Ransomware: tres preguntas para revisar copias, accesos y respuesta

Si mañana no puedes abrir las facturas ni la agenda de clientes, ¿con qué seguirías trabajando? Yo empezaría por esa pregunta antes de elegir otro programa de seguridad. Obliga a mirar los datos que sostienen el día: dónde están, quién puede entrar y cómo los recuperarías.

Tres preguntas sirven para iniciar la revisión. Responderlas no certifica que tu empresa esté protegida; cada respuesta necesita una comprobación. No pondría un plazo de tres minutos a restaurar datos o revisar todos los accesos.

¿Qué copia podrías recuperar?

Pide a quien lleva tus copias que te enseñe la fecha de la última ejecución correcta, qué incluye y el resultado de una restauración de prueba. Que aparezca un aviso de «copia completada» es distinto de poder abrir los datos recuperados.

La guía de copias de seguridad de INCIBE explica la estrategia 3-2-1: tres copias, contando el original, en dos soportes distintos y una fuera de la empresa. También recomienda comprobar periódicamente la integridad y la recuperación.

Para el ransomware revisaría además qué acceso tiene el equipo de trabajo a esas copias. Un disco conectado permanentemente puede contener una copia, pero queda expuesto si el ataque puede escribir en él. Guardarla en la nube tampoco demuestra que esté aislada. Preguntaría qué impide modificarla o borrarla desde una cuenta comprometida. La guía de INCIBE sobre ransomware describe que también pueden resultar afectados almacenamientos conectados y recursos compartidos. INCIBE recomienda no pagar el rescate (pp. 26 y 29): pagar no garantiza recuperar los datos.

La prueba debe parecerse a lo que necesitas recuperar. Abrir un documento es útil; no demuestra que la base de datos del programa de facturación arranque. Como criterio de negocio, yo anotaría cuántas horas puedes estar sin ese programa y cuántos datos recientes puedes permitirte perder. Con eso, el proveedor puede plantear una prueba y una frecuencia de copia concretas.

¿Quién entra con algo más que una contraseña?

Haz una lista del correo, almacenamiento, facturación, administración de la web y acceso remoto, según los servicios que uses. Comprueba qué cuentas tienen autenticación multifactor, también las administrativas. Antes de cambiarla, prepara el método de recuperación y la persona responsable para evitar dejarte fuera.

El segundo factor añade protección, pero no vuelve inútil una contraseña robada en todas las circunstancias. Los métodos no ofrecen la misma resistencia al engaño. La documentación de Microsoft distingue MFA de MFA resistente al phishing: una contraseña con código SMS o de una aplicación no pertenece a la misma categoría que una llave de seguridad FIDO2.

Pediría al proveedor que revise las opciones resistentes al phishing disponibles en tus servicios. Tener MFA tampoco evita por sí solo que un programa malicioso se ejecute en un ordenador. Quedan por revisar actualizaciones, permisos y exposición de accesos; este listado inicial no sustituye esa revisión.

¿A quién avisas si algo falla?

Prepara una ficha accesible aunque no funcione el correo: responsable, teléfono del soporte, qué actividad hay que mantener y quién decide parar un sistema. Ensáyala con un caso hipotético: la recepción no puede abrir los archivos compartidos. ¿Sabe la persona que está allí cómo avisar sin seguir usando el equipo sospechoso?

La documentación de respuesta de Microsoft incluye aislar sistemas afectados e investigar el alcance antes de recuperarlos. Yo acordaría esas primeras actuaciones con el soporte y las escribiría en la ficha. La restauración y la reconexión requieren comprobar que se ha eliminado el acceso del atacante.

Si una respuesta queda en «creo que sí», concreta una tarea: enseñar una restauración, revisar una cuenta o ensayar el aviso. Así la revisión termina con una prueba pendiente y alguien encargado de hacerla, en lugar de una sensación de seguridad.