Plan de respuesta a ransomware para pymes: paso a paso

El ransomware cifra los archivos y sistemas de una organización y exige un pago para liberarlos. La guía #StopRansomware de CISA, la agencia de ciberseguridad de Estados Unidos, advierte que los atacantes además roban datos y amenazan con publicarlos, y que muchas variantes buscan y borran o cifran los respaldos accesibles.

Para una pyme, el problema no es solo técnico. En las primeras horas hay que decidir quién desconecta qué, a quién se llama, qué se les dice a clientes y trabajadores, y si hay que reportar. Si esas decisiones se toman por primera vez en medio del incidente, se toman tarde.

Este artículo es el plan: antes, durante y después, con responsables y una lista de verificación que puedes imprimir. Se basa en la guía de CISA, MS-ISAC, FBI y NSA (septiembre de 2023), en NIST SP 800-61 Rev. 3 (abril de 2025), en la guía del NCSC del Reino Unido y en la Ley 21.663.

Los roles

NIST SP 800-61 Rev. 3 ordena la respuesta según las seis funciones del NIST CSF 2.0: gobernar, identificar y proteger, que preparan; detectar, responder y recuperar, que son la respuesta. Lo importante es que cada rol tenga titular, reemplazo y teléfono anotados.

Antes: preparación

1. Inventario y sistemas críticos. Lista equipos, servicios en la nube, datos y cuentas; marca los críticos para operar o facturar y sus dependencias. CISA lo pide para fijar las prioridades de restauración antes de un incidente, con copia en papel y fuera de línea.
2. Respaldos que el atacante no alcance. CISA recomienda respaldos offline y cifrados. El NCSC agrega: varias copias en distintas soluciones y ubicaciones, dispositivos de respaldo que no queden conectados a la red y nubes que impidan borrar de inmediato las versiones anteriores. El almacenamiento inmutable ayuda, pero CISA advierte que mal configurado puede salir caro.
3. Prueba de restauración. CISA pide probar con regularidad su disponibilidad e integridad en un escenario de desastre. Restaura un sistema completo y mide cuánto demora: un respaldo nunca restaurado es una suposición.
4. MFA en accesos remotos y cuentas privilegiadas. CISA recomienda MFA resistente al phishing en todos los servicios, en especial correo, VPN y cuentas con acceso a sistemas críticos. Incluye la consola de respaldos: el NCSC pide que el segundo factor no esté en el mismo equipo desde el que se administra.
5. Escritorio remoto cerrado. El NCSC señala que el ransomware entra cada vez más por servicios expuestos como RDP o equipos de acceso remoto sin parchar. CISA recomienda cerrar los puertos RDP que no se usan.
6. Segmentación. Separa la red por áreas para que una intrusión no lo alcance todo. CISA recomienda segmentar, mantener un diagrama de red y limitar el tráfico SMB interno a los equipos que lo necesitan.
7. Plan y contactos en papel. Anota los teléfonos del proveedor de TI, del de respaldos, de la aseguradora si tienes póliza, del abogado y del CSIRT Nacional (1510). CISA recomienda una copia impresa y otra offline: si el servidor de archivos está cifrado, no podrás abrir el plan ahí.
8. Ejercicio de mesa. Reúne a los roles y recorran un caso: un lunes a primera hora, los archivos compartidos aparecen cifrados. El NCSC ofrece gratis Exercise in a Box, con escenarios de ransomware. Como sugiere el NCSC, definan también cómo responderían a una demanda de rescate y a la amenaza de publicar datos.

Durante: detección y contención

La lista de respuesta de CISA, adaptada a una pyme:

1. Aísla, no apagues. Desconecta los equipos afectados: cable fuera, wifi apagado. Si son varios, corta la red a nivel de switch. Apaga solo si no hay otra forma de desconectar: según CISA, apagar impide conservar la evidencia que está en la memoria.
2. Coordina por fuera. Usa teléfono u otro canal que no dependa de la red comprometida. CISA advierte que los atacantes pueden estar observando y desplegar el ransomware más ampliamente si notan que fueron descubiertos.
3. Preserva evidencia. Antes de reinstalar: imagen de disco y captura de memoria de una muestra de equipos afectados, registros de seguridad de Windows, logs del firewall y la nota de rescate. En la nube, snapshots de los volúmenes.
4. Corta los accesos del atacante. Identifica las cuentas y sistemas usados para entrar, incluido el correo, y deshabilita las cuentas comprometidas. CISA sugiere deshabilitar VPN, acceso remoto, inicio de sesión único y otros activos expuestos. El cambio general de contraseñas va cuando el entorno esté limpio y reconstruido.
5. Protege los respaldos. Verifica que sigan desconectados y no los conectes a equipos que no sepas limpios, como pide el NCSC.
6. Lleva una bitácora. Hora, hechos y decisiones; la pedirán la investigación, la aseguradora y un eventual reporte.
7. Busca un descifrador. CISA recomienda consultar a las autoridades por descifradores disponibles. No More Ransom, iniciativa de la policía de Países Bajos y Europol con empresas de seguridad, reúne herramientas para descifrar algunas variantes sin pagar.

Después: erradicación y recuperación

1. Averigua cómo entraron y qué dejaron. Para CISA, el ransomware puede delatar un compromiso anterior. Busca persistencia: cuentas no autorizadas, puertas traseras en el perímetro, herramientas de administración remota.
2. Reconstruye en vez de limpiar. Reinstala desde imágenes estándar y restaura desde respaldos offline en una red limpia, por ejemplo una VLAN nueva a la que solo entren sistemas limpios (CISA).
3. Revisa el respaldo antes de usarlo. El NCSC recomienda escanearlo antes de restaurar, porque el ransomware pudo estar en la red un tiempo y copiarse en él.
4. Restaura en orden. CISA prioriza los sistemas críticos para la seguridad de las personas o para generar ingresos, junto con aquellos de los que dependen, y deja al final lo no afectado. Un orden posible:

1. Credenciales nuevas. Con el entorno reconstruido, cambia las contraseñas de los sistemas y cuentas afectados y actualiza las claves de cifrado que administres (CISA).
2. Cierre formal. El responsable técnico declara terminado el incidente según criterios definidos de antemano (CISA).
3. Lecciones aprendidas. Actualiza el plan. NIST SP 800-61 Rev. 3 recomienda compartir las lecciones apenas se identifican, sin esperar a que termine la recuperación.

Comunicación y obligaciones en Chile

Una sola voz hacia dentro y hacia fuera: CISA recomienda actualizar a la gerencia periódicamente y coordinar con comunicaciones lo que se dice. Esta sección resume textos legales; no es asesoría legal.

Ley 21.663, Ley Marco de Ciberseguridad. Se aplica a quienes prestan servicios esenciales y a los operadores de importancia vital que califique la ANCI (art. 4 y 5). Los servicios esenciales incluyen, entre otros, energía, agua, telecomunicaciones, infraestructura digital, servicios de tecnología de la información gestionados por terceros, transporte, banca y medios de pago, y salud. Si tu pyme presta servicios de TI a terceros o atención de salud, revisa si te alcanza.

El artículo 9 obliga a reportar al CSIRT Nacional los incidentes que puedan tener efectos significativos, como los que interrumpen un servicio esencial o afectan sistemas con datos personales (art. 27). Rige desde el 1 de marzo de 2025 (DFL 1-21.663). Los plazos máximos:

Se reporta en csirt.gob.cl/reportar, que exige a servicios esenciales y operadores de importancia vital registrar a su delegado en el Portal ANCI. Si no prestas servicios esenciales, la página tiene igual una categoría para reportar, y el CSIRT atiende en el 1510.

Ley 21.719, datos personales. Introduce en la Ley 19.628 un artículo 14 sexies que obligará a reportar a la Agencia de Protección de Datos Personales "por los medios más expeditos posibles y sin dilaciones indebidas" las vulneraciones que generen un riesgo razonable para los titulares, y a avisar a los titulares cuando se trate, entre otros, de datos sensibles o de menores de 14 años. Según su artículo primero transitorio, esos cambios rigen desde el primer día del mes vigésimo cuarto posterior a su publicación (13 de diciembre de 2024): el 1 de diciembre de 2026. Un proyecto del Gobierno (boletín 18.623-07) busca postergarla: el Senado lo aprobó el 28 de octubre de 2026 con una nueva fecha de entrada en vigencia, el 15 de octubre de 2027, y al 4 de noviembre está en segundo trámite en la Cámara de Diputados. Mientras no se publique como ley, la fecha vigente sigue siendo el 1 de diciembre de 2026; revisa su estado.

¿Pagar el rescate?

En sus avisos conjuntos, como el de Medusa, FBI, CISA y las demás agencias autoras no fomentan el pago: no garantiza recuperar los archivos, puede animar a los atacantes a buscar más víctimas y financia actividades ilícitas. Piden reportar el incidente se pague o no. El NCSC indica que las policías no fomentan, respaldan ni aprueban el pago. Es una decisión de la gerencia con asesoría legal, y conviene discutirla en el ejercicio de mesa, no en medio del incidente.

Lista de verificación

Fuentes

• CISA, MS-ISAC, FBI y NSA · #StopRansomware Guide (septiembre de 2023).
• CISA · #StopRansomware: Medusa Ransomware, AA25-071A (revisado el 18 de agosto de 2026).
• NIST · SP 800-61 Rev. 3 (abril de 2025).
• NIST · Cybersecurity Framework 2.0 (febrero de 2024).
• NCSC · Mitigating malware and ransomware attacks.
• NCSC · Exercise in a Box.
• No More Ransom · About the project.
• BCN · Ley 21.663.
• BCN · DFL 1-21.663.
• BCN · Ley 21.719.
• CSIRT Nacional · Reportar.
• Senado · Tramitación del boletín 18.623-07.
• Senado · Oficio a la Cámara con el proyecto aprobado, boletín 18.623-07 (29 de octubre de 2026).

En Astrum la ciberseguridad es nuestra línea central. Si quieres revisar tu plan de respuesta a incidentes, conversemos.