¿Qué debe hacer una empresa durante los primeros minutos de un posible ransomware?

Debe aislar los equipos afectados de la red sin borrar evidencia, activar responsables, proteger identidades privilegiadas y determinar el alcance antes de restaurar. La respuesta debe coordinar tecnología, dirección, asesoría legal y comunicaciones según el impacto.

Riesgos que conviene revisar

  • Apagar o reinstalar todos los equipos antes de preservar registros y evidencia.
  • Conectar respaldos al entorno comprometido antes de contener el acceso del atacante.
  • Comunicar o negociar desde cuentas de correo que también pueden estar comprometidas.
  • Restaurar sistemas sin corregir la vía inicial de acceso.

Recomendaciones seguras

  1. Desconecte de la red los equipos afectados y evite conectarlos a otros medios.
  2. Active el plan de incidentes y registre horas, síntomas, decisiones y responsables.
  3. Revise y proteja cuentas administrativas desde dispositivos confiables.
  4. Preserve registros, notas de rescate, encabezados, alertas y muestras sin alterarlas.
  5. Valide la integridad y separación de los respaldos antes de iniciar recuperación.
  6. Comunique por canales alternos y evalúe obligaciones legales y de notificación.

Respuesta organizada por tiempo

Primeros 15 minutos

  • Aísle de la red los equipos afectados sin borrar ni alterar evidencia.
  • Alerte a los responsables por un canal alternativo y confiable.
  • Registre la hora, los síntomas visibles y los sistemas inicialmente afectados.

Primera hora

  • Proteja las cuentas administrativas desde dispositivos confiables.
  • Preserve registros, notas de rescate, alertas y trazas sin modificarlas.
  • Determine qué sistemas, sedes y respaldos pueden estar expuestos.

Primeras 24 horas y recuperación

  • Valide la integridad y separación de los respaldos antes de restaurar.
  • Coordine decisiones técnicas, legales y de comunicación según el alcance.
  • Restaure solo después de contener el acceso y corregir la vía inicial identificada.

Cuándo buscar ayuda especializada

  • Hay cifrado, exfiltración, indisponibilidad de servidores o múltiples equipos afectados.
  • Los respaldos, hipervisores, correo o cuentas administrativas pueden estar comprometidos.
  • La organización no tiene un plan, evidencia preservada o personal para contener el incidente.

Fuentes de referencia

Estas fuentes públicas orientan buenas prácticas generales. No sustituyen una evaluación del entorno.