Qué es el ransomware y qué hace una pyme el día que le llega

Un programa malicioso que bloquea o cifra la información de un equipo y pide un rescate para devolverla, con la amenaza de destruirla o publicarla si no pagas en un plazo. También se le llama secuestro de datos.

La palabra une ransom, rescate en inglés, con ware, de software. La guía de INCIBE para el empresario lo define como un malware «en continua evolución» que impide el acceso a la información de un dispositivo.

No borra tus datos: los cifra, que es reescribirlos con una clave que solo tiene quien te ataca. Por eso el disco parece intacto, los archivos siguen ahí con su nombre y, aun así, ninguno se abre.

Casi siempre por un engaño: un correo con un enlace o un adjunto, a menudo una supuesta factura. También por equipos y programas sin actualizar y por servicios abiertos a internet, como el escritorio remoto.

INCIBE, en su página de ransomware para empresas, cuenta que la infección se suele producir con ingeniería social: engañar a alguien para que abra un sitio malicioso o descargue un adjunto. La factura falsa es su ejemplo.

La otra vía son los equipos vulnerables: un sistema sin soporte, como contamos en el fin de soporte de Windows 10, deja de recibir parches. Por eso insistimos en las labores periódicas de mantenimiento informático.

La multifunción también es un equipo de red y tiene su propio programa, que se actualiza como cualquier otro: lo contamos en cómo se actualiza el firmware de la impresora.

Cifra el equipo infectado y todo lo que tiene montado: carpetas compartidas, discos externos, el NAS y la nube sincronizada, a veces con las copias dentro. Y los de ahora, antes de cifrar, se llevan una copia para amenazar con publicarla.

INCIBE avisa de variantes que cifran, «incluidos los ficheros de las copias de seguridad», discos y almacenamiento de red distintos del equipo infectado. Algunas alcanzan la nube, así que aconseja no sincronizar de forma permanente.

Si tu multifunción escanea a la carpeta compartida, allí hay DNI, contratos y facturas escaneados, y es lo primero que cae. Lo contamos en ciberseguridad en la impresora de una pyme y en los riesgos reales de la impresora en red.

Lo segundo es el robo. La misma guía explica que la tendencia es amenazar con filtrar la información a internet, además de bloquearla. Así, tener copia ya no basta para quitarte el problema: puede haber datos tuyos fuera.

Desconectar de la red los equipos afectados, cable y wifi, empezando por el que guarda las copias. No borrar nada ni reinstalar, y avisar a quien mantiene tus equipos. El orden en que desconectas decide qué se salva.

«Aísla el equipo de la red», dice INCIBE, y añade: sospecha de los discos, las unidades de red y los servicios en la nube que tuvieras conectados. Su página para empresas lo pide inmediatamente.

No borres los archivos cifrados ni reinstales. INCIBE recomienda clonar el disco, por si mañana existe una herramienta que hoy no hay. Quién llama a quién lo deja escrito un plan de continuidad de negocio.

Pruébalo en una oficina de ejemplo. Te diste cuenta tarde, como casi siempre: recepción y el servidor ya están cifrando.

Solo un orden salva las copias: el NAS cuelga del servidor y de recepción, y cualquiera de los dos lo alcanza en el siguiente salto.

A INCIBE, a la policía y a tu aseguradora si tienes póliza. Con datos personales, a la AEPD en 72 horas, salvo que sea improbable que haya riesgo, y a los afectados si el riesgo es alto.

La guía de brechas de la AEPD lo concreta: si no puedes descartar que se llevaran datos, la brecha ya no es solo de disponibilidad. Si lo descartas y restauras sin daño, el riesgo puede darse por mitigado.

Abre la carpeta de abajo y mira cómo cambia la lista según lo que había dentro.

La notificación se hace en la sede electrónica de la AEPD, y el incidente se puede reportar a INCIBE-CERT. Qué datos guardas, y cuánto tiempo, lo repasamos en cuánto tiempo hay que guardar la documentación de una empresa.

No. INCIBE da cuatro motivos: pagar no garantiza recuperar los datos, te marca para nuevos ataques, pueden pedirte más después y financia a quien te ha atacado.

• Pagar no te garantiza que vuelvas a tener acceso a los datos.
• Si pagas, es posible que seas objeto de ataques posteriores.
• Puede que te pidan una cifra mayor una vez hayas pagado.
• Pagar fomenta el negocio de los ciberdelincuentes.

Antes de dar nada por perdido, No More Ransom, el proyecto avalado por Europol, identifica la variante con un archivo cifrado o la nota, y ofrece herramientas de descifrado para algunas.

La más reciente anterior a la infección. Las copias de los días siguientes salen «terminada correctamente», porque copian los archivos tal como están, y ya llevan dentro los cifrados.

«Localiza una copia previa a la infección y restáurala. Habrás perdido datos, pero podrás continuar con tu actividad», resume INCIBE. Lo que pierdes es el trabajo entre esa copia y el ataque.

Esta semana de ejemplo tiene siete copias nocturnas y todas dicen lo mismo. El cifrado empezó una de esas noches y nadie lo notó hasta el domingo.

Cuántas copias guardar, dónde y cada cuánto lo explicamos en copias de seguridad para empresas. Aquí basta una regla: una copia que solo conserva la última noche no te deja volver atrás.

Con equipos actualizados, una plantilla que desconfía de los adjuntos, copias que no estén siempre conectadas y probadas, y una hoja que diga qué se desconecta primero y a quién se llama.

La prevención entera está en nuestra guía de ciberseguridad para pymes, y las normas que firma la plantilla, en la política de seguridad de la información. Para la impresora, repasa la seguridad en impresoras de empresa.

Preguntas frecuentes sobre el ransomware