Las primeras horas tras un ataque de ransomware son determinantes. Una reacción caótica o tardía puede permitir que el malware se propague a toda la red corporativa, destruya copias de respaldo y comprometa información confidencial. La gestión de este tipo de crisis exige un Plan de Respuesta a Incidentes (Incident Response Plan – IRP) ejecutado con precisión militar.
A continuación, se detallan los pasos y protocolos críticos que una empresa debe seguir de manera inmediata al confirmar una infección por ransomware.
Fase 1: Contención y Aislamiento (Minutos 0 – 30)
El objetivo prioritario en el primer momento no es curar el equipo, sino evitar que la infección se expanda al resto de la infraestructura de la red.
- Aislamiento físico y lógico inmediato:
- Desconecta físicamente el cable de red (Ethernet) y desactiva las tarjetas Wi-Fi y Bluetooth de todos los equipos y servidores que muestren signos de cifrado.
- Si la infraestructura lo permite mediante consolas de gestión centralizada o EDR, ejecuta un aislamiento de red remoto (Network Isolation) de los endpoints afectados para cortar la comunicación lateral manteniendo el canal de análisis forense activo.
- Apagado de recursos compartidos (NAS / SAN):
- Desconecta de inmediato los discos de red compartidos y repositorios de almacenamiento centralizado para evitar que el ransomware cifre las carpetas corporativas compartidas.
- Precaución con el apagado de equipos:
- Regla de oro: Si un servidor crítico o equipo principal aún no ha sido cifrado pero estuvo expuesto, apágalo por completo de forma física (desconectando la energía) para preservar el estado de la memoria RAM y evitar que el proceso malicioso continúe ejecutándose. No reinicies equipos ya cifrados a la ligera para no perder rastros volátiles si se requiere análisis forense profundo.
Fase 2: Triaje y Evaluación del Impacto (Minutos 30 – 120)
Una vez contenida la brecha, es fundamental dimensionar el alcance real de la emergencia para tomar decisiones informadas.
- Identificar la variante del ransomware:
- Localiza la nota de rescate dejada en los equipos o examina la extensión de los archivos cifrados. Herramientas en línea como ID Ransomware permiten identificar la familia del malware (ej. LockBit, BlackCat, Akira). Esto es vital para saber si existe una herramienta de descifrado pública (decryptor) disponible.
- Determinar el vector de entrada:
- Revisa los registros de acceso remoto (VPN, RDP) y las alertas del EDR/Antivirus para identificar por dónde ingresó el atacante y si las credenciales de administrador de dominio siguen comprometidas.
- Auditar el estado de los respaldos:
- Verifica de inmediato si los respaldos bajo la regla 3-2-1 se encuentran limpios, inmutables y seguros, o si el ransomware logró alcanzar los discos locales de respaldo.
Fase 3: Activación del Comité de Crisis y Notificación (Horas 2 – 4)
Un ataque de ransomware no es solo un problema técnico de TI; es una crisis corporativa, legal y operativa.
- Convocatoria del equipo multidisciplinario:
- Activa el comité de respuesta compuesto por el Director de TI / CISO, la dirección general, el departamento legal y el equipo de comunicación corporativa.
- Cambio masivo de credenciales críticas:
- Si hay sospecha de compromiso en el Directorio Activo (Active Directory), fuerza el reseteo inmediato de todas las contraseñas de cuentas de administración, cuentas de servicio y usuarios clave, y revoca todos los tokens de sesión activos.
- Evaluación legal y regulatoria:
- Dependiendo de la industria y la legislación local (como normativas de protección de datos o regulaciones financieras), evalúa si es obligatorio notificar a las autoridades competentes o a los clientes afectados, especialmente si se confirma exfiltración de datos (doble extorsión).
Fase 4: Mitigación, Recuperación y Restauración (Horas 4 en adelante)
Una vez garantizado que el entorno está limpio y que el atacante ya no tiene acceso a la red:
- Sanitización de endpoints:
- Formatea por completo e reinstala desde cero el sistema operativo (imagen limpia) de los equipos afectados. No intentes «limpiar» un equipo cifrado con antivirus tradicionales, ya que las puertas traseras pueden seguir ocultas.
- Restauración controlada desde los backups:
- Restaura los datos y servidores críticos utilizando las copias de seguridad aisladas (fuera de línea o en la nube inmutable). Verifica la integridad de los datos restaurados antes de volver a conectarlos a la red de producción.
- Parcheo de la vulnerabilidad:
- Cierra la brecha de seguridad original (actualiza el software vulnerable, deshabilita puertos RDP públicos o refuerza las políticas de autenticación MFA) antes de reanudar la operación normal.
Resumen de prioridades en las primeras horas
| Tiempo Transcurrido | Acción Crítica Principal | Responsable Principal |
| 0 – 30 min | Aislamiento físico/lógico de equipos y red | Equipo de Soporte / TI |
| 30 – 120 min | Identificación de variante y revisión de backups | Administrador de Sistemas / Seguridad |
| 2 – 4 horas | Activación de crisis, reseteo de claves y legal | Dirección / CISO / Legal |
| 4+ horas | Sanitización de equipos y restauración limpia | Equipo de Infraestructura |