Què ha de fer una empresa si pateix un atac de ransomware?
El primer és contenir: desconnectar de la xarxa els equips afectats sense apagar-los, avisar l'equip tècnic i no pagar ni contactar amb els atacants. Després cal valorar l'abast, preservar evidències, comunicar l'incident (a l'asseguradora, a la policia i, si hi ha dades personals afectades, a l'autoritat de protecció de dades en un termini de 72 hores) i restaurar des de còpies que no estiguin compromeses. La recuperació depèn gairebé del tot de tenir còpies aïllades i provades.
Per a qui és rellevant
Rellevant per a qualsevol empresa, i especialment per preparar-se abans que passi: aquesta pàgina és útil imprimida i guardada fora dels sistemes.
Primera hora: contenir
- Desconnectar de la xarxa (cable i wifi) els equips afectats. No apagar-los: la memòria pot contenir informació útil per a l'anàlisi.
- Avisar el responsable informàtic o el proveïdor i direcció.
- Bloquejar l'accés remot (VPN, escriptori remot) fins que se'n conegui l'abast.
- Canviar des d'un equip net les contrasenyes dels comptes d'administració i del correu.
- No esborrar res ni reinstal·lar equips encara.
El que no s'ha de fer
- Pagar el rescat o negociar sense assessorament: no garanteix recuperar les dades i finança nous atacs.
- Connectar discos de còpia a la xarxa afectada abans de netejar-la.
- Restaurar còpies sense saber quan va començar l'atac: es pot reintroduir el problema.
A qui s'ha de comunicar
| Destinatari | Quan | Per què |
|---|---|---|
| Asseguradora (si hi ha ciberassegurança) | Al més aviat possible | La pòlissa sol exigir avís immediat i pot aportar equip de resposta. |
| INCIBE, telèfon 017 | Durant la gestió | Assessorament gratuït en ciberseguretat per a empreses i ciutadans. |
| Policia (Mossos d'Esquadra) | Quan sigui possible | Denúncia del delicte; sovint la demana l'asseguradora. |
| AEPD | Màxim 72 hores des que se'n té coneixement | Obligatori si hi ha dades personals afectades i risc per a les persones. |
| Clients i proveïdors | Segons l'impacte | Si s'han pogut veure afectats o poden rebre correus fraudulents. |
Recuperar l'activitat
- Identificar com van entrar (correu, accés remot, vulnerabilitat) i tancar la porta.
- Netejar o reinstal·lar els equips afectats.
- Restaurar des de la darrera còpia neta, començant pels processos crítics.
- Vigilar els sistemes durant les setmanes següents.
- Revisar què ha fallat i actualitzar el pla de continuïtat.
Criteri Esolvo
La diferència entre perdre dies o setmanes la marca gairebé sempre l'existència d'una còpia aïllada que l'atacant no ha pogut xifrar, i haver provat abans que es restaura.