La primera hora: aislar, avisar y preservar

En la primera hora no se resuelve el incidente. Se frena la propagación, se avisa a las personas correctas y se cuida la evidencia: notas, registros, archivos y memoria que muestran qué pasó, y que va a necesitar para investigar, denunciar y reclamarle al seguro. La reacción instintiva (apagar todo y empezar a borrar) va justo en contra de las tres cosas.

Minuto 0 a 10: aislar sin apagar

Desconecte de la red los equipos afectados: quite el cable y apague el Wi-Fi, o aíslelos desde la consola del antivirus o del EDR (endpoint detection and response), que corta la red de un equipo con un clic. No los apague si puede evitarlo. La memoria RAM guarda procesos, conexiones y a veces claves de cifrado que se pierden al apagar.

Hay una excepción. Si un servidor sigue cifrando a toda velocidad y no hay forma de aislarlo, apagarlo puede salvar lo que queda. Es una decisión consciente, y se anota con la hora y el nombre de quien la tomó.

En ese mismo arranque: corte la salida a internet o la VPN del sitio si el ataque ya se ve en varios equipos, desconecte los discos de respaldo que sigan enchufados, y no corra "limpiadores" ni borre archivos sospechosos todavía.

Minuto 10 a 20: avisar

Active a la persona responsable de incidentes y a la gerencia. Si tiene proveedor de TI o una póliza de ciberseguro, llame ya: muchas pólizas exigen aviso temprano e incluyen un equipo de respuesta contratado. He visto reclamos complicarse porque la aseguradora se enteró tres días después.

Minuto 20 a 60: preservar

Abra una bitácora: hora, persona y acción, en orden. Todo lo que se haga va ahí, porque sirve para la denuncia, para la aseguradora y para entender después qué pasó. En papel está bien; lo importante es que exista desde el minuto uno y no reconstruida de memoria al día siguiente.

Tome fotos de las pantallas con la nota de rescate, sin abrir enlaces ni escribirle al atacante. Guarde una copia de la nota y de un par de archivos cifrados de muestra. Exporte los registros del firewall, la VPN y los servidores antes de que se sobrescriban; algunos equipos de borde guardan pocos días. Y desde un equipo limpio, cambie las contraseñas de administrador y del correo, empezando por las de más privilegio.

14:05  Ana (contabilidad) ve nota de rescate en PC-CONT-02
14:08  Luis desconecta cable de red de PC-CONT-02, equipo encendido
14:12  Luis llama a gerencia y a proveedor de TI
14:20  Foto de la nota guardada en celular de Luis

Para tener a mano

Escriba en una tarjeta los tres verbos de la primera hora (aislar, avisar, preservar) y, al lado, el teléfono de quien tiene que recibir la llamada. Péguela donde la vea quien abre la oficina. El día del incidente nadie va a buscar un documento en la intranet, entre otras cosas porque puede estar cifrada.