Recuperación ante ransomware: cómo prepararse antes del ataque

La guía #StopRansomware de CISA, NSA, FBI y MS-ISAC (octubre de 2023) es directa: la mayoría de los atacantes buscan los respaldos accesibles y los borran o los cifran, para que restaurar sea imposible sin pagar. Buscan credenciales guardadas en la red y las usan para entrar a la consola de respaldo. También atacan soluciones de respaldo sin parches.

La copia automática a la nube tampoco basta por sí sola. Si los archivos locales se cifran, la sincronización puede subir esa versión cifrada y sobrescribir la buena. Un respaldo que comparte credenciales, red o dominio con producción cae con producción.

Las normas de la región ya piden respaldos probados. El Art. 35 de la Circular CNBS 025/2022 dice que los procedimientos de respaldo y recuperación "deben ser probados periódicamente" y exige, como mínimo, respaldos al cierre contable mensual y anual. La NRP-23 de El Salvador (Art. 23) pide procedimientos de respaldo "regular y periódicamente validados". La JM-98-2025 de Guatemala (Art. 20) pide validación de las copias, procedimientos de restauración y, para información crítica, copias como mínimo diarias, en infraestructura dentro del territorio nacional. Ninguna dice cómo debe sobrevivir el respaldo a un atacante con credenciales de administrador. Esa parte le toca a usted.

CISA pide respaldos fuera de línea y cifrados de los datos críticos, y pruebas regulares de su disponibilidad e integridad en un escenario de desastre. Fuera de línea significa que, desde la red de producción, nadie puede borrarlos, ni siquiera con la cuenta de dominio más alta. Estas son las preguntas que conviene hacer:

CISA menciona el almacenamiento inmutable de algunos proveedores de nube como opción, con una advertencia: no todas las regulaciones lo aceptan y una mala configuración puede salir cara. Si su institución lo usa, confirme con su área de cumplimiento que la ubicación de los datos encaja con su norma. En Guatemala, por ejemplo, las copias de información crítica deben estar en el territorio nacional.

• Existe al menos una copia que no se puede modificar ni borrar desde la red de producción ni con credenciales de dominio.
• La consola de respaldo usa cuentas propias, con MFA, que no existen en el directorio de producción.
• Hay imágenes base actualizadas de los sistemas críticos para reconstruirlos desde cero, como recomienda CISA.
• El código fuente, los instaladores y las licencias de los sistemas críticos están guardados junto con los respaldos fuera de línea.
• Alguien restauró una muestra este trimestre y anotó cuánto tardó.
• El tiempo real de restauración se comparó con el RTO y el RPO aprobados.

El orden importa. La lista de respuesta de CISA pide primero aislar los sistemas afectados y triarlos para restauración según una lista previa de activos críticos: los que generan ingresos, los que sostienen servicios esenciales y los sistemas de los que dependen. Para un banco, eso suele significar el core, los canales digitales, la red de pagos y el directorio. Si esa lista no existe hoy, el día del incidente se discute en caliente.

Antes de reconstruir, CISA advierte que un ransomware puede ser la última etapa de una intrusión anterior que nunca se resolvió. Si se restaura sin buscar ese acceso previo, el atacante vuelve a entrar. Por eso la restauración se hace en una red limpia. Si se crea una VLAN de recuperación, solo entran sistemas verificados como limpios.

La JM-98-2025 (Art. 30) pide mecanismos para "resistir, responder y recuperarse" de un incidente cibernético, de acuerdo con el plan de recuperación ante desastres. En los cuatro países, el plan de recuperación debe probarse. Una prueba que solo restaura una base de datos de ejemplo no responde a la pregunta real, que es si el negocio vuelve en el tiempo que la Junta aprobó.

Durante un ataque, cada hora sin decidir cuesta. CISA recomienda que el plan de respuesta y el plan de comunicaciones estén aprobados por escrito por el gerente general o su equivalente, y que exista una copia impresa y otra fuera de línea. Estas decisiones deberían estar tomadas y firmadas antes:

Sobre el pago, CISA y las agencias que firmaron la guía no recomiendan pagar. Pagar no asegura que los datos se descifren, ni que los sistemas queden limpios, ni que los datos robados no se publiquen. La guía también advierte riesgos de sanciones del Tesoro de Estados Unidos cuando el pago llega a personas sancionadas. Su área legal debe revisar ese punto antes de cualquier incidente, no durante.

• Quién puede ordenar desconectar la red o apagar un servicio crítico.
• Qué canal usará el equipo si el correo y Teams están comprometidos. CISA pide comunicación fuera de banda, por ejemplo llamadas.
• En qué orden se restauran los sistemas y quién firma ese orden.
• Qué firma externa de respuesta o forense se llama, con el contrato ya firmado.
• Quién habla con el supervisor, con los clientes y con la prensa.
• Qué cubre la póliza de seguro cibernético, si existe, y a quién se avisa primero.

Un ransomware que afecta la operación de un banco es, casi siempre, un incidente notificable. Estos son los plazos que encontramos en los textos oficiales:

Guarde evidencia desde el primer minuto. CISA pide, en recursos de nube, tomar una instantánea de los volúmenes para el análisis forense. También advierte que apagar un equipo destruye la evidencia en memoria. Por eso se apaga solo si no hay otra forma de aislarlo. El reporte final de la CNBS pide causa raíz y vulnerabilidades explotadas, y sin evidencia esa parte queda en blanco.

Esta lista sirve para una revisión trimestral con TI, continuidad y riesgos. Si un punto no tiene evidencia, márquelo como pendiente:

• Existe una lista aprobada de sistemas críticos, con el orden de restauración y sus dependencias.
• Al menos una copia de los datos críticos está fuera de línea o es inmutable, y no comparte credenciales con producción.
• La consola de respaldo tiene parches al día y MFA.
• En el último año se restauró un sistema crítico completo en una red aislada, y se midió el tiempo contra el RTO.
• Hay imágenes base actualizadas para reconstruir servidores y estaciones.
• El plan de respuesta y el de comunicaciones están aprobados por escrito y hay una copia impresa.
• La lista de contactos del supervisor, la firma forense, la aseguradora y el área legal está fuera de la red corporativa.
• Los plazos de aviso de su país están escritos en el plan, con el responsable de cada uno.
• La gerencia decidió por escrito su postura ante un pedido de rescate, con revisión legal.
• Se hizo un ejercicio de mesa con un escenario de ransomware en los últimos 12 meses.