En este artículo
El ransomware es un programa que cifra la información de una empresa y la deja inutilizable hasta que se paga un rescate. Casi nunca llega solo: lo normal es que entre por un correo engañoso (phishing), por una contraseña robada o por un servicio expuesto a internet que nadie actualizó.
Para no hablar de opiniones, nos basamos en una referencia oficial: la #StopRansomware Guide de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA), elaborada junto con MS-ISAC, la NSA y el FBI. Su versión vigente es de septiembre de 2023 y actualiza la guía original de 2020. Aunque es un documento estadounidense, sus recomendaciones aplican igual a una empresa en Monterrey.
Prevención: lo que recomienda la guía
- Respaldos fuera de línea y cifrados. La guía advierte que muchas variantes de ransomware intentan borrar o cifrar los respaldos que encuentran accesibles. Por eso pide mantener copias desconectadas y probar la restauración con regularidad.
- Autenticación multifactor resistente a phishing en todos los servicios que se pueda, empezando por el correo, la VPN y las cuentas con acceso a sistemas críticos.
- Contraseñas únicas de al menos 15 caracteres, bloqueo de cuentas tras intentos fallidos y cuentas de administrador separadas de las de uso diario.
- Actualizaciones al día, dando prioridad a los equipos y servicios expuestos a internet y a las vulnerabilidades que ya se sabe que están siendo explotadas.
- No exponer el Escritorio Remoto (RDP) a internet, desactivar puertos y protocolos que no se usen, desactivar SMBv1 y bloquear el puerto 445 en el perímetro.
- Capacitación del personal para reconocer y reportar correos sospechosos, junto con filtros en el correo, restricciones de archivos adjuntos y bloqueo de macros.
- Configurar DMARC (que se apoya en SPF y DKIM) para que sea más difícil que alguien envíe correos haciéndose pasar por tu dominio.
- Un plan de respuesta a incidentes por escrito, practicado, con una copia impresa y otra fuera de línea.
Si el ataque ya ocurrió: los primeros pasos
CISA publica también una lista de acciones inmediatas. Las más importantes para una pyme:
- Aislar los equipos afectados. Si son varios, desconectar la red desde el switch; si no es posible, desconectar el cable o el Wi-Fi de cada equipo.
- Apagar solo como último recurso, porque al apagar se pierde evidencia útil para la investigación.
- Comunicarse por un canal alterno, como el teléfono, para que los atacantes no se enteren de que fueron detectados.
- Priorizar qué se restaura primero, con base en una lista de sistemas críticos preparada de antemano.
- Conservar evidencia: imágenes de los equipos afectados y registros (logs).
- Contener la amenaza: identificar cuentas comprometidas y desactivar accesos remotos como VPN mientras se investiga.
Cómo aterrizarlo en una empresa de 10 a 100 personas
No hace falta implementar todo en una semana. Un orden razonable es empezar por lo que más reduce el riesgo con menos esfuerzo: activar la autenticación multifactor en el correo, revisar que ningún equipo tenga el Escritorio Remoto abierto a internet, confirmar que existe un respaldo desconectado que sí se puede restaurar y dar una plática breve al equipo sobre cómo identificar un correo falso. Después se avanza con las actualizaciones, la configuración de DMARC y el plan de respuesta.
Si ya tienes la regla de respaldo 3-2-1 funcionando, vas un paso adelante: la guía de CISA insiste en lo mismo, respaldos aislados y probados.
Fuentes
¿Lo revisamos en tu empresa?
El diagnóstico inicial no tiene costo.