Ransomware en pymes: qué hacer antes de que pase

Son las 9 de la mañana. Los archivos de la carpeta compartida tienen una extensión rara, el programa de gestión no arranca y en las pantallas aparece una nota que pide un rescate. En ese momento, en la mayoría de empresas empiezan las preguntas: ¿quién decide qué se hace? ¿Se desenchufa todo? ¿Se paga? Las copias, ¿dónde están y funcionan?

El ransomware en pymes no es un problema de grandes empresas que llega de rebote. Los ataques son automáticos y buscan cualquier puerta abierta. Y lo que separa un susto de unos días de una empresa parada durante semanas no es lo que se hace durante el ataque, sino lo que se ha preparado antes. De eso va este artículo.

Cómo actúa hoy un ransomware

Un ransomware es un programa malicioso que cifra los archivos de la empresa y pide un pago para descifrarlos. Suele entrar por tres caminos: un correo con un adjunto o un enlace, una contraseña robada de un acceso remoto o un equipo sin actualizar expuesto a internet.

Una vez dentro, no actúa enseguida. Primero se mueve por la red, busca los servidores, las carpetas compartidas y, sobre todo, las copias de seguridad, porque sabe que son vuestra salida. Cuando las encuentra, las borra o las cifra. Muchas variantes, antes de cifrar, también se llevan datos y amenazan con publicarlos si no se paga.

Por eso la pregunta no es «¿tenemos antivirus?», sino: si alguien entra, ¿hasta dónde puede llegar y qué nos quedará para volver a trabajar?

Antes: lo que limita el daño

La prevención básica (doble factor, firewall, filtrado DNS, actualizaciones y formación) la explicamos en la guía de ciberseguridad para pymes. Aquí nos centramos en lo que decide cómo termina un ataque que ya ha entrado:

• Una copia que el ransomware no pueda tocar. Fuera de la oficina e inmutable: una vez hecha, nadie puede borrarla durante un tiempo, ni con la contraseña de administrador. Es el «1» de la regla 3-2-1.
• Pocos administradores. Si cada usuario es administrador de su ordenador, el ransomware también lo es. Las cuentas con permisos altos deben ser pocas, separadas de las de uso diario y con doble factor.
• Una red por partes. Si los ordenadores, el servidor, las cámaras y el Wi-Fi de invitados están en la misma red, lo que entra por un sitio llega a todas partes. Un firewall de nueva generación permite separarlos y detectar movimientos extraños.
• Accesos remotos cerrados. El escritorio remoto abierto a internet es una de las puertas más buscadas. Mejor un acceso con doble factor y sin exponer la oficina.

El plan de respuesta en una página

No hace falta un documento de cincuenta páginas. Hace falta una página que cualquier persona de la empresa pueda seguir con nervios. Debe responder a esto:

1. Quién decide. Una persona (y una suplente) que puede ordenar desconectarlo todo sin pedir permiso a nadie.
2. A quién se avisa, con teléfonos. Vuestro servicio informático, la aseguradora si tenéis póliza de ciberriesgos, la gestoría o el asesor legal y la Línea de Ayuda en Ciberseguridad de INCIBE, el 017.
3. Cómo se aíslan los equipos. Quitar el cable de red y desactivar el Wi-Fi del equipo afectado, sin borrar nada, para que el técnico pueda ver qué ha pasado.
4. Qué se restaura primero. La lista de sistemas por orden: quizá el correo y la facturación son críticos y el archivo de hace cinco años puede esperar.
5. Dónde están las copias y cuánto tardan. No es lo mismo restaurar un archivo que un servidor entero. Si no lo sabéis, esta es la primera tarea.

Y un detalle importante: imprimidlo. Si el plan está en una carpeta del servidor, el día del ataque también estará cifrado.

Te preparamos el plan de respuesta. Revisamos vuestras copias, los accesos y la red, y os dejamos el plan de una página hecho y adaptado a vuestra empresa. Pídelo aquí o llama al 93 384 83 82.

Si pasa: las primeras horas

Con el plan en la mano, el orden es este:

• Aísla. Desconecta de la red los equipos afectados y, si hace falta, el acceso a internet de la oficina. No conectes discos ni memorias USB para «salvar» nada: también pueden cifrarse.
• Avisa. A vuestro servicio informático y, si tenéis dudas, al 017.
• No pagues. INCIBE lo recomienda sin matices: pagar no garantiza recuperar los datos, os puede convertir en objetivo de otros ataques y financia a los delincuentes (fuente: INCIBE).
• Denuncia. En Cataluña, ante los Mossos d’Esquadra. La necesitaréis para la aseguradora y para cualquier reclamación.
• Revisa si hay datos personales afectados. Si los hay (clientes, trabajadores), el RGPD obliga a notificarlo a la Agencia Española de Protección de Datos en un máximo de 72 horas desde que tengáis conocimiento.
• Restaura desde una copia limpia. Antes, hay que saber por dónde entró, cambiar las contraseñas desde un equipo limpio y comprobar que la copia es anterior al ataque.

Ensayarlo una vez al año

Un plan que nunca se ha probado tiene los mismos problemas que una copia que nunca se ha restaurado. Una vez al año basta con una hora: leer el plan, comprobar que los teléfonos son correctos, restaurar un sistema de prueba y medir cuánto ha tardado. Si el resultado no os gusta, el Disaster Recovery permite volver a trabajar en horas en lugar de días.

Si queréis una primera idea de cómo está vuestra empresa, tenéis dos análisis gratuitos: el autodiagnóstico de ciberseguridad (10 preguntas de sí o no) y «¿Cuánto tiempo estaría parada tu empresa?».

En resumen

Contra el ransomware no hay protección perfecta, pero sí empresas bien preparadas. Una copia que el ataque no pueda tocar, pocos accesos con privilegios, una red separada por partes y un plan de una página impreso hacen que un ataque sea un mal día, no un mal mes.

En nData Systems ayudamos a pymes, despachos y colegios a prepararse. Os hacemos una revisión de cómo aguantaría vuestra empresa un ransomware: qué se copia y dónde, quién tiene permisos de administrador, cómo está la red y cuánto tardaríais en volver a trabajar. Salís con el plan de respuesta por escrito. Pide la revisión o llama al 93 384 83 82.