Descubrir que un servidor crítico ha sido encriptado por ransomware es una situación que exige actuar con rapidez, pero también con método. Las primeras horas pueden determinar si el incidente queda limitado a un sistema o termina afectando servidores, aplicaciones, respaldos y operaciones completas.
Cuando un servidor empresarial aparece bloqueado y los archivos presentan extensiones desconocidas o mensajes de rescate, la prioridad no debe ser intentar descifrar inmediatamente la información ni negociar con el atacante. Primero se debe contener el incidente, preservar evidencias, determinar el alcance y proteger los sistemas que todavía funcionan.
NIST considera que una respuesta oportuna ante eventos que afectan la integridad de los datos es fundamental para minimizar daños y facilitar posteriormente la recuperación.
Primeros 15 minutos: confirmar y contener
El primer paso es confirmar que realmente se está produciendo un incidente de ransomware y evitar que la infección continúe propagándose.
El servidor afectado debe aislarse inmediatamente de la red. Esto puede implicar desconectar interfaces de red, aplicar controles desde switches o segmentación y retirar conexiones hacia recursos compartidos.
CISA recomienda aislar los sistemas afectados tan pronto como sea posible. Si existen varios equipos comprometidos, puede ser necesario tomar medidas de contención a nivel de red.
No conviene actuar de manera improvisada apagando indiscriminadamente servidores. Si el equipo puede aislarse mediante la red, esto permite conservar información potencialmente útil para la investigación. CISA advierte que apagar un dispositivo puede provocar la pérdida de artefactos almacenados en memoria volátil, por lo que debe considerarse cuando no sea posible aislarlo de otra manera.
De 15 a 30 minutos: proteger los sistemas que aún están operativos
Una vez aislado el servidor, hay que determinar si existen otros sistemas afectados.
El equipo de TI debe revisar rápidamente servidores, máquinas virtuales, estaciones administrativas, unidades compartidas y recursos conectados. La aparición de archivos cifrados en otros dispositivos puede indicar que el ataque continúa activo.
Una prioridad especialmente importante es proteger los respaldos. Los repositorios de backup que permanecen conectados pueden convertirse en objetivos del atacante.
NIST recomienda mantener copias de seguridad aisladas para impedir que el ransomware pueda propagarse hacia ellas.
Por ello, durante esta etapa se debe evitar que procesos automáticos de sincronización o administración puedan poner en riesgo las copias de recuperación que todavía se encuentren intactas.
De 30 a 45 minutos: activar el equipo de respuesta
Un incidente que afecta un servidor crítico no debería gestionarse exclusivamente desde el área de infraestructura.
Debe activarse el plan de respuesta ante incidentes y establecerse un equipo responsable de tomar decisiones. Dependiendo de la organización, pueden participar TI, seguridad de la información, dirección, proveedores tecnológicos, especialistas externos, asesoría legal y otros responsables.
NIST recomienda contar previamente con un plan de recuperación que establezca roles, responsabilidades y estrategias para la toma de decisiones. También recomienda mantener actualizados los contactos internos y externos necesarios durante una crisis de ransomware.
En este momento debe abrirse una línea de tiempo del incidente: cuándo se detectó el cifrado, qué sistemas estaban afectados, quién descubrió el problema y qué acciones se realizaron después.
De 45 a 60 minutos: preservar evidencias
Antes de realizar cambios importantes, es necesario preservar la información que pueda ayudar a determinar cómo ocurrió el incidente.
Entre los elementos relevantes pueden encontrarse registros de autenticación, eventos de seguridad, registros de firewall, actividad de cuentas privilegiadas, conexiones remotas, alertas de EDR/XDR, archivos asociados al malware y registros del servidor.
También debe documentarse el mensaje de rescate, los nombres y extensiones de archivos modificados y cualquier indicio que permita identificar la variante del ransomware.
NIST señala que la detección y respuesta ante eventos de integridad de datos requiere identificar la fuente, los sistemas afectados y recopilar información suficiente para analizar el impacto.
La investigación debe realizarse, cuando sea posible, con apoyo de especialistas en respuesta a incidentes y análisis forense digital.
De 60 a 90 minutos: determinar el alcance
Con la información disponible, el equipo debe responder varias preguntas críticas:
- ¿Cuándo comenzó el incidente?
- ¿Qué sistemas fueron afectados?
- ¿Qué cuentas podrían estar comprometidas?
- ¿Se cifraron solamente archivos o también configuraciones y aplicaciones?
- ¿Los respaldos permanecen disponibles?
- ¿Existe evidencia de extracción de información?
Esta etapa permite establecer una primera hipótesis sobre el alcance del ataque y determinar qué sistemas deben permanecer aislados.
Es importante no asumir que el servidor encriptado es el único sistema comprometido. Un atacante puede haber permanecido dentro de la infraestructura antes de desplegar el ransomware.
De 90 a 120 minutos: definir la estrategia de recuperación
Durante la segunda hora debe comenzar la preparación de la recuperación, pero no debe restaurarse un backup inmediatamente sin comprobar previamente que el entorno está controlado.
Si el atacante conserva acceso a cuentas privilegiadas o infraestructura comprometida, una restauración prematura podría terminar nuevamente en cifrado.
Primero se deben identificar las copias disponibles y verificar su integridad. Posteriormente, se debe seleccionar qué sistemas recuperar según su importancia para el negocio.
CISA recomienda realizar una clasificación de los sistemas afectados y priorizar la restauración según su criticidad, incluyendo aquellos relacionados con generación de ingresos, servicios esenciales y otras funciones críticas.
Una organización preparada debería conocer previamente su RPO (Recovery Point Objective) y RTO (Recovery Time Objective) para determinar cuánto dato puede perder y cuánto tiempo puede permanecer interrumpido cada servicio.
¿Se debe pagar el rescate?
La existencia de una nota de rescate no significa que la organización deba pagar inmediatamente.
Las autoridades estadounidenses, incluyendo CISA, desaconsejan pagar rescates, entre otras razones porque el pago no garantiza que los archivos sean recuperados y puede incentivar nuevas actividades criminales.
La decisión, además, puede tener implicaciones legales, regulatorias, financieras y reputacionales que deben ser evaluadas con asesoría especializada.
Errores que deben evitarse durante las primeras dos horas
Uno de los errores más peligrosos es borrar inmediatamente el malware o formatear el servidor. Aunque parezca una solución rápida, puede destruir evidencias importantes para conocer el origen y alcance del incidente.
También debe evitarse reconectar servidores comprometidos, restaurar backups sin verificar el entorno, utilizar las mismas credenciales potencialmente comprometidas o modificar indiscriminadamente registros y configuraciones.
La recuperación debe producirse después de controlar el incidente y establecer que los sistemas utilizados para restaurar la operación son confiables.
¿Cómo puede ayudar Pawa Peru?
Un incidente de ransomware demuestra por qué la ciberseguridad empresarial necesita capacidades que funcionen antes, durante y después del ataque.
En Pawa Peru, ayudamos a las organizaciones a fortalecer sus capacidades de prevención, detección, respuesta y recuperación, mediante soluciones de ciberseguridad adaptadas a la criticidad de sus sistemas y datos.
Para los dueños de empresas, gerentes de TI y oficiales de seguridad de la información, disponer de monitoreo, protección de endpoints, gestión de vulnerabilidades, controles de acceso, respaldos protegidos y procedimientos de respuesta puede marcar una diferencia crítica durante las primeras horas de un incidente.
Conclusión
Las primeras dos horas después de descubrir un servidor crítico encriptado deben utilizarse para contener, investigar y preparar una recuperación segura, no para actuar impulsivamente.
Aislar el servidor, proteger los backups, activar el equipo de respuesta, preservar evidencias, determinar el alcance y priorizar la recuperación son pasos fundamentales para limitar el impacto.
La mejor respuesta ante ransomware comienza mucho antes del incidente. Una empresa que cuenta con backups protegidos e inmutables, monitoreo continuo, controles de identidad, segmentación, detección avanzada y un plan de respuesta probado tiene mayores capacidades para recuperar sus operaciones y reducir el impacto de un ataque.
En ciberseguridad, estar preparado no significa asumir que nunca sufriremos un incidente. Significa estar en condiciones de responder correctamente cuando ocurra.
