Módulo 2 · Los ataques, contados en un caso: una semana en el Club Limbreda
Viernes · El cifrado
Caso práctico · escena 5
Caso
Qué hacer: lee lo que pasa y elige. Cada elección tiene su consecuencia y puedes repetir el caso las veces que quieras.
Viernes, 07:50
Situación. Viernes, 07:50. Carla te llama: el ordenador de la sede muestra una pantalla con un mensaje: todos los ficheros están cifrados; para recuperarlos hay que pagar en criptomonedas en 72 horas; si no, publicarán «todo lo que se han llevado». En ese ordenador estaba la hoja de socios, las cuentas del club y las fotos de veinte años de torneos. La «copia de seguridad» era una carpeta sincronizada con una nube, que ahora también muestra los ficheros cifrados.
Decisión 1 · ¿Qué haces con el ordenador?
Ver todo el caso como texto
n0 · Viernes, 07:50
Situación. Viernes, 07:50. Carla te llama: el ordenador de la sede muestra una pantalla con un mensaje: todos los ficheros están cifrados; para recuperarlos hay que pagar en criptomonedas en 72 horas; si no, publicarán «todo lo que se han llevado». En ese ordenador estaba la hoja de socios, las cuentas del club y las fotos de veinte años de torneos. La «copia de seguridad» era una carpeta sincronizada con una nube, que ahora también muestra los ficheros cifrados.
- A) Apagarlo, formatearlo y reinstalarlo para «empezar de cero». → f-0-A
- B) Desconectarlo de la red (quitar el cable, apagar la wifi) sin formatear; hacer una foto a la pantalla; y pedir ayuda: a INCIBE por su línea de ayuda, y a quien sepa de esto si el club conoce a alguien. Comprobar si la nube guarda versiones anteriores de los ficheros. → c-0-B
- C) Dejarlo encendido y conectado mientras se decide qué hacer. → f-0-C
f-0-A · Final «Camino malo»
se pierde cualquier rastro de cómo entraron y de qué se llevaron; y como la nube sincronizada también está cifrada, no hay de dónde recuperar.
Lección: se pierde cualquier rastro de cómo entraron y de qué se llevaron; y como la nube sincronizada también está cifrada, no hay de dónde recuperar.
c-0-B · Consecuencia
la nube tiene un historial de versiones de treinta días; se pueden recuperar casi todos los ficheros de antes del cifrado.
Camino bueno.
- A) Seguir → d1
f-0-C · Final «Camino aceptable a medias»
Lección: No destruir es bueno; dejarlo en la red permite que el cifrado llegue a otros equipos o carpetas compartidas.
d1 · Decisión 2
- A) Pagar: es poco dinero comparado con lo que se pierde. → f-1-A
- B) No pagar; recuperar desde el historial de versiones; denunciar; avisar a los socios de que sus datos pueden haberse publicado; consultar si hay que notificar a la Agencia Española de Protección de Datos; y, antes de volver a usar el ordenador, reinstalarlo desde cero y cambiar todas las contraseñas. → f-1-B
- C) Negociar para que bajen el precio. → f-1-C
f-1-A · Final «Camino malo»
la herramienta que envían descifra parte de los ficheros, mal y despacio; un mes después vuelven a pedir.
Lección: INCIBE lo dice así: no pagar nunca el rescate. Pagar no garantiza recuperar los datos, puede haber otro ataque, pueden pedir más y financia a los delincuentes. Y las fotos ya se han recuperado del historial de versiones.
f-1-B · Final «Camino bueno»
Lección: No pagar; recuperar desde el historial de versiones; denunciar; avisar a los socios de que sus datos pueden haberse publicado; consultar si hay que notificar a la Agencia Española de Protección de Datos; y, antes de volver a usar el ordenador, reinstalarlo desde cero y cambiar todas las contraseñas.
f-1-C · Final «Camino malo»
Lección: La conversación revela que estáis desesperados, el precio sube y, además, hay cuestiones jurídicas sobre el pago que solo puede valorar un profesional.
Qué era: ransomware con doble extorsión
El ransomware cifra los ficheros y pide un rescate por la clave. La doble extorsión añade la amenaza de publicar lo que se copió antes de cifrar: así, tener copias de seguridad ya no basta para que el atacante pierda la baza. Suele llegar por alguna de las puertas de los días anteriores: una credencial robada, un adjunto, una vulnerabilidad sin parchear.
Lo que decide si es un susto o un desastre no se decide el viernes: se decidió antes.
- Copias de seguridad de verdad: aparte, con versiones, fuera del alcance de quien controle el ordenador, y probadas. Una carpeta sincronizada no lo es, aunque el historial de versiones de algunas nubes salve el día, como aquí.
- No destruir evidencias: desconectar, no formatear; una foto de la pantalla; pedir ayuda.
- No pagar. INCIBE, en su canal oficial: «NO PAGAR nunca el rescate». Sus razones: pagar no garantiza recuperar los datos; puede haber otro ataque; pueden pedir más; pagar financia a los delincuentes. Y hay cuestiones jurídicas que solo puede cerrar una persona cualificada, que este curso no cierra.
- Avisar y, si procede, notificar. A las personas afectadas y, si hay datos personales con riesgo, a la AEPD en plazo. En una empresa de un sector regulado, además, a las autoridades que correspondan; eso lo ven «Ciberseguridad para órganos de dirección» y «Las primeras 24 horas».
Dónde pedir ayuda en España, hoy
INCIBE atiende a ciudadanos, empresas y profesionales en su línea de ayuda, el 017, y por los canales de mensajería que publica en su web; es gratuita y confidencial, y asesora, pero no es un canal de denuncia. La denuncia se presenta ante la Policía Nacional, la Guardia Civil o la policía autonómica. Las empresas avisan de incidentes a INCIBE-CERT.
Cuando termines, sigues con «Sábado y domingo · La llamada y el error propio».