Errores críticos en las primeras horas de un ransomware a evitar

Cuando el ransomware ejecuta su carga útil en la red de una empresa, el reloj empieza a correr en su contra. La fase inicial de un incidente de ciberseguridad, conocida en la industria de la ciberseguridad como las "horas doradas" (Golden Hours), determina si el ataque se traducirá en un parón operativo temporal o en un incidente grave que terminará provocando grandes pérdidas económicas y crisis reputacional.

En la gestión de ciberataques, la experiencia demuestra que la mayoría de los daños graves no los causa exclusivamente el malware inicial, sino la respuesta precipitada, desordenada e inexperta del equipo técnico y directivo en las primeras cuatro horas.

Los 6 errores más graves durante la respuesta inicial a un ataque de ransomware

1. Apagar precipitadamente los equipos infectados

Frente a una pantalla de rescate o archivos cambiando de extensión masivamente, la reacción visceral de muchos administradores de sistemas es desenchufar o apagar los servidores y estaciones de trabajo.

Por qué esta reacción

Existe la creencia errónea de que apagar la máquina frena instantáneamente el avance del ataque y "salva" los archivos restantes.

Cuál es el impacto de esta reacción

Al apagar el equipo, se destruye la memoria volátil (RAM). En ella residen evidencias digitales críticas:

• Las claves de descifrado temporales que algunos tipos de ransomware almacenan en memoria antes de borrarlas del disco.
• Los procesos maliciosos en ejecución y las conexiones de red activas con los servidores de Control y Comando (C2) del ciberdelincuente.
• Inyecciones de código en memoria que permiten identificar el tipo exacto de amenaza o la variante utilizada.

Además, si el equipo utilizaba cifrado de disco completo (como BitLocker), apagarlo puede dificultar la extracción forense posterior.

Lo que se recomienda

En lugar de apagar el equipo, la acción inmediata debe ser el aislamiento de red:

• Desconectar físicamente el cable Ethernet de la interfaz.
• Desactivar las tarjetas de red inalámbricas (Wi-Fi y Bluetooth).
• Si el entorno cuenta con una solución EDR (Endpoint Detection and Response), ejecutar el aislamiento lógico del dispositivo desde la consola centralizada.
• Si es imprescindible detener la máquina sin perder la memoria, se debe forzar la hibernación o realizar un volcado de RAM (RAM dump) si se dispone de las herramientas para ello.

2. Restaurar las copias de seguridad sin identificar el vector de entrada ni auditar la persistencia

El deseo de recuperar la operatividad lo antes posible lleva a muchas organizaciones a iniciar el proceso de restauración (restore) a los pocos minutos de detectar el incidente.

Cuáles son sus consecuencias

Los ataques de ransomware no son incidentes puntuales, sino intrusiones complejas con un tiempo de residencia (dwell time) en la red que puede oscilar entre días y meses. Si se restauran las copias de seguridad sin haber cerrado la brecha previa:

• Los ciberdelincuentes mantendrán las credenciales comprometidas o los mecanismos de persistencia (tareas programadas, servicios maliciosos, webshells o modificaciones en el Active Directory).
• El ransomware se volverá a ejecutar, cifrando también los volúmenes recién restaurados.
• Se corre el riesgo de sobreescribir la única copia de seguridad limpia si los respaldos automáticos continúan ejecutándose sobre entornos infectados.

Qué hacer antes de la restauración

Antes de volcar cualquier backup en producción:

1. Identificar la causa raíz: Comprender cómo entraron los ciberdelincuentes (explotación de un firewall sin parchear, credenciales robadas de VPN, phishing, etc.).
2. Erradicar la persistencia: Revocar credenciales comprometidas, aislar el Active Directory si ha sido expuesto y cerrar los vectores de entrada.
3. Desplegar un entorno limpio: Restaurar los sistemas en una red aislada o "Sandbox de recuperación" para validar que no existen componentes maliciosos latentes.

3. Negociar o pagar el rescate de forma precipitada y sin asesoramiento experto

Frente a la paralización de la actividad, la tentación de pagar el rescate exigido por los ciberdelincuentes parece la vía rápida de salida.

Mitos sobre el pago y la realidad de los descifradores

En ESED, como especialistas en ciberseguridad, lo tenemos claro, al igual que otras organizaciones y entidades especializadas. Pagar o ceder a las negociaciones de los ciberdelincuentes solo puede provocar lo siguiente:

• Fallas técnicas: Los descifradores proporcionados por los ciberdelincuentes suelen ser lentos, ineficientes y propensos a corromper bases de datos complejas (como Microsoft SQL o entornos Oracle).
• Ausencia de garantías: Pagar no garantiza recuperar la totalidad de los datos. En un porcentaje elevado de casos, los ciberdelincuentes solicitan un segundo pago o entregan claves incompletas.
• Doble y triple extorsión: Aunque se obtenga el descifrador, si la información fue exfiltrada previa al cifrado, la extorsión continuará mediante la amenaza de publicar datos confidenciales.

Riesgos legales y regulatorios

En la Unión Europea y bajo el marco de sanciones internacionales, realizar pagos a ciertos grupos cibercriminales vinculados a estados sancionados o entidades terroristas puede constituir un delito penal para la propia empresa victimizada.

4. Ocultar el incidente o demorar la notificación legal (RGPD / NIS2 / INCIBE)

Intentar resolver la crisis "a puerta cerrada" para proteger la reputación corporativa suele derivar en sanciones económicas que superan los costes del propio ataque.

La regla de las 72 horas del RGPD y requerimientos NIS2

En el ámbito español y europeo, la normativa es estricta:

• Reglamento General de Protección de Datos (RGPD): Si se confirma que el incidente afecta a datos de carácter personal y supone un riesgo para los derechos y libertades de las personas, existe la obligación legal de notificar a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas desde que se tiene constancia del problema.
• Directiva NIS2: Las empresas pertenecientes a sectores esenciales o importantes deben enviar un primer aviso de alerta temprana a su CSIRT de referencia (INCIBE-CERT o CCN-CERT) en un plazo máximo de 24 horas.

Cómo gestionar la comunicación interna y externa

Ocultar el ataque mina la confianza de clientes, empleados y proveedores. Es necesario establecer una estrategia de comunicación transparente pero rigurosa, donde la información difundida esté validada por el equipo técnico y legal de la empresa.

5. Alterar la evidencia digital (modificación de logs y sobrescritura de discos)

Durante las primeras intervenciones, es habitual que el personal técnico intente "limpiar" el sistema ejecutando antivirus tradicionales o reinstalando sistemas operativos sobre las máquinas afectadas.

La importancia de la cadena de custodia

Estas acciones modifican los metadatos de los archivos, eliminan registros de eventos (event logs) y destruyen artefactos que son fundamentales para:

• Determinar qué datos concretos han sido exfiltrados por los ciberdelincuentes.
• Presentar pruebas válidas ante las compañías aseguradoras de ciberriesgos para tramitar la indemnización.
• Sustentar una denuncia formal ante las Unidades de Ciberdelincuencia de la Policía Nacional o Guardia Civil.

Preservación de logs centralizados

Los registros de actividad de firewalls, VPN, servidores proxy, controladores de dominio y consolas EDR deben ser preservados inmediatamente, exportándolos a repositorios seguros fuera del alcance de los ciberdelincuentes.

6. Carecer de un canal de comunicación alternativo (Out-of-Band) e improvisar roles

Si el ataque compromete el servidor de correo electrónico corporativo (Microsoft Exchange / Google Workspace) o el directorio activo, continuar utilizando la infraestructura habitual para coordinar la respuesta es un error crítico.

El riesgo de la monitorización por parte del ciberdelincuente

Los actores de amenazas experimentados monitorizan los buzones de correo y los canales internos de chat (como Teams o Slack) para evaluar si han sido descubiertos y anticiparse a las medidas de contención de la empresa.

Canales Out-of-Band y asignación de roles

Es vital disponer previamente de un protocolo de comunicación fuera de banda (Out-of-Band), utilizando aplicaciones cifradas independientes y cuentas no vinculadas al dominio de la empresa. Asimismo, la improvisación en la toma de decisiones ralentiza la respuesta; cada miembro del comité de crisis (IT, Dirección, Asesoría Jurídica, Comunicación) debe conocer su función desde el minuto uno.

Protocolo a seguir: Qué hacer exactamente en las primeras 4 horas

Para evitar caer en las trampas operativas descritas, las organizaciones deben seguir una

Fase 1: Contención inmediata (Horas 0 - 1)

• Desconexión de red: Aislar switches, redes Wi-Fi y conexiones VPN. No apagar servidores ni estaciones salvo indicación expresa de forenses.
• Bloqueo de accesos remotos: Desactivar temporalmente todas las conexiones VPN, puertos RDP expuestos y accesos de terceros.
• Revocación de credenciales: Forzar el cambio de contraseñas de todas las cuentas administrativas y de dominio.
• Establecer comunicaciones de emergencia: Migrar la gestión de la crisis a canales Out-of-Band.

Fase 2: Evaluación del alcance y triaje (Horas 1 - 2)

• Determinación del perímetro afectado: Identificar qué segmentos de red, servidores y bases de datos han sido cifrados o comprometidos.
• Verificación de copias de seguridad: Comprobar el estado del almacenamiento de backups (NAS, cinta, Cloud) y asegurar que sus accesos hayan sido desconectados del dominio principal.
• Convocatoria del Comité de Crisis: Reunir a los responsables de IT, Dirección General, DPO (Delegado de Protección de Datos) y asesores de ciberseguridad externos.

Fase 3: Preservación de evidencias y análisis forense (Horas 2 - 4)

• Exportación de registros: Copiar los logs de firewalls, DNS y controladores de dominio a un entorno seguro.
• Adquisición forense: Realizar volcados de memoria y copias bit a bit de las máquinas clave para la investigación.
• Notificación a la aseguradora y servicios gestionados: Informar a la compañía de ciberseguro y contactar con un equipo de Respuesta a Incidentes (DFIR) especializado.

Transformar la crisis en resiliencia operativa

Superar un ataque de ransomware requiere rigor metodológico, sangre fría y un conocimiento profundo de las tácticas, técnicas y procedimientos (TTP) utilizados por los ciberdelincuentes. La improvisación durante la primera hora suele traducirse en meses de inactividad, pérdidas económicas astronómicas y sanciones administrativas.

Disponer de un Plan de Respuesta a Incidentes (IRP) actualizado, sometido a simulacros periódicos y respaldado por un equipo de especialistas en ciberseguridad gestionada, no es un gasto prescindible, sino la única garantía real de continuidad de negocio en el panorama actual de ciberamenazas.