Ransomware en tu empresa: qué hacer en las primeras horas
Un ataque de ransomware cifra los archivos de servidores y equipos, y deja una nota exigiendo un pago para recuperarlos. Para la empresa el efecto es inmediato: el ERP deja de responder, las carpetas compartidas quedan inaccesibles y la operación se detiene.
Lo que se haga en las primeras horas determina en buena medida cuánto se recupera y en cuánto tiempo. Esta guía resume qué hacer, qué no hacer, y por qué tantas empresas descubren tarde que su respaldo no servía.
Qué hacer en las primeras horas
- Aísla, no apagues. Desconecta de la red los equipos afectados, pero evita apagarlos: la memoria de un equipo encendido puede contener información útil para entender el alcance.
- Corta los accesos remotos. VPN, escritorio remoto y accesos de proveedores. Si el atacante todavía tiene sesión activa, seguirá avanzando mientras tú respondes.
- Protege los respaldos antes que nada. Desconéctalos de la red de inmediato. El cifrado de respaldos accesibles es parte estándar de estos ataques.
- Cambia las credenciales privilegiadas. Cuentas de administrador de dominio, de respaldo y de servicios, desde un equipo que no esté comprometido.
- Documenta todo. Hora de detección, equipos afectados, nota de rescate, comportamiento observado. Sirve para el análisis, para el seguro y para la denuncia.
- No pagues por impulso. Pagar no garantiza recuperar los datos, no elimina la copia que el atacante pueda haberse llevado, y marca a la empresa como dispuesta a pagar.
Antes de restaurar cualquier cosa hay que responder una pregunta: cómo entraron. Restaurar sobre un entorno todavía comprometido suele terminar en un segundo cifrado a los pocos días.
Por qué el respaldo muchas veces no alcanza
Casi todas las empresas afectadas tenían respaldos. El problema no es tenerlos, es cómo estaban configurados. Los escenarios que se repiten:
- El respaldo estaba en un disco o carpeta de red accesible desde el servidor infectado, y se cifró junto con todo lo demás.
- El respaldo corría con una cuenta con permisos amplios, y el atacante la usó para borrarlo antes de cifrar.
- El respaldo llevaba meses fallando y nadie revisaba las alertas.
- Nunca se probó una restauración completa, y al necesitarla apareció que faltaban bases de datos o configuraciones.
Un respaldo solo cuenta como respaldo si está fuera del alcance de las credenciales del entorno productivo y si alguien probó restaurarlo alguna vez.
Por dónde entran, en la práctica
La mayoría de los casos no empieza con una técnica sofisticada, sino con una puerta que quedó abierta:
- Escritorio remoto publicado directamente a internet.
- Cuentas sin autenticación multifactor, con contraseñas reutilizadas o filtradas.
- Correos de phishing que capturan credenciales corporativas.
- Servidores y aplicaciones sin actualizar durante meses o años.
- Accesos de ex empleados o de proveedores que nunca se dieron de baja.
- Usuarios trabajando de forma habitual con permisos de administrador.
Ninguna de estas cosas es exótica. Son configuraciones que se acumulan cuando la infraestructura crece sin que nadie la ordene.
Cómo trabajamos esto en Mater TI
Nuestro foco está en que el incidente no ocurra, y en que si ocurre la empresa pueda volver a operar. En la práctica eso significa trabajar sobre los mismos puntos por donde entran los ataques: autenticación multifactor, protección de endpoints con Microsoft Defender, control y segmentación de accesos remotos, revisión de permisos y privilegios, y una política de respaldo que resista un incidente en vez de caer con él.
También revisamos qué está expuesto hacia internet, qué cuentas siguen activas sin necesitarlo y qué pasaría si mañana hubiera que restaurar el servidor principal desde cero. Esa última pregunta es la que más veces se responde mal.
Si tu empresa está pasando por un incidente en este momento, escríbenos y lo vemos de inmediato.