Recuperació després d'un ransomware

Com s'implanta

1. 1Primera intervenció i contenció.
2. 2Inventari del dany i de les còpies disponibles.
3. 3Pla de recuperació per ordre de criticitat.
4. 4Restauració i validació amb els responsables de cada àrea.
5. 5Informe i pla de reforç per evitar la repetició.

Què fa Seintec durant i després de l'incident

Durant l'incident, Seintec conté, avalua l'estat de les còpies, planifica la recuperació per prioritats i l'executa, verificant que l'entorn restaurat és net abans de tornar-lo a producció. Després lliura un informe tècnic amb la cronologia, el que s'ha restaurat i les mesures correctores amb data. L'anàlisi forense en profunditat i la valoració legal requereixen perfils específics: si el cas ho exigeix, es diu des del principi i es coordina amb qui correspongui en lloc d'assumir un abast que no es pot cobrir.

Què es posa en risc si no s'aborda

• Restaurar sobre un entorn compromès

  Tornar les dades a una xarxa on persisteix l'accés de l'atacant porta a un segon xifratge al cap de pocs dies.

• Còpies assolides per l'atac

  Les salvaguardes accessibles amb credencials del domini són un objectiu prioritari. La còpia ha d'estar fora de l'abast dels comptes compromesos.

• Manca d'un contacte d'emergència

  Sense saber a qui trucar i amb quina autorització, es perden hores en la fase en què més valen.

Preguntes freqüents

Es recuperen sempre totes les dades?

No es pot garantir. El resultat depèn de l'abast del xifratge i de la qualitat i antiguitat de les còpies disponibles.

Recomaneu pagar el rescat?

No. Pagar no assegura la recuperació i alimenta l'activitat delictiva; l'enfocament és recuperar des de còpies fiables.

Hi ha obligació de notificar?

Pot haver-n'hi segons el tipus de dades i el sector. És una valoració legal que ha de fer l'assessor jurídic de l'empresa.

Quant es triga a tornar a treballar?

Depèn del volum, de l'estat de les còpies i del nombre de sistemes. Es prioritza allò que sosté la facturació.

S'ha de pagar el rescat?

Pagar no garanteix recuperar la informació ni que les dades no es publiquin, i alimenta el model de negoci de l'atacant. La recomanació general de les autoritats competents és no pagar i denunciar. La decisió correspon a la direcció de l'empresa, preferiblement amb assessorament jurídic i després d'avaluar l'estat real de les còpies.

Cal notificar l'incident?

Si hi ha dades personals afectades hi ha obligacions de notificació amb terminis definits, i en molts casos convé a més presentar denúncia. Seintec aporta la informació tècnica de l'incident i el detall del que s'ha restaurat; la valoració legal i la notificació corresponen a l'empresa i al seu assessorament jurídic.

Com s'evita que torni a passar?

Amb les mesures que solen faltar en els casos reals: doble factor a tots els accessos remots, còpies fora de l'abast del domini, segmentació de la xarxa, revisió de permisos d'administrador, actualitzacions al dia i vigilància de les alertes. Després de l'incident es documenta què va fallar i es planifica cada correcció amb data.

Es pot contractar la recuperació sense ser client previ?

Sí, encara que la resposta sempre és millor quan l'entorn ja es coneix. En un cas nou, la primera fase consisteix a aixecar el mapa de sistemes i l'estat real de les còpies, que és el que determina què es pot recuperar i en quin termini. Aquest diagnòstic es lliura abans de comprometre un pla.