Recuperación después de un ransomware

Cómo se implanta

1. 1Primera intervención y contención.
2. 2Inventario del daño y de las copias disponibles.
3. 3Plan de recuperación por orden de criticidad.
4. 4Restauración y validación con los responsables de cada área.
5. 5Informe y plan de refuerzo para evitar la repetición.

Qué hace Seintec durante y después del incidente

Durante el incidente, Seintec contiene, evalúa el estado de las copias, planifica la recuperación por prioridades y la ejecuta, verificando que el entorno restaurado está limpio antes de devolverlo a producción. Después entrega un informe técnico con la cronología, lo restaurado y las medidas correctoras con fecha. El análisis forense en profundidad y la valoración legal requieren perfiles específicos: si el caso lo exige, se dice desde el principio y se coordina con quien corresponda en lugar de asumir un alcance que no se puede cubrir.

Qué se arriesga si no se aborda

• Restaurar sobre un entorno comprometido

  Devolver los datos a una red donde persiste el acceso del atacante conduce a un segundo cifrado a los pocos días.

• Copias alcanzadas por el ataque

  Los respaldos accesibles con credenciales del dominio son un objetivo prioritario. La copia debe estar fuera del alcance de las cuentas comprometidas.

• Falta de un contacto de emergencia

  Sin saber a quién llamar y con qué autorización, se pierden horas en la fase en que más valen.

Preguntas frecuentes

¿Se recuperan siempre todos los datos?

No se puede garantizar. El resultado depende del alcance del cifrado y de la calidad y antigüedad de las copias disponibles.

¿Recomendáis pagar el rescate?

No. Pagar no asegura la recuperación y alimenta la actividad delictiva; el enfoque es recuperar desde copias fiables.

¿Hay obligación de notificar?

Puede haberla según el tipo de datos y el sector. Es una valoración legal que debe hacer el asesor jurídico de la empresa.

¿Cuánto se tarda en volver a trabajar?

Depende del volumen, del estado de las copias y del número de sistemas. Se prioriza lo que sostiene la facturación.

¿Se debe pagar el rescate?

Pagar no garantiza recuperar la información ni que los datos no se publiquen, y alimenta el modelo de negocio del atacante. La recomendación general de las autoridades competentes es no pagar y denunciar. La decisión corresponde a la dirección de la empresa, preferiblemente con asesoramiento jurídico y tras evaluar el estado real de las copias.

¿Hay que notificar el incidente?

Si hay datos personales afectados existen obligaciones de notificación con plazos definidos, y en muchos casos conviene además presentar denuncia. Seintec aporta la información técnica del incidente y el detalle de lo restaurado; la valoración legal y la notificación corresponden a la empresa y a su asesoramiento jurídico.

¿Cómo se evita que vuelva a ocurrir?

Con las medidas que suelen faltar en los casos reales: doble factor en todos los accesos remotos, copias fuera del alcance del dominio, segmentación de la red, revisión de permisos de administrador, actualizaciones al día y vigilancia de las alertas. Después del incidente se documenta qué falló y se planifica cada corrección con fecha.

¿Se puede contratar la recuperación sin ser cliente previo?

Sí, aunque la respuesta siempre es mejor cuando el entorno ya se conoce. En un caso nuevo, la primera fase consiste en levantar el mapa de sistemas y el estado real de las copias, que es lo que determina qué se puede recuperar y en qué plazo. Ese diagnóstico se entrega antes de comprometer un plan.