Ransomware: qué hacer en la primera hora

El ransomware es un software malicioso que bloquea sus archivos o sistemas y exige un pago para liberarlos. Muchas veces los atacantes también copian sus datos antes y amenazan con publicarlos. Suele aparecer como una nota de rescate en la pantalla, archivos que de repente no abren o tienen extensiones extrañas, o varias computadoras fallando al mismo tiempo.

La primera hora es la más importante. Lo que haga en esos minutos decide hasta dónde se extiende el ataque, si sus copias de seguridad sobreviven y cuánta evidencia queda para los investigadores y su aseguradora. Este artículo es una guía en lenguaje sencillo para dueños de negocios. Imprímala y guárdela donde pueda encontrarla sin usar su computadora.

Minuto uno: detenga la propagación

El paso más importante es aislar los equipos infectados del resto. La recomendación de CISA es identificar los sistemas afectados y aislarlos de inmediato (CISA: I've been hit by ransomware, en inglés).

• Desconecte el cable de red y apague el Wi-Fi de cualquier computadora con señales de infección.
• No la apague. CISA desaconseja apagarla, salvo que no haya otra forma de desconectarla, porque apagarla puede destruir evidencia guardada en la memoria.
• Si hay varias computadoras afectadas, desconecte la oficina de internet y de la red interna, por ejemplo desenchufando el switch principal o el router de internet.
• Desconecte los discos de respaldo y el almacenamiento en red de inmediato, para que el ransomware no pueda alcanzarlos.

No haga clic en nada de la nota de rescate, no use herramientas de "eliminación de ransomware" encontradas en internet y no borre archivos. En su lugar, tómele una foto a la nota con su teléfono.

Minutos 5 a 15: haga las llamadas correctas

Llame, no envíe correos. Si los atacantes están dentro de su red, podrían leer el correo de la empresa. CISA recomienda usar un canal de comunicación separado, como llamadas telefónicas, para que los atacantes no se enteren de lo que usted está haciendo.

1. Su proveedor de TI. Debe conocer sus sistemas, tener acceso a sus herramientas de seguridad y poder empezar a contener el ataque rápidamente.
2. Su aseguradora cibernética. Muchas pólizas exigen aviso inmediato y tienen una línea directa que lo conecta con un equipo de respuesta aprobado. Contratar a sus propios proveedores externos antes de llamar a la aseguradora puede complicar un reclamo, así que revise su póliza ahora, antes de necesitarla.
3. La persona que decide. A partir de este momento, una sola persona, normalmente el dueño, debe tomar las decisiones, para que el personal no reciba instrucciones contradictorias.

Minutos 15 a 30: proteja la evidencia y sus opciones

• Anote una cronología. ¿Cuándo se notó el problema, quién lo vio, en qué computadora y qué apareció? Guarde estas notas en papel o en un teléfono, no en la red de la empresa.
• No borre ni reinstale nada todavía. Reinstalar una computadora parece productivo, pero puede destruir la evidencia que su proveedor de TI o su aseguradora necesitan para descubrir cómo entraron los atacantes. Si no se encuentra el punto de entrada, pueden volver.
• Cambie las contraseñas clave desde un equipo limpio. Cuando su proveedor de TI esté de acuerdo, cambie las contraseñas de los administradores del correo, del banco y de otras cuentas críticas desde una computadora o un teléfono que nunca haya estado en la red infectada. Asegúrese de que esas cuentas tengan la autenticación multifactor activada.
• Dígale al personal qué hacer. Breve y claro: no usar las computadoras afectadas, no hablar del incidente en redes sociales ni con clientes por ahora, y dirigir todas las preguntas a una sola persona.

Minutos 30 a 60: repórtelo y planifique la recuperación

Reporte el ataque. CISA menciona varias opciones: la propia CISA, la oficina local del FBI o el Centro de Denuncias de Delitos por Internet del FBI en ic3.gov. Las autoridades pueden conocer la variante del ransomware y, en algunos casos, saber si existe una herramienta para descifrar los archivos.

Sobre el pago: el FBI no recomienda pagar un rescate, porque financia más ataques y no garantiza que sus archivos vuelvan (FBI Tampa, en inglés). Decida lo que decida más adelante, no contacte a los atacantes por su cuenta en la primera hora. Esa conversación, si llega a darse, les corresponde a especialistas que trabajen con su aseguradora y su abogado.

Después, empiece a planificar la recuperación con su proveedor de TI:

• ¿Qué copias de seguridad están limpias? CISA recomienda restaurar desde copias fuera de línea, revisarlas antes en busca de malware oculto y recuperar primero los sistemas más críticos.
• ¿Qué necesita primero el negocio? Normalmente el correo, la contabilidad y los archivos o programas de los que dependen sus clientes.
• ¿Se robaron datos? Si es posible que se hayan copiado datos de clientes, pacientes o empleados, puede tener obligaciones legales de notificación. Su aseguradora y su abogado le orientarán.

Qué hace más fácil la primera hora

Todo lo anterior es más rápido cuando ya está decidido de antemano. Algunas cosas que vale la pena hacer este mes:

• Un plan de respuesta de una página con los teléfonos de su proveedor de TI, su aseguradora, su banco y el personal clave, impreso y guardado en su teléfono.
• Copias de seguridad separadas de su red y probadas con regularidad. En CyberArm, las copias de seguridad son un servicio adicional aparte, no forman parte de nuestros paquetes de seguridad, así que conviene revisar exactamente qué tiene. Nuestra guía de tecnología lista para huracanes cubre los mismos fundamentos de respaldo.
• Protección de equipos con alguien vigilándola, para detectar actividad sospechosa a tiempo, idealmente antes de que se cifren los archivos.
• Capacitación del personal contra el phishing, ya que muchos ataques empiezan con un correo. Nuestra guía para detectar facturas falsas y correos de cambio de pago es un buen punto de partida.

Cómo puede ayudar CyberArm

CyberArm Managed IT & Cybersecurity tiene su sede en Lake Mary y trabaja con pequeñas empresas en todo el Centro de Florida. Nuestros paquetes de ciberseguridad incluyen protección de equipos, monitoreo y planificación de respuesta, y nuestro equipo tiene más de 15 años de experiencia en TI, incluidos más de 4 años en el Departamento de Defensa (DoD).

En resumen

En la primera hora de un ataque de ransomware: desconecte, no apague, llame por teléfono a su proveedor de TI y a su aseguradora, proteja sus copias de seguridad, anótelo todo y repórtelo. No pague, no negocie y no borre nada hasta que intervengan los expertos. Si quiere saber qué tan preparada está su empresa hoy, nuestra evaluación gratuita de TI y seguridad revisa sus defensas y sus copias de seguridad y le entrega un Resumen Ejecutivo por escrito con las correcciones más importantes.