Si sospechas de ransomware, deja de usar el equipo, desconéctalo de la red cableada y WiFi sin apagarlo, avisa al responsable designado y registra lo que observaste. No abras la nota de rescate, no conectes respaldos ni intentes restaurar de inmediato: primero hay que contener el incidente, preservar evidencia y saber qué sistemas o cuentas están afectados.

Los primeros minutos influyen en la propagación y en la calidad del diagnóstico. La prioridad no es recuperar todos los archivos cuanto antes, sino evitar que más equipos sincronicen o cifren información, mantener una comunicación controlada y preparar una recuperación desde un entorno confiable.

Primeros pasos ante una posible infección de ransomware

  • Detén la actividad en el equipo y no sigas abriendo archivos, correos o enlaces.
  • Desconecta el cable de red y desactiva WiFi o cualquier otra conexión disponible.
  • No apagues ni reinicies mientras sea posible aislar el equipo; la memoria y los registros pueden aportar evidencia.
  • Retira unidades externas sólo para evitar que sigan expuestas, sin conectarlas a otro dispositivo.
  • Avisa por un canal acordado al responsable de TI, seguridad o dirección; no uses una cuenta que pudiera estar comprometida.
  • Anota hora, usuario, equipo, actividad realizada, mensaje visible y recursos que estaban abiertos.
  • Toma una fotografía de la pantalla sin interactuar con la nota ni copiar archivos desde el equipo.
  • Indica a otros usuarios que reporten síntomas y eviten conectar dispositivos personales o respaldos.

Si no es posible desconectar un equipo de la red, apagarlo puede ser una medida de contención, pero también elimina evidencia volátil. La decisión debe tomarla el responsable técnico según la propagación observada. Cuando varios equipos o servidores muestran síntomas, no conviene desconectar infraestructura al azar: una acción coordinada puede contener mejor el alcance y conservar servicios esenciales.

La guía oficial StopRansomware de CISA recomienda identificar e aislar de inmediato los sistemas afectados, preservar evidencia y priorizar la recuperación de servicios críticos en una red limpia. La empresa debe adaptar esa referencia a su propio plan y a la orientación de especialistas.

Activa un responsable y un canal de coordinación

Una persona debe coordinar decisiones, registrar acciones y confirmar quién participa. El equipo puede incluir dirección, TI, operaciones, administración, proveedores, asesoría legal y responsables de datos o comunicación, según el caso. Esto evita que varios proveedores modifiquen sistemas al mismo tiempo o que cada área emita instrucciones distintas.

La comunicación técnica puede realizarse por teléfono u otro medio fuera de las cuentas sospechosas. El registro debe indicar qué se aisló, quién autorizó cada acción y qué queda pendiente. No compartas capturas, archivos o notas de rescate en grupos amplios; pueden contener información sensible o dificultar la conservación de evidencia.

Delimita el alcance antes de limpiar o restaurar

Que un equipo muestre una nota no demuestra que el incidente esté limitado a ese dispositivo. La revisión debe considerar cuentas, correo, accesos remotos, servidores, carpetas compartidas, almacenamiento en nube, consolas administrativas y respaldos accesibles desde la misma red o credenciales.

  • Equipos con archivos cifrados, extensiones nuevas, notas de rescate o procesos inusuales.
  • Servidores y carpetas a los que accedió el usuario o dispositivo afectado.
  • Cuentas utilizadas recientemente, administradores, accesos remotos y sesiones activas.
  • Alertas de antivirus, protección de endpoint, correo, firewall, VPN y servicios en nube.
  • Cambios de configuración, cuentas nuevas o permisos elevados sin explicación.
  • Respaldos conectados, sincronizaciones y copias que pudieran haber recibido archivos cifrados.
  • Sistemas aparentemente sanos que deben conservarse separados hasta completar la revisión.

También debe evaluarse si hubo acceso o extracción de información antes del cifrado. No anuncies una filtración ni la descartes sin evidencia. Si pudieran existir datos personales, contractuales, financieros o de terceros involucrados, la empresa necesita asesoría legal para definir obligaciones y comunicaciones aplicables al caso.

Los atacantes suelen aprovechar cuentas con privilegios o accesos que ya no deberían estar activos. Consulta cómo auditar accesos empresariales para identificar administradores, proveedores, cuentas compartidas y bajas pendientes durante la revisión.

Preserva evidencia sin convertirla en otro riesgo

La evidencia puede ayudar a establecer el momento de detección, los recursos involucrados y la posible ruta de acceso. Incluye fotografías, nota de rescate, nombres de archivos, registros, alertas, correos sospechosos y una cronología de acciones. El análisis forense y la captura de memoria o imágenes de disco deben quedar a cargo de personal con experiencia.

No subas muestras a sitios públicos ni abras archivos potencialmente maliciosos en otra computadora. Conserva evidencia en un medio y repositorio controlados, con responsables y acceso limitado. Si participa una aseguradora, asesoría legal o autoridad, confirma qué información necesita y cómo debe entregarse.

No restaures hasta controlar la causa y las credenciales

Restaurar sobre un entorno que todavía tiene acceso no autorizado puede volver a cifrar los datos. Antes de recuperar, se deben identificar cuentas y sistemas comprometidos, eliminar persistencia, corregir la vía de entrada conocida, actualizar componentes y preparar una red o segmento limpio.

Los cambios de contraseña y revocación de sesiones deben coordinarse desde dispositivos confiables. Cambiar una clave desde un equipo comprometido puede exponer la nueva. También conviene revisar cuentas de servicio, llaves, accesos remotos y autenticación adicional, sin bloquear a ciegas dependencias que la recuperación necesita.

Valida respaldos antes de conectarlos

Un respaldo útil debe estar disponible, separado del entorno afectado y corresponder a un momento anterior al incidente. Antes de conectarlo, confirma inventario, fecha, integridad, permisos y método de restauración. Una copia sincronizada o conectada permanentemente puede haber recibido los mismos cambios que el origen.

La recuperación mejora cuando la empresa ya definió cómo configurar y probar respaldos de servidores. Durante el incidente, la prueba debe hacerse en un entorno controlado para comprobar que los datos pueden abrirse sin reintroducir el problema.

Recupera servicios por prioridad de negocio

No todos los sistemas deben volver al mismo tiempo. Dirección y responsables operativos necesitan definir qué procesos sostienen comunicación, ingresos, atención a clientes, administración, seguridad o entregas. Después se restauran sus dependencias en orden y se valida la operación con usuarios autorizados.

  • Preparar infraestructura limpia y accesos administrativos controlados.
  • Corregir configuraciones, vulnerabilidades y credenciales relacionadas con el incidente.
  • Restaurar primero servicios críticos y sus dependencias verificadas.
  • Comprobar datos, permisos, integraciones y funciones esenciales con el área responsable.
  • Reconectar usuarios y equipos por etapas, con monitoreo reforzado.
  • Registrar diferencias, información no recuperada y alternativas temporales.
  • Autorizar el regreso a operación con criterios definidos, no sólo porque el sistema enciende.

Para ordenar responsables, objetivos y secuencia de regreso, consulta la guía de recuperación ante desastres de TI para pymes. Un respaldo forma parte del plan, pero no sustituye las decisiones de continuidad ni la validación del proceso.

La decisión sobre el rescate necesita análisis especializado

Pagar no garantiza una clave funcional, la recuperación completa ni que la información deje de circular. Además, pueden existir consideraciones legales, contractuales, de seguros y de relación con autoridades que la empresa debe revisar con especialistas antes de tomar una decisión.

No permitas que la presión del atacante sustituya el diagnóstico. Dirección debe conocer sistemas afectados, respaldos recuperables, alternativas de operación y evidencia disponible antes de decidir. SOATI no negocia ni promete descifrado; su participación técnica debe definirse dentro del alcance y en coordinación con los especialistas que requiera el caso.

Comunica hechos y evita promesas prematuras

Una actualización interna debe indicar qué servicios están afectados, qué actividades deben detenerse, qué canal usar y cuándo llegará el siguiente reporte. Evita atribuir el ataque, confirmar pérdida de datos o prometer una fecha de recuperación sin análisis.

Si clientes, proveedores o colaboradores dependen de un servicio, la empresa puede preparar alternativas temporales con información confirmada. Las notificaciones sobre datos o incidentes deben revisarse con asesoría legal y responsables internos; una guía técnica general no sustituye esa evaluación.

Caso práctico común: una carpeta compartida comienza a cifrarse

Una oficina detecta que varios documentos compartidos cambiaron de extensión después de que una persona abrió un adjunto. Dos usuarios intentan reiniciar sus equipos y otro conecta un disco para copiar archivos. Nadie sabe quién coordina la respuesta ni si el servidor y la copia nocturna están afectados.

Como situación ilustrativa, la empresa detiene esas acciones, aísla los equipos, asigna un responsable, conserva evidencia y separa el respaldo. El diagnóstico revisa cuentas, correo, dispositivos y accesos al servidor. La recuperación comienza en un entorno limpio con la información prioritaria, y los usuarios regresan por etapas después de validar permisos y funciones.

El ejemplo no representa a un cliente ni asegura que todos los datos puedan recuperarse. Muestra por qué contención, evidencia, responsables y respaldos comprobados son más útiles que reinstalar equipos sin conocer el alcance.

Señales de que la respuesta necesita escalarse

  • Más de un equipo, servidor, cuenta o ubicación presenta síntomas.
  • Los archivos siguen cambiando aun después de aislar el primer dispositivo.
  • Hay cuentas administrativas, correo, VPN o servicios en nube involucrados.
  • Los respaldos están conectados al mismo entorno o no se han probado.
  • Existen indicios de acceso a datos sensibles o información de terceros.
  • No hay una cronología clara ni se conservan registros y alertas.
  • Varios proveedores están realizando cambios sin un coordinador.
  • La dirección recibe estimaciones de recuperación sin un inventario validado.

Qué puede atenderse a distancia y cuándo se requiere presencia

El análisis de alertas, cuentas, consolas, registros, correo, nube y respaldos puede comenzar a distancia mediante equipos y canales confiables, siempre con autorización. El soporte remoto también puede coordinar contención, inventario y priorización sin conectarse de forma indiscriminada a los dispositivos afectados.

Puede requerirse atención en sitio para aislar redes, recolectar evidencia, revisar servidores físicos, manipular medios, reconstruir infraestructura o trabajar cuando los accesos remotos no son confiables. La modalidad y cobertura dependen del alcance, ubicación, seguridad del entorno y especialistas participantes.

Cómo ayuda SOATI

SOATI puede apoyar a empresas a ordenar la respuesta técnica, identificar infraestructura y servicios prioritarios, revisar respaldos, coordinar recuperación y definir acciones preventivas dentro del alcance acordado. Cuando el incidente requiere análisis forense, negociación, asesoría legal o intervención de autoridades, debe integrarse al especialista correspondiente.

  • Inventario inicial de equipos, servidores, cuentas, nube y respaldos involucrados.
  • Apoyo para contención técnica y coordinación con responsables autorizados.
  • Priorización de servicios y dependencias para recuperar la operación.
  • Validación y restauración de copias dentro de un entorno preparado.
  • Revisión de accesos, actualizaciones, correo, red y medidas preventivas.
  • Documentación de acciones, pendientes y recomendaciones posteriores al incidente.
  • Soporte remoto o en sitio según cobertura, condiciones y propuesta.

La posibilidad de recuperación, tiempos, costos y alcance dependen del daño, la evidencia, la disponibilidad de respaldos y la infraestructura. Ningún proveedor responsable puede garantizar que un incidente no ocurrirá o que toda la información será recuperable.

Si no existe un incidente activo, utiliza esta guía para asignar responsables, probar respaldos y revisar controles. Después conoce cómo los servicios administrados de TI pueden integrar soporte, inventario, accesos, respaldo y seguimiento preventivo de acuerdo con la operación de tu empresa.