Respuesta a ransomware en startup: qué hacer en las primeras horas

Contención: aislar sin destruir la evidencia

El reflejo de quien descubre un ransomware es apagar todo. Es un error. La guía NIST SP 800-61 (Computer Security Incident Handling Guide) trata la contención como una fase deliberada, y el apagado abrupto borra la evidencia volátil que vive solo en la memoria: claves de cifrado que el malware aún mantiene en RAM, procesos activos, conexiones de red con el servidor de comando y control e indicadores de compromiso que orientan toda la investigación siguiente.

La acción correcta es el aislamiento de red: desconecte el cable ethernet, desactive el Wi-Fi y remueva el host de los segmentos compartidos, manteniendo la máquina encendida. En ambientes de nube o virtualizados, esto equivale a aplicar reglas de security group que bloquean todo el tráfico, o sacar la instancia de la subred, sin apagar la VM. El objetivo es cortar la propagación lateral y la comunicación con el atacante sin perder el estado del sistema.

En paralelo, contenga las credenciales. El ransomware moderno se mueve lateralmente usando cuentas con privilegios elevados, así que revoque sesiones activas, fuerce la rotación de contraseñas de cuentas administrativas y de servicio, y deshabilite los accesos de integración comprometidos. Documente cada acción con hora: esa línea de tiempo será central para la investigación y para la notificación regulatoria después.

Activar la respuesta a incidentes y por qué la velocidad decide el perjuicio

El ransomware no es un evento puntual, es una operación en curso. Cuando los archivos empiezan a ser cifrados, el atacante ya suele estar hace días o semanas dentro del ambiente, mapeando activos y, en muchos casos, exfiltrando datos antes de disparar el cifrado, la llamada doble extorsión. Por eso la respuesta necesita comenzar mientras la operación aún está activa, no después de que el daño se consolidó.

El ciclo del NIST SP 800-61 organiza esa respuesta en preparación, detección y análisis, contención, erradicación y recuperación, y actividad posincidente. En una startup reducida, rara vez existe un equipo dedicado con guardia para ejecutar esto bajo presión a las tres de la madrugada. Es aquí donde un socio de respuesta a incidentes cambia el juego: Decripte ofrece Respuesta a Incidentes en menos de 1 hora y un SOC que monitorea, contiene e investiga mientras su equipo mantiene el producto en pie. Cuanto más temprano el llamado, menor la ventana de cifrado y de fuga. Comience por nuestro plan gratuito y tenga el canal de emergencia mapeado antes de necesitarlo.

Antes de erradicar, identifique lo que ocurrió: qué variante de ransomware, cuál fue el vector de entrada (phishing, credencial filtrada, VPN o servicio RDP expuesto, vulnerabilidad no corregida) y qué datos fueron accedidos. Sin ese análisis, la recuperación se vuelve prueba y error, y existe el riesgo real de restaurar el ambiente con la misma puerta de entrada aún abierta.

Por qué no pagar el rescate

La presión para pagar es enorme cuando el producto está fuera de servicio y los clientes reclaman. Aun así, la orientación consolidada del CISA en la campaña #StopRansomware es no pagar, y por motivos concretos, no morales. Pagar no garantiza el descifrado: las claves entregadas frecuentemente son defectuosas, lentas o parciales, y parte de las víctimas que pagan no recupera todos los datos. Estaría comprando la promesa de un criminal.

Pagar también le señala al grupo que su startup es una pagadora, lo que aumenta la probabilidad de un segundo ataque, financia la operación criminal y el desarrollo de nuevas variantes, y en casos de doble extorsión no impide la fuga: muchos grupos publican o revenden los datos incluso después de recibir el pago. Antes de cualquier consideración, consulte el proyecto No More Ransom (nomoreransom.org), que mantiene un repositorio de herramientas de descifrado gratuitas; para diversas variantes ya existe una clave pública disponible.

Está además el componente jurídico y de compliance. Dependiendo del grupo responsable del ataque, el pago puede chocar con sanciones internacionales, y el acto de pagar no extingue sus obligaciones bajo la LGPD ni reduce la responsabilidad ante los titulares y socios. La decisión de pagar debería ser siempre el último recurso, tomada con asesoría jurídica y de respuesta a incidentes, nunca una reacción en el calor del momento.

Restaurar a partir de backup con seguridad

Restaurar parece la parte simple, pero es donde muchas startups recrean el desastre. La regla de oro: nunca restaure en un ambiente que aún contiene el vector de entrada. Si la brecha que permitió el ataque sigue abierta, el ransomware vuelve a cifrar los datos recién restaurados, a veces en horas. La erradicación viene antes de la recuperación, en la secuencia del NIST 800-61.

Use solo backups que sabe que están limpios e íntegros. Los backups conectados a la red en el momento del ataque pueden haber sido cifrados o adulterados junto, de ahí la importancia de las copias inmutables u offline. Antes de promover cualquier restauración a producción, valide los datos en un ambiente aislado, confirme la ausencia de artefactos del malware y verifique la integridad de los archivos. Restaure de forma faseada, priorizando los sistemas críticos para la operación de la fintech, y monitoree de cerca cada servicio que vuelve a estar activo en busca de señales de reinfección.

Notificación: LGPD, ANPD y clientes

El ransomware que afecta datos personales es un incidente de seguridad bajo la LGPD. El artículo 48 obliga al controlador a comunicar a la ANPD y a los titulares afectados cuando el incidente pueda acarrear riesgo o daño relevante, y la Autoridad orienta que esa comunicación se haga en un plazo razonable, considerando como referencia plazos cortos a partir del conocimiento del incidente. Para una fintech, que maneja datos financieros, la mayor parte de los casos de ransomware encuadra como riesgo relevante.

La comunicación necesita ser sustantiva: naturaleza de los datos afectados, titulares involucrados, medidas técnicas adoptadas para proteger los datos, riesgos y providencias de mitigación. Es por eso que la documentación hecha durante la contención y el análisis es tan valiosa, alimenta la notificación. Además de la ANPD, evalúe obligaciones sectoriales: las fintechs reguladas pueden tener deberes adicionales ante el Banco Central, además de cláusulas contractuales de notificación con socios y clientes B2B.

Comunicar a los clientes es también gestión de confianza. Sea transparente sobre lo que ocurrió, lo que fue afectado y lo que está haciendo, sin especular antes de tener los hechos. El silencio y la información contradictoria corroen la relación más que el propio incidente. Tenga un responsable único de la comunicación para evitar mensajes descoordinados.

Prevenir el próximo ataque

Todo incidente cierra con la fase de lecciones aprendidas del NIST 800-61: qué falló, qué funcionó y qué cambia a partir de ahora. El vector de entrada identificado durante la respuesta apunta directamente a la corrección prioritaria, sea cerrar un servicio RDP expuesto, corregir una vulnerabilidad pendiente o eliminar credenciales reutilizadas.

Las medidas que más reducen la superficie de ataque en startups son conocidas y accesibles: autenticación multifactor en todos los accesos administrativos y remotos, principio de mínimo privilegio en las cuentas, segmentación de red para limitar el movimiento lateral, gestión disciplinada de parches y detección continua vía EDR y monitoreo de SOC. El CISA #StopRansomware reúne guías prácticas de hardening para cada uno de esos puntos.

La prevención, sin embargo, no es un proyecto de una vez, es una capacidad continua. La detección que identifica el compromiso en la fase de reconocimiento, antes del cifrado, es lo que transforma un desastre en una alerta. Mapear el canal de respuesta a incidentes y tener monitoreo activo antes de la crisis es la inversión de mayor retorno que un founder puede hacer en seguridad.

Checklist práctico

1. 1

   1. Aislar sin apagar

   Desconecte las máquinas afectadas de la red (cable, Wi-Fi, reglas de cloud) manteniéndolas encendidas, para cortar la propagación sin destruir la evidencia volátil en la memoria.

2. 2

   2. Activar la respuesta a incidentes

   Llame de inmediato a su equipo o socio de respuesta. Decripte atiende en menos de 1 hora y el SOC inicia la contención y la investigación mientras su equipo mantiene el producto.

3. 3

   3. Contener credenciales y accesos

   Revoque sesiones activas, rote las contraseñas de cuentas administrativas y de servicio y deshabilite las integraciones comprometidas para impedir el movimiento lateral.

4. 4

   4. Analizar variante y vector de entrada

   Identifique qué ransomware atacó el ambiente, cómo entró y qué datos fueron accedidos o exfiltrados, documentando todo con horas.

5. 5

   5. Erradicar y restaurar de backup limpio

   Cierre el vector de entrada antes de todo; después restaure de backups inmutables y validados en un ambiente aislado, de forma faseada y monitoreada.

6. 6

   6. Notificar a la ANPD y a los titulares

   Evalúe el riesgo a los datos personales y comunique a la ANPD y a los titulares conforme al artículo 48 de la LGPD, además de las obligaciones sectoriales y contractuales.

7. 7

   7. Revisar y prevenir

   Conduzca el análisis posincidente, corrija la causa raíz e implemente MFA, mínimo privilegio, segmentación, parches y detección continua.

Preguntas frecuentes