Ransomware en PyMEs: qué hacer en las primeras 24 horas
Los primeros pasos después de un ataque definen cuánto vas a perder. Una guía práctica para contener el daño, preservar evidencia y recuperar la operación.
Llegás a la oficina y ningún archivo abre. En las pantallas aparece una nota exigiendo un pago en criptomonedas. Es ransomware, y lo que hagas en las próximas horas determinará el impacto real en tu empresa.
Hora 0: contener
- Desconectá de la red los equipos afectados (cable y Wi-Fi). No los apagues todavía: la memoria puede contener información útil para la investigación.
- Aislá los servidores y desconectá los discos de respaldo que estén conectados para que no se cifren.
- Anotá qué equipos muestran síntomas y a qué hora se detectaron.
Hora 1 a 4: evaluar y preservar
Antes de reinstalar nada, conviene preservar evidencia: qué variante de ransomware es, por dónde entró y si hubo exfiltración de datos. Esto es clave si tenés que informar a clientes, a la autoridad de protección de datos o hacer una denuncia.
No pagues sin asesoramiento
Pagar no garantiza recuperar los archivos y puede tener implicancias legales. Muchas variantes tienen herramientas de descifrado públicas y, en otros casos, la recuperación desde respaldos es viable si se actúa con cuidado.
Recuperar la operación
- Restaurar desde respaldos verificados en equipos limpios, nunca en los equipos infectados sin reinstalar.
- Cambiar todas las contraseñas, empezando por las de administración, correo y accesos remotos.
- Cerrar el vector de entrada (RDP expuesto, correo de phishing, software sin actualizar) antes de volver a operar.
