El secuestro de datos es el único incidente informático que puede parar una empresa pequeña en seco. No roba información: la cifra donde está y pide dinero por la llave.
Este artículo es para dos momentos distintos: el de antes, que es cuando se decide todo, y el de después, que es cuando no queda margen.
Cómo entra
Casi siempre por una de estas tres puertas, y ninguna es sofisticada:
- Un adjunto abierto en un correo que parecía legítimo.
- Un servicio de administración abierto a internet con contraseña débil. Es el caso más común en servidores pequeños.
- Un sistema sin actualizar con una vulnerabilidad conocida desde hace meses.
Las tres están cubiertas en las cuatro cosas aburridas que sí importan. Si has hecho aquello, tu exposición baja muchísimo.
Lo que decide todo: la copia
Ante un cifrado, la copia no es una precaución: es la única alternativa a pagar. Y tiene que cumplir dos condiciones que la mayoría de las copias de pyme no cumplen.
Fuera del alcance del servidor. El cifrado alcanza todo lo que el servidor pueda escribir. Si la copia está en un disco conectado o en una carpeta de red montada, se cifra también. Tiene que estar en un destino donde el servidor pueda escribir pero no borrar ni sobrescribir lo anterior.
Con histórico suficiente. El cifrado a veces se activa semanas después de entrar. Si solo guardas siete días, puede que todas tus copias ya estén comprometidas. Por eso la pauta de diarias, semanales y mensuales no es exceso de celo.
Si ya ha pasado
Por orden, y sin saltarse el primero:
- Desconecta, no apagues. Saca el equipo de la red tirando del cable o cortando el wifi. Apagarlo puede destruir información que ayuda a entender qué pasó.
- No conectes nada más. Ni un disco de copia, ni un portátil para «ver qué tal». Así es como se propaga.
- Averigua el alcance. Qué equipos están afectados y desde cuándo. Esa fecha determina qué copia sirve.
- Comprueba las copias antes de tocarlas. Desde un equipo limpio, y verifica que se pueden leer.
- Avisa. A tu asesor legal, y si hay datos de clientes, a quien corresponda según la normativa de tu país. Hay plazos.
- Reconstruye desde cero, no «limpies» el servidor infectado. Sistema nuevo, datos de la copia.
Sobre pagar
No damos consejo legal y la decisión no es sencilla, pero sí hay dos hechos prácticos que conviene conocer.
Primero: pagar no garantiza recuperar. Una parte de quienes pagan no reciben la llave, o reciben una que funciona a medias. Segundo: quien paga queda marcado como quien paga, y es frecuente que vuelva a ocurrir.
Por eso la conversación útil no es «¿pagamos?» sino «¿por qué no tenemos una copia de anteayer que restaurar?». Y esa se tiene antes, no después.
La prueba que vale
Una sola pregunta, y la respuesta debería ser inmediata: si mañana todo estuviera cifrado, ¿cuánto tardaríamos en volver a operar y cuánto trabajo habríamos perdido?
Si no sabes las dos cifras, no tienes un plan: tienes una esperanza. Y se averiguan haciendo un ensayo de restauración, que cuesta una mañana.