Playbook de respuesta a ransomware
El ransomware es una crisis de negocio con un núcleo técnico. Los equipos que se recuperan bien tenían respaldos que funcionaban, practicaron el playbook y tomaron las decisiones difíciles antes de la presión.
Qué ocurre
Los ataques modernos de ransomware suelen ser operados por personas. Un atacante entra (credenciales robadas, un servicio expuesto, un enlace de phishing), explora, roba datos, elimina o corrompe respaldos y luego cifra la mayor cantidad posible de sistemas a la vez, a menudo fuera del horario laboral. Muchos grupos además amenazan con publicar los datos robados, así que restaurar los archivos no pone fin al incidente.
Primeras horas
- Aísla de la red los sistemas afectados (no los apagues si puedes evitarlo; la memoria puede contener claves y evidencia).
- Declara un incidente mayor, abre el canal fuera de banda e involucra a legal, comunicaciones, ejecutivos y tu aseguradora o proveedor contratado.
- Protege los respaldos: desconecta o bloquea el sistema de respaldo ahora, antes de que sea cifrado o borrado.
- Identifica el alcance: qué sistemas, qué cuentas, qué datos y si hay credenciales a nivel de dominio comprometidas.
- Preserva la evidencia: nota de rescate, muestras de archivos cifrados, logs, memoria e imágenes de disco de los sistemas clave.
- Restablece credenciales privilegiadas y tokens de forma controlada, desde una máquina limpia.
Recuperación
- Reconstruye desde un estado confiable: restaura desde respaldos verificados como limpios y anteriores al primer acceso del atacante.
- Recupera en orden de prioridad: primero la infraestructura de identidad, luego los servicios que el negocio más necesita.
- No reconectes los sistemas restaurados hasta que el punto de entrada esté cerrado y la persistencia eliminada, o volverán a cifrarte.
- Monitorea de cerca después de que cada sistema vuelva: el atacante aún puede tener un punto de apoyo.
- Prueba las restauraciones antes de necesitarlas. Un respaldo que nunca se ha restaurado es una suposición.
La cuestión del pago
Pagar o no es una decisión de negocio y legal, no técnica, y debe considerarse con asesoría jurídica, la aseguradora y las autoridades. El pago no garantiza un descifrador funcional ni que los datos robados se borren, y puede conllevar exposición legal, como sanciones contra el receptor. Define tu postura con antelación como política, para que no se invente bajo presión.
Reduce las probabilidades y el daño
- Aplica parches a los sistemas expuestos a internet y elimina los servicios de acceso remoto expuestos.
- Autenticación multifactor para el acceso remoto y para toda cuenta administrativa.
- y administración por niveles, para que una credencial robada no llegue a todo.
- Ensaya el playbook con un ejercicio de mesa, incluida la decisión de sacar sistemas de línea.
backups:
offline_or_immutable_copy: true # un atacante con admin no puede borrarla
restore_test_frequency: quarterly
scope: [domain-controllers, databases, file-servers, config-repos]
identity:
mfa_for_admins_and_remote_access: true
tiered_admin_accounts: true # sin inicios de sesión de domain admin en estaciones de trabajo
service_account_review: quarterly
network:
segmentation: [workstations, servers, backup, management]
rdp_exposed_to_internet: false
detection:
edr_coverage: "todos los servidores y endpoints"
alert_on: [mass_file_rename, shadow_copy_deletion, backup_service_stop]
runbook:
out_of_band_comms: "árbol telefónico y chat secundario, guardados sin conexión"
decision_owner_for_payment: "CEO con asesoría jurídica"conexiones en el mapa
- Triaje, acotamiento del alcance y contenciónse especializa paraPlaybook de respuesta a ransomware
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- Confiabilidad a escala: idempotencia, reintentos y backpressuresecengbackups que restauran y recuperación en orden de prioridad
Estudia antes
pon a prueba lo que entendiste
Cargando preguntas…