Desconecta de la red los equipos afectados, sin borrar nada, y activa tu equipo técnico. No pagues: INCIBE indica que el pago no garantiza recuperar la información. Llama al 017 y comprueba si hay datos personales afectados: en ese caso, puede correr un plazo de 72 horas para notificar a la Agencia Española de Protección de Datos (AEPD). Denuncia también.
Primeras horas
- Aísla. INCIBE advierte de que este programa intenta propagarse a los sistemas conectados y unidades compartidas. Desconecta los equipos y separa las copias de seguridad.
- No apagues ni formatees sin consejo técnico. Se pueden perder rastros útiles.
- Haz una imagen de las unidades cifradas antes de eliminar el programa. Es la recomendación de INCIBE.
- Guarda las pruebas. Nota de rescate, archivos cifrados de muestra, registros, correo de entrada, hora de detección y personas implicadas. Encadena quién hace qué y cuándo.
- Pide ayuda. Llama al 017, a tu proveedor técnico o a un equipo de respuesta. Avisa a tu seguro si tienes póliza.
- Abre un registro de decisiones. Tu notificación y tu defensa dependerán de poder explicarlas.
- No contactes con los atacantes por tu cuenta. Hazlo solo con asesoramiento, si llegas a planteártelo.
¿Y pagar?
INCIBE dice que «en ningún caso» el pago es una opción aconsejada, porque no garantiza la recuperación y fomenta el lucro de los delincuentes. Antes de tomar cualquier decisión sobre este punto, consulta con asesoría legal y técnica.
Obligación de 72 horas con la AEPD
Un cifrado de datos personales puede ser una violación de seguridad, aunque nadie los haya sacado, si afecta a su disponibilidad. El responsable del tratamiento debe:
- Notificar a la AEPD sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tenga constancia, salvo que sea improbable que exista riesgo para las personas (art. 33 del Reglamento General de Protección de Datos, RGPD). Se hace en la sede electrónica de la AEPD, con la herramienta ASESORA BRECHA como ayuda.
- Avisar a los afectados sin dilación indebida si es probable un alto riesgo (art. 34).
- Documentar el incidente, sus efectos y las medidas, incluso si decide no notificar.
Tienes más detalle en la guía de brecha de datos en la empresa.
Obligaciones NIS
Si tu empresa es operador de servicios esenciales o proveedor de servicios digitales (mercados en línea, motores de búsqueda en línea o computación en la nube), debe notificar los incidentes con efectos perturbadores significativos a la autoridad competente, a través de su equipo de respuesta de referencia (arts. 2, 11 y 19 del Real Decreto-ley 12/2018). La primera notificación se hace sin dilación indebida (art. 22). Compruébalo con tu asesor, sobre todo si actúas en sectores regulados.
Denuncia
El Código Penal castiga estos hechos:
- Dañar o hacer inaccesibles datos ajenos de manera grave: prisión de seis meses a tres años (art. 264).
- Interrumpir u obstaculizar gravemente un sistema ajeno: la misma pena, en su mitad superior si perjudica de forma relevante la actividad de una empresa (art. 264 bis).
- Acceder sin autorización vulnerando medidas de seguridad: prisión de seis meses a dos años (art. 197 bis).
Aporta la cronología, la nota y las pérdidas. Si te han engañado también para hacer un pago, mira factura falsa o cambio de cuenta. Busca apoyo en abogados de ciberdelitos.