Qué ocurre después de un ransomware: costes, tiempos de recuperación y decisiones críticas en las primeras 72 horas

Una empresa puede pasar de funcionar con normalidad a tener sus sistemas bloqueados en cuestión de horas. Cuando un ransomware cifra servidores, equipos o unidades compartidas, cada minuto cuenta para contener el ataque, recuperar la actividad y determinar qué información puede haberse expuesto.

El coste de la inactividad puede alcanzar entre 4.000 y 7.500 euros por minuto, y la recuperación puede alargarse un 25 % más de lo previsto.

Por eso, las primeras 72 horas son decisivas para contener el incidente, recuperar los sistemas y evitar que el ataque se convierta en una crisis prolongada.

Las primeras 72 horas después de un ransomware

No todas las empresas afrontan un ransomware de la misma manera. El alcance del ataque, la existencia de copias de seguridad aisladas y la capacidad para identificar hasta dónde ha llegado el atacante condicionan directamente el tiempo de recuperación.

El objetivo durante esta fase no debe ser recuperar los sistemas lo antes posible sin más, sino recuperarlos de forma segura, evitando que el atacante mantenga acceso a la infraestructura.

¿Qué ocurre realmente después de un ataque de ransomware?

El cifrado de archivos suele ser solo una parte del problema. Cuando el ataque alcanza sistemas críticos, pueden quedar afectados servicios necesarios para facturar, gestionar pedidos, comunicarse con clientes o mantener procesos internos.

Además, muchos grupos de ransomware utilizan técnicas de doble extorsión. Antes de cifrar los sistemas pueden extraer información y utilizarla posteriormente para presionar a la empresa mediante amenazas de publicación o venta de los datos.

Por ello, después de un ataque es necesario responder a dos preguntas diferentes: qué sistemas han dejado de funcionar y qué información puede haber quedado comprometida.

¿Cómo determinar el alcance de un ransomware?

Antes de comenzar una restauración es necesario conocer hasta dónde ha llegado el ataque. Algunas comprobaciones permiten establecer una primera fotografía de la situación:

• Sistemas afectados: identificar qué equipos, servidores, aplicaciones y unidades de red presentan signos de cifrado o comportamiento anómalo.
• Copias de seguridad: comprobar si los backups siguen disponibles y si el atacante ha intentado eliminarlos o cifrarlos.
• Cuentas comprometidas: revisar las identidades utilizadas durante el ataque y detectar accesos administrativos o movimientos laterales.
• Exfiltración de información: analizar las comunicaciones de red y los registros disponibles para determinar si se han transferido datos fuera de la organización.
• Punto de entrada: identificar cómo consiguió acceder el atacante para evitar que vuelva a utilizar la misma vía durante la recuperación.

Esta fase es fundamental porque restaurar los sistemas sin haber contenido completamente el acceso del atacante puede volver a poner en riesgo la infraestructura.

¿Cuánto puede tardar una empresa en recuperarse?

El tiempo de recuperación depende principalmente del alcance del incidente y del nivel de preparación previo de la organización.

Una empresa con copias de seguridad aisladas, procedimientos de recuperación definidos y una infraestructura correctamente segmentada puede recuperar determinados servicios con mayor rapidez. Cuando estos mecanismos no existen o las copias también han sido afectadas, la recuperación puede prolongarse durante semanas.

Además de restaurar los datos, es necesario limpiar los equipos afectados, comprobar que no existen accesos persistentes y validar los sistemas antes de devolverlos a producción.

Por eso, tener un backup no significa necesariamente estar preparado para recuperar la actividad. También hay que comprobar periódicamente que puede restaurarse y que el atacante no puede acceder a él.

¿Qué decisiones son críticas durante las primeras horas?

La presión por recuperar la actividad puede llevar a cometer errores que dificulten posteriormente la investigación o permitan que el ataque continúe.

Aislar antes de restaurar

Los equipos y servidores afectados deben aislarse para limitar la propagación. Restaurar sistemas mientras el atacante mantiene acceso puede provocar una nueva infección.

Preservar las evidencias

Evita formatear o reiniciar sistemas de forma indiscriminada. Los registros, equipos afectados y demás evidencias pueden ayudar a determinar el origen, alcance y evolución del ataque.

Proteger las identidades

Las credenciales comprometidas deben revisarse y, cuando corresponda, revocarse. Las cuentas administrativas requieren especial atención porque pueden haber sido utilizadas para desplazarse por la infraestructura.

Evaluar la exposición de datos

No debe asumirse que el ransomware únicamente ha cifrado información. Es necesario analizar si los atacantes han accedido o extraído datos personales, financieros, comerciales o propiedad intelectual.

¿Qué ocurre con las obligaciones legales?

Cuando un incidente implica datos personales, la empresa debe determinar si existe una brecha de seguridad y cuáles son sus obligaciones de notificación y gestión.

El análisis debe incluir qué información se ha visto afectada, a qué personas corresponde, cuándo se produjo el acceso y qué medidas se han aplicado para contener el incidente.

Además, las organizaciones sujetas a determinados requisitos regulatorios pueden tener obligaciones adicionales de comunicación y gestión de incidentes. Por eso, la respuesta técnica debe coordinarse desde el principio con las áreas responsables de cumplimiento y gestión legal.

¿Cómo reducir el tiempo de recuperación ante un ransomware?

La recuperación empieza antes de que se produzca el ataque. Una estrategia de resiliencia debe permitir mantener el control de la infraestructura incluso cuando parte de los sistemas han quedado comprometidos.

• Copias de seguridad aisladas e inmutables: disponer de varias copias protegidas frente al borrado o cifrado permite recuperar los sistemas sin depender del atacante.
• Segmentación de la infraestructura: separar sistemas y servicios críticos limita la capacidad del ransomware para propagarse por toda la organización.
• Monitorización continua: detectar comportamientos anómalos, movimientos laterales o accesos sospechosos permite actuar antes de que el cifrado alcance más sistemas.
• Pruebas de recuperación: comprobar periódicamente que los backups pueden restaurarse permite conocer el tiempo real necesario para recuperar la actividad.
• Planes de respuesta: definir previamente quién debe actuar, qué sistemas se aíslan y cómo se coordina la recuperación evita improvisar durante una situación de máxima presión.

ESED, ciberseguridad proactiva frente al ransomware

Prepararse frente al ransomware no consiste únicamente en evitar que un atacante entre. También implica saber cuánto tardaría la empresa en recuperar su actividad si consiguiera hacerlo.

Una estrategia de ciberseguridad eficaz debe combinar prevención, detección, capacidad de respuesta y recuperación. Cuanto mayor sea la visibilidad sobre la infraestructura y más preparados estén los procedimientos de recuperación, menor será la dependencia de decisiones improvisadas durante el incidente.

En ESED trabajamos con un modelo de ciberseguridad gestionada basado en prevención, monitorización continua y respuesta, ayudando a las empresas a detectar amenazas, contener incidentes y reforzar su capacidad de recuperación.

Nuestro modelo de tarifa fija mensual permite mantener los sistemas bajo supervisión continua y planificar la inversión en ciberseguridad sin depender de costes imprevistos cuando se produce un incidente.