Ransomware:
las primeras horas

Un disco que falla por hardware suele dar avisos mecánicos: golpeteos, chasquidos, no lo detecta la BIOS, o el sistema se cuelga al arrancar. El ransomware, en cambio, deja el disco funcionando con normalidad: el equipo arranca, el explorador de archivos ve las carpetas, pero cada archivo tiene una extensión añadida y no abre con el programa que le corresponde. Casi siempre aparece una nota de rescate, un archivo de texto o una imagen de fondo nueva pidiendo contacto o pago. Otra pista fuerte es que varios equipos de la misma red presenten el mismo problema a la vez: un fallo de disco es un suceso aislado en una máquina, mientras que el ransomware se propaga y afecta a varios puestos casi simultáneamente. Si tienes cualquier duda sobre cuál de los dos es, actúa como si fuera ransomware: desconecta ese equipo y cualquier otro que comparta red o unidades con él antes de mirar nada más de cerca.

Depende de en qué punto estás. Si el equipo sigue cifrando en ese momento, desconectar la red y dejarlo encendido detiene el contacto con el atacante sin perder lo que hay en memoria, que a veces contiene restos de la clave de cifrado que una herramienta forense puede aprovechar. Apagarlo de golpe borra esa memoria y puede dejar el cifrado a medio terminar, lo que complica cualquier intento de recuperación posterior. Si el proceso ya ha terminado y el equipo está inactivo, apagarlo no cambia nada y evita que alguien lo use por error. La prioridad siempre es la red, no el botón de apagado: desconecta cable y wifi primero, decide después si lo apagas, y hazlo solo cuando ya no comparta unidades ni conexión con el resto de la oficina. Si hay alguien que vaya a analizar el equipo, pregúntale antes de tocar el interruptor.

No hay garantía de que la clave llegue, de que funcione en todos los archivos, o de que el atacante no vuelva a pedir más una vez que sabe que pagas. Además del cifrado, muchos ataques actuales copian datos antes de cifrarlos, así que pagar por la clave no borra esa copia ni impide que se use o se publique después: son dos problemas distintos con la misma factura. La decisión real no es «pago o no pago», es qué alternativas hay: si existe una copia de seguridad fuera del equipo y se puede restaurar, el rescate deja de tener sentido económico. Si no hay copia, la pregunta pasa a ser si el disco es recuperable por otra vía, lo que depende del tipo de fallo y de cuánto se haya escrito encima después del cifrado. Pagar no resuelve ninguna de esas dos preguntas, solo añade una tercera.

Formatear no es reversible y borra justo la información que permitiría entender qué pasó y, en algunos casos, recuperar algo. Lo que determina si formatear es razonable es si existe una copia de seguridad verificada, guardada fuera del equipo, que no estuviera accesible para el ransomware en el momento del ataque. Si esa copia existe y se puede restaurar un archivo de prueba sin problema, el equipo infectado se puede formatear con tranquilidad porque los datos ya están a salvo en otro sitio. Si no hay copia, o no estás seguro de que la copia sea buena, el disco no se toca: se trata como un caso de recuperación, no como algo que limpiar. En ese caso formatear cierra la única vía que quedaba. La comprobación de si la copia sirve es lo primero que hay que hacer, antes de decidir nada sobre el disco.

Desconéctalo de la red y no lo enciendas «para ver si se salvó algo»: si estaba montado como unidad en el equipo infectado, el ransomware probablemente ya lo ha recorrido igual que el resto de discos. Lo que cambia el resultado es cómo estaba configurado antes del ataque. Un NAS con copias con versiones o con instantáneas que el propio ransomware no podía borrar porque no tenía permisos para modificarlas conserva versiones anteriores a la infección, aunque los archivos actuales estén cifrados. Un NAS usado solo como una carpeta compartida más, sin versiones ni protección de escritura, se cifra igual que un disco local y no aporta nada extra que recuperar. Antes de tocarlo, hay que revisar la configuración de instantáneas o versiones del propio NAS sin restaurar nada todavía. Es el mismo principio que separa una copia de seguridad real de una simple carpeta duplicada: la diferencia está en si el ransomware podía escribir sobre ella.

Sí, especialmente si hay datos de clientes, proveedores o empleados en los equipos afectados. Presentar la denuncia no desbloquea nada ni acelera la recuperación, pero deja constancia oficial del incidente, que puede hacer falta más adelante frente a aseguradoras, clientes o entidades que pregunten qué pasó. Si el ataque afecta a datos personales, hay que valorar si corresponde informar a la autoridad de protección de datos y, en algunos casos, a las personas afectadas; esa valoración depende del tipo de dato y del riesgo real para esas personas, no es automática en todos los casos. Guarda capturas de la nota de rescate, la hora aproximada en que se detectó y qué equipos estaban conectados entre sí: esa información es la que pide tanto la policía como cualquier asesoría legal o de protección de datos que consultes después. Cuanto antes se reúna, más fiable es.

Solo si ese equipo estaba realmente aislado del infectado antes de que empezara el cifrado: sin unidades de red compartidas, sin el mismo NAS montado, y preferiblemente en un tramo de red distinto. Si comparte el mismo router o switch sin ninguna segmentación, «seguir trabajando» en él es exponerlo al mismo recorrido que ya siguió el ransomware por la red, solo que unas horas más tarde. Antes de usarlo, comprueba qué unidades tiene mapeadas y desconéctalas aunque parezcan sanas. La pregunta que decide si es seguro no es si ese PC muestra síntomas, es si tenía alguna vía de acceso al mismo recurso que tenía el equipo infectado. Si la respuesta es que no lo sabes con certeza, trátalo como si estuviera en riesgo: desconéctalo de la red hasta que alguien revise toda la infraestructura, no solo el equipo que mostró los síntomas.

No hay una respuesta única, y depende de dos cosas que se deciden antes del incidente. La primera es si existe una copia de seguridad verificada y accesible: si la hay, el trabajo consiste en reconstruir el equipo desde cero y restaurar sobre él, un proceso que depende del volumen de datos y del número de equipos afectados. La segunda es si no hay copia, en cuyo caso el disco entra en un proceso de recuperación cuyo alcance depende del tipo de cifrado, de si se ha escrito algo encima después del ataque, y de si existen herramientas capaces de revertir esa familia concreta de ransomware, que no siempre existen. Lo que realmente marca la diferencia entre volver rápido y quedarse parado mucho tiempo se decide antes de que pase nada: tener una copia fuera del equipo que el ransomware no pudiera tocar. Eso es lo único que está bajo tu control hoy.