Después de un hackeo o un ransomware: recuperarse sin volver a infectarse

Módulo 8: Cuando algo sale mal · Tiempo de lectura: 11 minutos

Objetivo de la lección: Después de esta lección podrá recorrer la fase de recuperación tras un hackeo o un ransomware: contener, averiguar qué ocurrió, restaurar de forma limpia, presentar denuncia, comunicar y aprender de ello.

Conceptos clave: contención, aislamiento, acceso inicial, persistencia, investigación forense, reinstalación limpia, orden de recuperación, denuncia, No More Ransom, rescate, ciberseguro, evaluación

El mayor error: "restaurar todo" demasiado rápido

Un desarrollador web recibe un martes un aviso: el sitio WordPress de un cliente redirige a los visitantes a una tienda falsa. Restaura la copia de seguridad de la semana anterior, el sitio vuelve a funcionar, asunto resuelto. El jueves vuelve a ocurrir. El atacante había entrado a través de un plugin desactualizado y había dejado una cuenta de administrador adicional y un archivo oculto. La copia de seguridad de la semana anterior ya los contenía. Restaurar sin saber cómo entró alguien también vuelve a dejar la puerta abierta.

Lo mismo ocurre con el ransomware en una red de oficina. Los delincuentes suelen llevar ya días o semanas dentro antes de cifrar nada. Durante ese tiempo crean cuentas adicionales, instalan software de acceso remoto y buscan las copias de seguridad. Quien solo restaura los archivos cifrados mantiene al atacante dentro.

Por eso la recuperación se hace en cinco pasos, en este orden.

Paso 1: contener

Contener significa asegurarse de que la situación no empeore. Los primeros minutos están recogidos en su tarjeta de incidente (lección 8.1).

• Aísle los dispositivos afectados: desconecte el cable de red, apague el wifi y la red móvil, o active el modo avión. El NCSC neerlandés recomienda no apagar los sistemas afectados sino desconectarlos; el modo de suspensión sí está permitido. Así se conservan los rastros en la memoria de trabajo y se detiene la propagación.
• Desconecte discos externos y medios de copia de seguridad y no los conecte a un dispositivo que pueda estar infectado.
• Si no puede aislar un sistema, corte la conexión con la unidad de red. Si toda la red se ha visto afectada, desconéctela de internet (por ejemplo, cerrando la conexión a internet o el cortafuegos).
• Cambie las contraseñas desde un dispositivo limpio, empezando por las más importantes: cuentas de administrador, correo, el gestor de contraseñas, el banco. Cierre todas las sesiones en todas partes. No lo haga desde un ordenador que pueda contener un infostealer o un keylogger (lección 1.4), porque entonces le estaría dando la nueva contraseña directamente al atacante.
• Conserve las pruebas: foto del mensaje de rescate, los correos, las solicitudes de pago, las direcciones de criptomonedas, las horas. No tire nada.

En el caso de un sitio web hackeado, contener significa: poner el sitio temporalmente fuera de línea o en modo de mantenimiento, cambiar todas las contraseñas (administración, FTP, base de datos, alojamiento) y avisar a su proveedor de alojamiento.

Paso 2: averiguar qué ocurrió

Quiere saber tres cosas:

1. ¿Cómo entraron? El acceso inicial: un correo de phishing, una contraseña robada sin 2FA, un servidor VPN o un plugin desactualizados, una conexión abierta para administración remota.
2. ¿Qué dejaron atrás? La persistencia: cuentas adicionales, tareas programadas, software de administración remota, reglas de reenvío en los buzones de correo, archivos adicionales en el servidor web.
3. ¿Qué se llevaron? En el ransomware moderno, los delincuentes suelen copiar primero los datos y amenazan con publicarlos (doble extorsión, lección 1.3). En ese caso también tiene una filtración de datos (lección 8.2).

Para una pequeña empresa, esto rara vez se puede hacer uno mismo. Recurra a su proveedor de TI o a una empresa especializada en respuesta a incidentes. Muchos ciberseguros disponen de un número fijo para contactar con uno de estos equipos. Pregunte a una empresa externa qué experiencia tiene con su tipo de incidente y acuerde de antemano qué incluye la investigación.

En el caso de un sitio web, ayudan el registro de accesos y el registro de errores del servidor web, un análisis de malware de los archivos y una comparación con una copia limpia del CMS y los plugins.

Paso 3: restaurar de forma limpia

Solo cuando sepa cómo entró el atacante y haya cerrado esa vía, empiece con la recuperación.

Recupere en el orden que haya establecido en su plan (lecciones 8.1 y 6.3): primero lo que la empresa necesita para seguir funcionando. Mantenga la parte restaurada separada de lo que aún no se ha revisado.

Aquí es donde se comprueba si su copia de seguridad es fiable. Una copia de seguridad que estaba conectada a la red suele quedar también cifrada o borrada. Una copia de seguridad fuera de línea o inmutable (lección 6.2) y un procedimiento de restauración probado (lección 6.3) marcan la diferencia entre días y semanas de parón.

Paso 4: denuncia, notificación y rescate

Denuncia. Presente denuncia ante la Policía Nacional (https://www.policia.es/) o la Guardia Civil (https://www.guardiacivil.es/). Lleve consigo las pruebas (mensaje de rescate, correos, datos de pago). La denuncia es necesaria para la investigación, ayuda a la policía a establecer conexiones, y las aseguradoras suelen pedirla.

No More Ransom. En https://www.nomoreransom.org (una iniciativa de, entre otros, Europol y la policía neerlandesa) puede hacer identificar un archivo cifrado o el mensaje de rescate. Para algunas familias de ransomware existe un descifrador gratuito. Para la mayoría de las variantes nuevas no, pero comprobarlo cuesta poco tiempo.

Notificación. Compruebe qué notificaciones son necesarias: una filtración de datos ante la AEPD dentro de las 72 horas (lección 8.2), a través de su sede electrónica; un incidente significativo según la transposición española de NIS2 si su organización está sujeta a ella (lección 9.1); y lo que haya acordado con sus clientes o comitentes.

Rescate. El NCSC neerlandés recomienda no pagar el rescate, y la policía dice "preferiblemente, no pague". Las razones:

• No tiene garantía de recibir una clave funcional, ni de que los datos no se publiquen de todos modos.
• Los datos que recupere pueden estar dañados o alterados.
• Quien paga queda marcado como alguien que paga. Las víctimas a veces vuelven a ser extorsionadas o atacadas de nuevo más adelante.
• Está financiando el próximo ataque.

Si aun así se plantea pagar, o ya ha pagado, notifíquelo siempre a la policía: los datos de pago pueden ayudar a la investigación. Esta decisión corresponde a quien toma las decisiones según su plan de incidentes, no a quien ve el mensaje primero.

Ciberseguro. Un ciberseguro puede cubrir los costes de investigación, recuperación y daños al negocio, y suele dar acceso a un equipo de respuesta a incidentes. Lea las condiciones: muchas pólizas exigen medidas básicas como la 2FA y las copias de seguridad, y piden que se notifique con rapidez. El NCSC neerlandés escribió en abril de 2025, a partir de una investigación sobre más de 500 incidentes de ransomware en pymes, que los atacantes, tras entrar, buscan archivos con nombres como "seguro" o "póliza" para reforzar su posición negociadora. Compruebe, por tanto, con qué facilidad un intruso podría encontrar su póliza, y evite guardarla en una unidad compartida. Un seguro no sustituye a las medidas de protección: paga el daño, pero no lo evita.

Paso 5: comunicar y aprender

Deje que el responsable de comunicación de su plan cuente una única versión clara a empleados, clientes y proveedores: qué ha ocurrido, qué significa para ellos, qué deben hacer (por ejemplo: estar atentos a correos que parezcan venir de nosotros) y cuándo volverán a tener noticias suyas. Ser honesto y actuar a tiempo funciona mejor que callar hasta que se filtre.

Planifique una evaluación en las próximas semanas: qué salió bien, qué salió mal, qué va a cambiar. Casi siempre surgen los mismos puntos: faltaba la 2FA en algún sitio, un sistema no estaba actualizado, la copia de seguridad no se había probado, o nadie sabía quién podía decidir. Incluya esos puntos en su plan de la lección 9.3, con un responsable y una fecha.

En la práctica: así es como se ve

En el caso de un sitio web hackeado en un paquete de alojamiento, suele trabajarse con las herramientas de su proveedor de alojamiento. En WebOké, estas son, por ejemplo, un análisis de malware (Imunify360), los archivos de registro en DirectAdmin, la restauración de una copia de seguridad desde WebOké Backups y un procedimiento paso a paso en el manual de DirectAdmin. Otros proveedores de alojamiento cuentan con herramientas similares; pregunte a su proveedor qué tiene disponible y hasta qué fecha llegan las copias de seguridad, antes de necesitarlo.

Resumen

• Recuperación en cinco pasos: contener, investigar, restaurar de forma limpia, denunciar y notificar, comunicar y aprender.
• Aísle, no apague, y cambie las contraseñas solo desde un dispositivo limpio.
• No restaure nada antes de saber cómo entró el atacante; de lo contrario, también restaurará la puerta abierta.
• Reinstale los dispositivos infectados y recupere desde una copia de seguridad anterior a la intrusión.
• Presente denuncia, consulte No More Ransom y, preferiblemente, no pague el rescate.

Cuestionario

Ejercicio

Ejercicio A8.3: Ponga el proceso de recuperación en el orden correcto. Recibirá un caso práctico y diez pasos sueltos (por ejemplo, "restaurar copia de seguridad", "desconectar el cable de red", "averiguar cómo entró el atacante", "presentar denuncia"). Colóquelos en el orden correcto. El programa comprueba si se cumplen las reglas fijas de orden (por ejemplo: aislar antes de restaurar, determinar la causa antes de restaurar, reinstalar antes de restaurar datos) y explica el motivo de cada error.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma parecida.

• Manual de DirectAdmin 18.2: Mi sitio web ha sido hackeado: plan de acción
• ¡Ayuda! Han hackeado mi sitio web. ¿Cómo lo soluciono y cómo puedo evitarlo?
• Escáner Imunify360
• WebOké Backups: ver, restaurar o descargar una copia de seguridad
• NCSC neerlandés, ¿Qué hacer en caso de un ataque de ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• NCSC neerlandés, Ransomware en la pyme: los ciberdelincuentes aumentan el rescate cuando hay ciberseguro: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org