Plan de Respuesta a Incidentes de Ransomware: Las Primeras 24 Horas

Las empresas que salen mejor libradas de un ataque de ransomware casi nunca son las que tenían la mejor tecnología. Son las que tenían claro, antes de que ocurriera cualquier cosa, exactamente qué hacer en las primeras horas. Improvisar bajo presión — con sistemas caídos, un chat de WhatsApp de directivos preguntando qué está pasando, y un reloj que corre en contra — es la forma más segura de cometer errores que se vuelven irreversibles. Esta guía describe, de forma realista y hora por hora, cómo debería verse la respuesta.

El instinto natural cuando algo se ve mal es apagar todo. Es, casi siempre, el instinto equivocado. Apagar sistemas de golpe puede destruir evidencia forense volátil — información en memoria RAM que desaparece al apagar el equipo — y en algunos casos puede activar rutinas de cifrado adicionales que el malware tiene programadas como respuesta a un intento de detención abrupta.

Lo correcto en esta primera hora es aislar, no apagar: desconectar de la red los sistemas afectados (desconectando el cable de red o deshabilitando el WiFi, no apagando el equipo), para detener la propagación lateral sin perder evidencia. Si hay duda sobre qué sistemas están comprometidos, es mejor pecar de cauteloso y aislar más de lo estrictamente necesario.

Este es el momento de activar formalmente el plan de respuesta — no de empezar a diseñarlo. Si tu empresa no tiene uno definido de antemano, contar con un equipo externo de respuesta ante incidentes 24/7 que pueda entrar de inmediato es lo que reemplaza esa preparación previa.

En paralelo, alguien debe empezar a documentar con marcas de tiempo exactas: cuándo se detectó el primer indicio, qué sistemas se identificaron como afectados, qué acciones se tomaron y en qué orden. Esta documentación no es un ejercicio burocrático — es la base de cualquier análisis forense posterior, de cualquier reclamo ante el seguro, y de cualquier proceso legal bajo la Ley 1273.

Antes de tomar cualquier decisión importante — incluida la de si considerar pagar un rescate — es necesario entender qué pasó realmente. ¿Qué sistemas están cifrados? ¿Hay evidencia de exfiltración de datos, lo que apuntaría a un escenario de doble extorsión? ¿Los backups siguen intactos y aislados, o también fueron comprometidos? Esta evaluación técnica es lo que determina, más que cualquier otro factor, cuáles son las opciones reales disponibles.

Mientras el equipo técnico trabaja en la contención y el diagnóstico, alguien en la organización necesita definir qué se comunica, a quién, y cuándo. Esto incluye comunicación interna (empleados que necesitan saber qué está pasando sin generar pánico innecesario), comunicación con clientes o socios si hay impacto en el servicio, y la evaluación de las obligaciones legales de reporte que explicamos en detalle en nuestra guía sobre cuándo es obligatorio reportar un ciberataque en Colombia.

Un error común en esta etapa es el silencio total, que suele generar más desconfianza a largo plazo que una comunicación honesta aunque incompleta sobre lo que se sabe hasta el momento.

Con el alcance ya evaluado, es momento de definir el camino de recuperación: restaurar desde backups si están disponibles y limpios, buscar herramientas de descifrado si existe una para la variante específica, o evaluar la opción de pago si ninguna de las anteriores es viable — una decisión que desarrollamos en detalle en nuestra guía sobre si se debe pagar el rescate de un ataque de ransomware. También es el momento de revisar las opciones específicas de recuperación técnica que cubrimos en nuestra guía sobre cómo recuperar archivos sin pagar.

Un plan de respuesta que se escribe por primera vez durante el incidente ya llega tarde. Lo mínimo que debería existir de antemano: