Ransomware: prepara tu empresa antes del ataque
Qué es el ransomware, cómo suele entrar y qué medidas reducen de verdad el riesgo: copias que se pueden restaurar, doble factor, parches y un plan de respuesta.
Por Zyro
El ransomware es un tipo de programa malicioso que cifra los ficheros de una empresa y exige un pago para devolverlos. Es una de las amenazas que más daño hace a organizaciones de todos los tamaños, porque ataca lo que más duele: la capacidad de seguir trabajando.
La buena noticia es que casi todo lo que reduce el riesgo es conocido, relativamente barato y se decide antes del ataque. Esta guía se centra en eso.
Cómo suele empezar
El ransomware rara vez aparece "de la nada". Normalmente hay una puerta de entrada previa:
- Correo de phishing con un enlace o un adjunto engañoso (ver cómo proteger a tu empresa del phishing).
- Credenciales robadas o reutilizadas, sobre todo si no hay doble factor.
- Servicios expuestos a Internet sin parchear o mal protegidos, como accesos remotos o VPN.
- Vulnerabilidades conocidas en software que lleva meses sin actualizarse.
Muchos grupos practican además la doble extorsión: antes de cifrar, copian información sensible y amenazan con publicarla. Por eso tener copias de seguridad ya no basta por sí solo: también hay que evitar que los atacantes lleguen a tus datos.
Las seis defensas que más importan
1. Copias de seguridad que se puedan restaurar
Aplica la regla 3-2-1: tres copias de tus datos, en dos tipos de soporte distintos, y una de ellas fuera de la empresa. Añade una copia aislada o inmutable, que un atacante con acceso a tu red no pueda borrar. Y lo más importante: prueba a restaurar. Una copia que nunca se ha restaurado es una esperanza, no una copia.
2. Autenticación multifactor
Actívala en el correo, en los accesos remotos, en las herramientas de administración y en cualquier servicio con datos importantes. Es una de las medidas con mejor relación coste-beneficio.
3. Parches al día
Prioriza los sistemas expuestos a Internet y las vulnerabilidades que ya se están explotando. Mira cómo hacerlo con orden en nuestra guía sobre CVE y CVSS.
4. Mínimo privilegio y segmentación
Cada persona debe tener solo los permisos que necesita, y la red no debe ser una sola pieza plana. Si un equipo cae, el atacante no debería poder llegar fácilmente a todo lo demás. Las cuentas de administrador deben usarse solo para administrar, no para leer el correo.
5. Detección y respuesta en los equipos
Un EDR bien configurado puede detectar comportamientos típicos del ransomware (cifrado masivo, borrado de copias) y aislar el equipo a tiempo. Eso sí: alguien tiene que atender las alertas, o la respuesta tiene que ser automática.
6. Un plan escrito y ensayado
Quién decide, a quién se llama, cómo se aísla la red, cómo se comunica. Lo desarrollamos en nuestra guía del plan de respuesta a incidentes.
Si ya estás infectado: los primeros pasos
- Aísla los equipos afectados de la red (desconecta el cable o el Wi-Fi), pero no los apagues si puedes evitarlo: en memoria puede quedar información útil para la investigación.
- Avisa a quien dirija la respuesta y a tu equipo técnico. Usa un canal que no dependa de los sistemas afectados.
- No borres nada ni reinstales equipos todavía: conserva evidencias.
- Protege las copias de seguridad: desconéctalas antes de que lleguen a ellas.
- Pide ayuda profesional. En España puedes llamar al 017, la línea de ayuda en ciberseguridad de INCIBE, y notificar a las fuerzas de seguridad.
- Valora las obligaciones legales: si hay datos personales afectados, puede que debas notificar una brecha a la AEPD en 72 horas.
¿Se debe pagar el rescate?
Las autoridades y los organismos de ciberseguridad recomiendan, con carácter general, no pagar: no hay garantía de recuperar los datos, financia a los delincuentes y puede marcarte como objetivo futuro. Es una decisión muy grave que debe tomarse con asesoramiento legal y técnico, no sola. La mejor forma de no tener que plantearse esa pregunta es contar con copias que funcionen.
Cómo trabajamos esto en Zyro
Con ZyroShield planteamos la defensa en dos frentes: encontrar los puntos de entrada antes que un atacante (plataforma ofensiva SPYDER) y detectar y contener un comportamiento sospechoso con respuesta automática (plataforma defensiva BRABUS). Lo resumimos en nuestra página de ciberseguridad. Si quieres revisar cómo estás, escríbenos.