Un lunes cualquiera, los archivos ya no abren. Los nombres cambiaron, hay un documento de texto en cada carpeta y la pantalla muestra una dirección para negociar. Eso es el ransomware: un programa que cifra todo lo que alcanza y cobra por la llave.
No es un escenario exótico. Es el desenlace de casi la mitad de los incidentes, y es donde se ve para qué sirvió todo lo anterior: si hay copia, esto es un mal día; si no la hay, es la pregunta de si el negocio sigue.
Lo que hace especial al ransomware es que no le interesan tus datos, le interesa que tú los necesites. No los roba para venderlos: los deja donde están y te quita el acceso. Por eso la defensa no es esconderlos mejor, es tener otra copia.
Casi todo el mundo tiene algo. El problema es que ese algo suele fallar en uno de estos cuatro puntos, y no se descubre hasta el día en que hace falta.
Es el caso más común. Si está enchufado cuando llega el ransomware, lo cifra también: para el programa es una carpeta más.
Una copia conectada permanentemente no es una copia de seguridad, es un segundo disco del mismo equipo.
Sincronizar no es respaldar. Si un archivo se daña o se cifra, el servicio sube fielmente la versión dañada y sustituye la buena.
Sirve como copia solo si guarda versiones anteriores y sabes recuperarlas.
El trabajo lleva meses corriendo y el correo dice «completado». Nadie ha abierto jamás lo que produce.
Se descubren así carpetas que nunca estuvieron incluidas y archivos que se copiaban vacíos.
Se respaldan los documentos y se olvida la base de datos del programa de facturación, que es justo lo irreemplazable.
La pregunta no es qué archivos copiar, sino qué haría falta para volver a operar el lunes.
Es la formulación clásica, y sigue siendo la más útil porque se recuerda sola.
El original y dos copias. Suena excesivo hasta el día en que una de las dos falla justo cuando la necesitas.
Que no sean dos carpetas del mismo computador. Un disco externo y un servicio en la nube, por ejemplo: un problema que se lleve uno no se lleva el otro.
La clave contra el ransomware y contra el incendio: una copia que no esté enchufada ni sea alcanzable desde el equipo infectado. Un disco que se conecta, se copia y se desconecta cumple.
Una copia que nunca se ha restaurado no es una copia: es una suposición. Es el punto donde falla casi todo el mundo, incluidas empresas grandes con presupuesto. Hacer copias es fácil; comprobar que se pueden devolver es lo que nadie hace, y es lo único que cuenta.
No hace falta simular un desastre. Basta esto, y se hace en una tarde:
La base de datos de facturación, la carpeta de contratos, el inventario. No un documento de prueba.
En una carpeta aparte o en otro equipo. Restaurar encima de lo bueno es como se pierden los datos durante la recuperación.
Que el archivo abra, que la base de datos cargue, que no falten los últimos meses. Aquí es donde aparecen las sorpresas.
Ese número es la respuesta a «¿cuánto estaríamos parados?». Si son tres días y el negocio aguanta uno, ya sabes que la copia existe pero el plan no alcanza.
Si la copia es de anoche, se pierde un día de trabajo. Si es de hace una semana, se pierde una semana. Esa es la otra pregunta que hay que poder responder antes.
Lo primero es desconectar el equipo de la red -cable y wifi- para que no siga alcanzando carpetas compartidas y otros computadores. No se apaga a lo bruto si se puede evitar: hay información útil en la memoria para saber qué pasó.
Después, no se restaura sobre el equipo afectado hasta estar seguro de que está limpio: devolver los archivos buenos a una máquina que sigue infectada los vuelve a perder.
Sobre pagar el rescate, dos hechos comprobables y una recomendación. Los hechos: pagar no garantiza que devuelvan nada -a veces la herramienta que entregan ni siquiera funciona bien- y financia el negocio que lo hace rentable. La recomendación: denunciar, aunque parezca que no servirá de nada. Y si entre lo secuestrado hay datos de clientes, hay además una obligación legal de informar, que es de lo que trata la lección siguiente.
Decide y toca la tarjeta.
De la regla 3-2-1, ¿cuál es la parte que protege específicamente contra el ransomware?
El ransomware cifra todo lo que alcanza desde el equipo infectado. Una copia desconectada queda fuera de su alcance, y por eso es la que sobrevive.
¿Cuál es la señal de que una copia de seguridad todavía no está comprobada?
El aviso de «completado» dice que el proceso terminó, no que lo copiado sirva. Así aparecen carpetas que nunca estuvieron incluidas y archivos que se copiaban vacíos.
Al restaurar después de un ataque, ¿qué error hay que evitar?
Restaurar sobre una máquina que sigue infectada vuelve a perder los archivos buenos, y esta vez ya sin copia. Las otras tres opciones son buenas prácticas.
Hasta aquí, la parte técnica y de costumbres. La lección 7 cambia de terreno: qué dice la ley colombiana. Qué conductas son delito y con qué penas, qué obligaciones tiene una empresa que guarda datos de sus clientes, y a quién hay que avisar cuando ya ocurrió.
Siguiente: La ley en Colombia
Continuar ← El equipo y la red