Ransomware a les pimes: què fer abans que passi
Com preparar la teva empresa per a un atac de ransomware: què limita el dany, el pla de resposta d'una pàgina i què fer les primeres hores.
Són les 9 del matí. Els fitxers de la carpeta compartida tenen una extensió estranya, el programa de gestió no arrenca i a les pantalles hi ha una nota que demana un rescat. En aquell moment, a la majoria d’empreses comencen les preguntes: qui decideix què es fa? Es desendolla tot? Es paga? Les còpies, on són i funcionen?
El ransomware a les pimes no és un problema de grans empreses que arriba de rebot. Els atacs són automàtics i busquen qualsevol porta oberta. I el que separa un ensurt d’uns quants dies d’una empresa aturada setmanes no és el que es fa durant l’atac, sinó el que s’ha preparat abans. Aquest article va d’això.
Com actua un ransomware avui
Un ransomware és un programa maliciós que xifra els fitxers de l’empresa i demana un pagament per desxifrar-los. Sol entrar per tres camins: un correu amb un adjunt o un enllaç, una contrasenya robada d’un accés remot o un equip sense actualitzar que dona la cara a internet.
Un cop a dins, no actua de seguida. Primer es mou per la xarxa, busca els servidors, les carpetes compartides i, sobretot, les còpies de seguretat, perquè sap que són la vostra sortida. Quan les troba, les esborra o les xifra. Moltes variants, abans de xifrar, també s’emporten dades i amenacen de publicar-les si no es paga.
Per això la pregunta no és «tenim antivirus?», sinó: si algú entra, fins on pot arribar i què ens quedarà per tornar a treballar?
Abans: el que limita el dany
La prevenció bàsica (doble factor, firewall, filtratge DNS, actualitzacions i formació) la tenim explicada a la guia de ciberseguretat per a pimes. Aquí ens centrem en el que decideix com acaba un atac que ja ha entrat:
- Una còpia que el ransomware no pugui tocar. Fora de l’oficina i immutable: un cop feta, ningú la pot esborrar durant un temps, ni amb la contrasenya d’administrador. És la «1» de la regla 3-2-1.
- Pocs administradors. Si cada usuari és administrador del seu ordinador, el ransomware ho és també. Els comptes amb permisos alts han de ser pocs, separats dels d’ús diari i amb doble factor.
- Una xarxa per parts. Si els ordinadors, el servidor, les càmeres i la Wi-Fi de convidats són a la mateixa xarxa, el que entra per un lloc arriba a tot arreu. Un firewall de nova generació permet separar-los i veure moviments estranys.
- Accessos remots tancats. L’escriptori remot obert a internet és una de les portes més buscades. Millor un accés amb doble factor i sense exposar l’oficina.
El pla de resposta en una pàgina
No cal un document de cinquanta pàgines. Cal una pàgina que qualsevol persona de l’empresa pugui seguir amb nervis. Ha de respondre això:
- Qui decideix. Una persona (i una suplent) que pot ordenar desconnectar-ho tot sense demanar permís a ningú.
- A qui s’avisa, amb telèfons. El vostre servei informàtic, l’asseguradora si teniu pòlissa de ciberriscos, la gestoria o l’assessor legal i la Línia d’Ajuda en Ciberseguretat de l’INCIBE, el 017.
- Com s’aïllen els equips. Treure el cable de xarxa i desactivar la Wi-Fi de l’equip afectat, sense esborrar res, perquè el tècnic pugui veure què ha passat.
- Què es restaura primer. La llista de sistemes per ordre: potser el correu i la facturació són crítics i l’arxiu de fa cinc anys pot esperar.
- On són les còpies i quant triguen. No és el mateix restaurar un fitxer que un servidor sencer. Si no ho sabeu, aquesta és la primera feina.
I un detall important: imprimiu-lo. Si el pla és en una carpeta del servidor, el dia de l’atac també estarà xifrat.
Et preparem el pla de resposta. Revisem les vostres còpies, els accessos i la xarxa, i us deixem el pla d’una pàgina fet i adaptat a la vostra empresa. Demana-ho aquí o truca al 93 384 83 82.
Si passa: les primeres hores
Amb el pla a la mà, l’ordre és aquest:
- Aïlla. Desconnecta de la xarxa els equips afectats i, si cal, l’accés a internet de l’oficina. No connectis discos ni memòries USB per «salvar» res: es poden xifrar també.
- Avisa. Al vostre servei informàtic i, si teniu dubtes, al 017.
- No paguis. L’INCIBE ho recomana sense matisos: pagar no garanteix recuperar les dades, us pot convertir en objectiu d’altres atacs i finança els delinqüents (font: INCIBE).
- Denuncia. Als Mossos d’Esquadra. Us farà falta per a l’asseguradora i per a qualsevol reclamació.
- Revisa si hi ha dades personals afectades. Si n’hi ha (clients, treballadors), el RGPD obliga a notificar-ho a l’Agència Espanyola de Protecció de Dades en un màxim de 72 hores des que en tingueu coneixement.
- Restaura des d’una còpia neta. Abans, cal saber per on va entrar, canviar les contrasenyes des d’un equip net i comprovar que la còpia és anterior a l’atac.
Assajar-ho un cop l’any
Un pla que no s’ha provat mai té els mateixos problemes que una còpia que no s’ha restaurat mai. Un cop l’any, n’hi ha prou amb una hora: llegir el pla, comprovar que els telèfons són bons, restaurar un sistema de prova i mesurar quant ha trigat. Si el resultat no us agrada, el Disaster Recovery permet tornar a treballar en hores en lloc de dies.
Si voleu una primera idea de com està la vostra empresa, teniu dues anàlisis gratuïtes: l’autodiagnòstic de ciberseguretat (10 preguntes de sí o no) i «Quant temps estaria aturada la teva empresa?».
En resum
Contra el ransomware no hi ha cap protecció perfecta, però sí empreses ben preparades. Una còpia que l’atac no pugui tocar, pocs accessos amb privilegis, una xarxa separada per parts i un pla d’una pàgina imprès fan que un atac sigui un mal dia, no un mal mes.
A nData Systems ajudem pimes, despatxos i escoles a preparar-se. Us fem una revisió de com aguantaria la vostra empresa un ransomware: què es copia i on, qui té permisos d’administrador, com està la xarxa i quant trigaríeu a tornar a treballar. En sortiu amb el pla de resposta escrit. Demana la revisió o truca al 93 384 83 82.
