Cómo contener un ataque de ransomware: las primeras horas
Aperio Security · Actualizada el
Ante un ataque de ransomware, lo primero es contener: aislar de la red los equipos afectados para que el cifrado no se propague, proteger los respaldos y cortar el acceso remoto del atacante. Si puedes desconectar un equipo de la red, no lo apagues, porque en la memoria queda evidencia útil. Después vienen la investigación, la recuperación y los avisos.
La primera hora
- Aísla lo afectado. Desconecta de la red los equipos con archivos cifrados o con la nota de rescate: cable, Wi-Fi y VPN. Si son muchos o es un segmento entero, aísla el segmento completo. Apaga un equipo solo si no hay otra forma de sacarlo de la red.
- Protege los respaldos. Desconecta o bloquea el acceso a los servidores de respaldo y verifica que existan copias fuera de línea. El ransomware actual busca y borra respaldos antes de cifrar.
- Corta los accesos remotos. Suspende VPN, RDP expuesto y herramientas de soporte remoto hasta saber por dónde entró el atacante.
- Protege las cuentas privilegiadas. Cambia las contraseñas de las cuentas de administrador del dominio desde un equipo limpio, y revisa si se crearon cuentas nuevas.
- Registra todo. Hora, equipos, mensajes, capturas de la nota de rescate. Lo necesitarás para la investigación, el seguro y las autoridades.
Lo que no debes hacer
- No borres ni reinstales de inmediato. Perderías la evidencia para saber cómo entró y qué se llevó.
- No restaures sobre una red sin limpiar. Si el atacante sigue dentro, volverá a cifrar lo restaurado.
- No contactes al atacante por tu cuenta. Si se considera negociar, que lo haga un especialista con asesoría legal.
A quién avisar en México
Reporta el incidente a la Policía Cibernética al 088 (Guardia Nacional) y, si hay datos personales comprometidos, evalúa con tu área legal las obligaciones de aviso a los titulares conforme a la ley de protección de datos personales. Avisa a tu aseguradora si tienes póliza de ciberriesgo: muchas exigen aviso inmediato y tienen equipos de respuesta.
Por qué la contención decide el daño
El ransomware casi nunca cifra solo el primer equipo. Antes se mueve por la red con credenciales robadas y herramientas legítimas, el llamado movimiento lateral. Cuanto más plana es la red, más equipos alcanza antes de que alguien lo note. Dos empresas atacadas de la misma forma pueden terminar con tres equipos cifrados o con trescientos; la diferencia está en cuántos caminos internos tenía abiertos el atacante y en qué tan rápido se aisló lo comprometido.
Prepárate antes del incidente
- Respaldos que el ransomware no alcance: al menos una copia fuera de línea o inmutable, y prueba de restauración periódica.
- Segmentación de lo crítico: respaldos, controladores de dominio y ERP en zonas propias, accesibles solo desde donde se administran. Ver microsegmentación.
- Un botón de aislamiento: que aislar un equipo o un grupo no dependa de ir físicamente a desconectar cables.
- Un plan escrito: quién decide, a quién se llama y en qué orden, ensayado al menos una vez al año.
Cómo lo hace Aperio
Con Aperio Security, un clic pone en cuarentena un equipo o un círculo completo: deja de poder hablar con el resto de la red y lo crítico sigue en línea. El mapa muestra qué conexiones hizo el equipo comprometido antes del aislamiento y con qué proceso, lo que acelera saber hasta dónde llegó. Y como el soporte remoto viaja por la malla cifrada, el equipo de TI puede seguir trabajando en el equipo aislado sin abrir puertos.
Preguntas frecuentes
¿Debo apagar el equipo infectado con ransomware?
Si puedes desconectarlo de la red, es mejor no apagarlo: en la memoria puede haber evidencia y, en algunos casos, claves de cifrado. Apágalo solo si no hay otra forma de aislarlo.
¿Cómo evito que el ransomware llegue a los respaldos?
Mantén al menos una copia fuera de línea o inmutable y restringe por red quién puede conectarse al servidor de respaldos, para que una estación de trabajo comprometida no pueda alcanzarlo.
¿Cuánto tarda el ransomware en propagarse?
Varía mucho: algunos ataques pasan días explorando la red antes de cifrar y otros cifran en horas. Por eso conviene que contener no dependa de detectar el ataque a tiempo, sino de que existan pocos caminos para propagarse.