dos pasos a medida que avanza.
Paso 9. Analice antes de volver a conectar nada
Ejecute un análisis de seguridad completo en cada equipo restaurado y busque cuentas de usuario nuevas, tareas programadas y herramientas de acceso remoto que los atacantes puedan haber dejado. Reconectar un solo equipo que se pasó por alto puede volver a desencadenarlo todo.
Paso 10. Encuentre la vía de entrada y ciérrela
La mayoría de los ataques a pequeñas empresas empiezan en unos pocos puntos: un correo de phishing, una contraseña robada o reutilizada, un escritorio remoto expuesto a internet, o un firewall o VPN sin parches. Identifique cuál fue y corríjalo, y después actualice su plan con lo aprendido. Nuestras diez capas de protección contra ransomware y nuestra lista de verificación de seguridad son un buen punto de partida.
¿Cuánto tarda la recuperación?
Depende casi por completo de los respaldos. Con un respaldo limpio y probado, una oficina pequeña puede volver a trabajar en cuestión de días. Sin él, reconstruir y recuperar los datos puede llevar semanas. Actuar con rapidez en los cinco primeros pasos acorta el proceso en cualquier caso.
Preguntas
¿Debo apagar la computadora?
No. Desconéctela de la red y déjela encendida. Apagarla puede destruir evidencias guardadas en la memoria.
¿Puedo simplemente restaurar el respaldo de anoche?
Solo cuando el ataque esté contenido, la vía de entrada cerrada y el respaldo confirmado como limpio. Los atacantes suelen estar dentro de la red varios días antes de cifrar, así que un respaldo reciente puede contener sus herramientas.
¿Existe un descifrador gratuito?
Para algunas variantes antiguas, sí. Busque en No More Ransom con el nombre de la variante. Para la mayoría de las variantes actuales no existe, y la recuperación depende de los respaldos o de los propios datos.
¿Estoy obligado a denunciarlo?
Para la mayoría de las pequeñas empresas, denunciar ante el FBI y CISA es voluntario, pero recomendable. Notificar a las personas cuyos datos personales quedaron expuestos puede ser una obligación legal. Consulte a un abogado.
¿Necesita ayuda ahora?
Llame al (213) 986-4855. Ayudamos a empresas de cualquier lugar de Estados Unidos, Canadá, Centroamérica y Sudamérica, de forma remota desde la primera hora, y nuestro laboratorio de ransomware, operado con Recoveo, recupera servidores, máquinas virtuales y respaldos cifrados.
Abrir un caso de ransomware Respuesta ante ransomware
Basado en las recomendaciones de la #StopRansomware Guide de CISA y del FBI. Esta página ofrece información general, no asesoría legal.