Un ransomware no es un virus que te pone el ordenador lento. Es un programa que cifra todos los archivos de tu empresa —facturas, contabilidad, proyectos, la base de datos del programa de gestión— y te deja una nota pidiendo dinero por devolvértelos. Mientras tanto no puedes facturar, ni servir pedidos, ni consultar un albarán.
Nos ha tocado entrar en empresas de Valencia con todo parado por esto, y siempre se repite la misma frase: «no pensaba que fuera a pasarme a mí». Te contamos por dónde entra, qué hacer las primeras horas y qué es lo único que te devuelve la empresa.
Por qué una empresa pequeña sí interesa
La idea de «yo soy pequeño, quién va a querer atacarme» es justo lo que lo hace fácil. La mayoría de los casos no son ataques dirigidos: son automáticos. Hay programas rastreando internet a todas horas buscando equipos con una puerta abierta, y les da igual si detrás hay una multinacional o un taller de ocho personas. Una empresa de diez o veinte empleados suele ser incluso mejor objetivo: depende de sus datos para trabajar y casi nunca tiene a nadie vigilando.
Por dónde entra: casi siempre por las mismas tres puertas
El correo. Un adjunto que parece una factura o un albarán. Alguien lo abre con prisa un martes por la mañana y ya está dentro. No esperes un correo mal escrito: los buenos imitan a un proveedor tuyo, con su logotipo y su forma de hablar.
El acceso remoto mal puesto. Es lo que más nos encontramos: un escritorio remoto abierto a internet para poder trabajar desde casa, con contraseña corta y sin segundo factor. Se prueba sola miles de veces al día hasta que acierta.
El equipo que nadie actualiza. Ese ordenador del almacén que «funciona, no lo toques». Si el sistema ya no recibe parches, cada fallo que se descubre queda abierto para siempre: es el problema que explicamos al hablar de qué hacer con los Windows 10 que se han quedado sin soporte.
Las primeras dos horas: qué hacer y qué no
Si enciendes, los archivos tienen una extensión rara y hay una nota pidiendo dinero, lo que hagas ahora cambia el desenlace.
Haz esto: desconecta de la red los equipos afectados —quita el cable, apaga el wifi— para que no siga cifrando carpetas compartidas y servidor. Desconecta también el disco de las copias si está enchufado, antes de que le llegue el turno. Y avisa a quien te lleve la informática.
No hagas esto: no borres los archivos cifrados ni la nota del rescate, que sirven para identificar la variante y ver si hay una herramienta de descifrado pública. No formatees nada por tu cuenta. Y sobre todo, no restaures la copia encima sin limpiar antes el equipo: si el bicho sigue ahí, pierdes también la copia.
Conviene además denunciarlo. El Instituto Nacional de Ciberseguridad tiene una línea de ayuda gratuita, el 017, que atiende también a empresas. Y si entre lo cifrado hay datos personales, es una brecha que normalmente hay que notificar a la Agencia Española de Protección de Datos en 72 horas.
Por qué pagar casi nunca es la salida
Entendemos la tentación cuando llevas tres días sin facturar. Pero nadie garantiza que te den la clave; cuando la dan, el descifrado es lento y recupera solo una parte; y pagar te marca como empresa que paga. Además, el dinero no cierra el agujero por el que entraron: si no lo tapas, vuelve a pasar.
Lo único que te devuelve la empresa es una copia que se restaura
Aquí está todo. Una empresa con copias bien hechas pasa un día malo; una sin ellas puede no volver a abrir. Pero «tengo copias» no basta: lo que te salva es una copia que se restaura de verdad, y eso hay que haberlo probado antes. Lo contamos en tienes copias de seguridad, ¿pero se pueden restaurar? y en cada cuánto hay que hacer copias en una empresa.
Lo decisivo es que al menos una copia esté fuera de su alcance: desconectada, en otro sitio o en un almacenamiento que no permita borrar ni sobrescribir lo ya guardado. Un disco USB siempre enchufado al servidor se cifra igual que el resto, y una carpeta sincronizada en la nube puede sincronizar los archivos ya cifrados. Si tu única copia es una de esas dos, hoy tienes trabajo.
Cómo se evita la mayoría de los casos
Casi todo lo que hemos visto se habría evitado con medidas que no son caras ni espectaculares: sistemas actualizados, nada de escritorio remoto expuesto a internet (si hace falta acceso de fuera, con VPN y segundo factor), permisos ajustados para que cada persona llegue solo a lo suyo, un antivirus gestionado, copias probadas y diez minutos de explicación a la plantilla sobre qué adjuntos no se abren.
Nada de eso se hace solo, y ése es el sentido de un contrato de mantenimiento informático: que alguien vigile las actualizaciones y pruebe las copias, en vez de descubrirlo el día del desastre. Si no sabes cómo estás, estas 5 señales de que tu empresa necesita mantenimiento te sirven de termómetro.
¿Quieres que miremos cómo está tu empresa antes de que pase algo? Llámanos al +34 653 06 27 47 o escríbenos a [email protected]. Estamos en Alboraya y trabajamos en toda Valencia.