Ante un ransomware, pagar no garantiza que recibirás una clave, que los archivos quedarán íntegros ni que los atacantes eliminarán la información robada. Tampoco hay una respuesta universal que pueda darse sin conocer el alcance, los respaldos, las obligaciones legales y la continuidad del negocio.
Antes de decidir el rescate, contén la propagación y preserva nota, registros y respaldos aislados. Desconectar la red puede limitar comunicación, pero no siempre detiene cifrado local. Un RAID replica errores y cifrado, por lo que no sustituye una copia histórica protegida y probada.
En el caso real de una empresa cifrada, la posibilidad de recuperar información cambió cuando se dejó de pensar únicamente en el rescate y se revisaron copias, puerta de entrada y continuidad. El trabajo sobre copia permitió recuperar casi todo, pero ese resultado no convierte la negociación en una regla universal ni promete que otro ataque terminará igual. Primero fue necesario contener y saber qué seguía comprometido.
Pagar no garantiza que la clave exista, funcione o devuelva todos los archivos, y tampoco prueba que el atacante borrará datos si afirma haberlos extraído. Antes de decidir se evalúan respaldos, variantes, persistencia, exfiltración, seguro y obligaciones de documentación. Restaurar sin cerrar el acceso puede producir un segundo cifrado.
Dirección necesita comparar tiempo, costo y riesgo con asesoría técnica y jurídica; no debe decidir solo por la cuenta regresiva del atacante. Conserva nota, comunicaciones y registros sin ejecutar utilidades del delincuente en producción. Duriva puede evaluar recuperación y documentar la decisión sin vender una garantía. La pregunta no es solamente pagar o no pagar, sino qué opciones reales tienes y qué daño adicional puede crear cada una.
Dirección necesita continuidad y una decisión documentada; el abogado necesita revisar riesgos legales y de datos. Restaurar sin cerrar la entrada puede repetir el cifrado, así que la recuperación debe probarse en un ambiente controlado. No hay garantía de clave ni de borrado, y la cuenta regresiva del atacante no sustituye una evaluación técnica y jurídica.
La decisión sobre un rescate debe tomarse con Dirección, especialistas en respuesta a incidentes, asesoría jurídica y, cuando exista, la aseguradora. No debe tomarse en pánico ni bajo la cuenta regresiva escrita por el atacante.
Qué hacer primero
Aísla los equipos afectados de las redes, cableadas e inalámbricas, sin ejecutar acciones destructivas. Desconectar la red puede limitar propagación y comunicación, pero no necesariamente detiene un cifrado ya iniciado. No asumas que un equipo desconectado está recuperándose.
Suspende sincronizaciones que puedan llevar archivos cifrados a respaldos o nubes, y protege copias fuera de línea. No conectes discos de respaldo a sistemas potencialmente comprometidos para comprobarlos.
Documenta qué equipos están afectados, cuándo comenzó, qué mensajes aparecen y qué servicios están disponibles. Conserva la nota de rescate, archivos de muestra y registros sin alterarlos. Fotografía las pantallas si es necesario, sin convertir esa imagen en la única evidencia.
No borres, formatees ni instales limpiadores
Una reinstalación apresurada puede devolver un equipo aparentemente limpio y eliminar información necesaria para entender la entrada, el alcance y las cuentas comprometidas. Preserva primero los elementos relevantes con apoyo especializado.
No reinicies indiscriminadamente: algunos datos y conexiones son volátiles. La decisión de apagar depende del comportamiento del incidente y del entorno; coordínala con quien responde técnicamente y registra cada medida.
Evita utilizar herramientas de descifrado descargadas de sitios desconocidos. Algunas son falsas o dañan más archivos. Identifica la variante mediante análisis, no por el nombre que el propio atacante escribió.
Evalúa respaldos y continuidad
Revisa existencia, antigüedad, integridad y aislamiento de los respaldos. Un arreglo redundante de discos no es un respaldo: replica errores, borrados y cifrado. Una copia sincronizada tampoco es necesariamente histórica ni inmutable.
Antes de restaurar, determina si el atacante conserva acceso y si las credenciales administrativas fueron comprometidas. Restaurar sobre una infraestructura todavía controlada por el atacante es volver a colocar agua en un recipiente con la misma fuga.
Prioriza servicios esenciales y verifica los datos restaurados en un ambiente controlado. Documenta pérdidas y períodos no recuperables sin ocultarlos.
Qué considerar antes de cualquier negociación
Consulta obligaciones de reporte, protección de datos, contratos, seguros y restricciones legales aplicables. No contactes ni pagues a terceros que prometen una clave milagrosa sin validación técnica y jurídica. El pago puede financiar nuevas actividades y no elimina la posibilidad de extorsión posterior.
Si se exfiltró información, el cifrado es solo una parte del incidente. Deben revisarse accesos, registros, archivos afectados y comunicaciones para determinar el alcance real. La afirmación del atacante sobre datos robados no es una prueba completa, pero tampoco debe ignorarse.
La decisión final y sus riesgos deben quedar documentados. Ningún peritaje serio promete que una negociación terminará bien ni que el atacante cumplirá.
Después: entender la entrada
Revisa accesos remotos, credenciales, vulnerabilidades, cuentas privilegiadas, correos de phishing y alertas. Herramientas legítimas de administración remota pueden ser aprovechadas si quedaron expuestas o si las credenciales fueron robadas.
La recuperación incluye restablecer contraseñas desde infraestructura confiable, corregir la causa, reforzar segmentación y monitorear actividad. Cambiar el fondo de pantalla y restaurar archivos no cierra el incidente.
El rescate no puede decidirse solo por la cuenta regresiva
Pagar ransomware, negociar un secuestro informático o recuperar tras cifrado exige evaluar respaldos, persistencia, exfiltración, seguro y obligaciones legales. Desconectar red puede limitar propagación sin detener cifrado local, y pagar no garantiza clave ni borrado de datos. Dirección necesita continuidad y documentación de riesgos; el abogado necesita revisar reportes y pagos. El análisis preserva evidencia y prueba restauración en ambiente controlado sin ofrecer descifradores milagrosos ni revelar la infraestructura completa de respuesta.