Cuando una empresa nos llama porque no arranca ningún servidor, la conversación se parece siempre. Y el orden en el que se toman las primeras decisiones explica buena parte de la diferencia entre un expediente de tres semanas y uno de cuatro meses.
Antes del cifrado ya llevaban dentro semanas
El cifrado es el final, no el principio. El acceso suele producirse días o semanas antes por una credencial válida comprada o reutilizada, y ese tiempo se dedica a moverse por la red, elevar privilegios y localizar las copias de seguridad. Por eso los backups conectados al dominio se pierden con el resto: no es mala suerte, es el objetivo declarado del atacante antes de lanzar el cifrado.
La primera llamada decide el resto del expediente
Las pólizas de ciber trabajan con un panel de respuesta: forense, abogado especializado y negociador, activables por un teléfono disponible a cualquier hora. Contratar por libre un forense propio antes de avisar suele chocar con la exigencia de autorización previa del asegurador y abre una discusión sobre si el gasto es reembolsable. La secuencia correcta es avisar primero y contratar después, aunque parezca contraintuitiva con los sistemas parados.
De qué se compone la factura real
Por orden de importe habitual: la pérdida de beneficios por los días sin operar, las horas de reconstrucción del entorno, el forense, la asistencia jurídica y las notificaciones a afectados y a la autoridad de control. El rescate, cuando llega a pagarse, rara vez es la partida dominante. Conviene revisar que el sublímite de interrupción y el periodo de espera, con frecuencia entre ocho y doce horas, encajan con lo que la empresa aguanta parada sin daño comercial.
La reconstrucción cuesta más de lo que se presupuesta
Restaurar no es devolver los datos a su sitio: es levantar un entorno limpio, sin la puerta por la que entraron, con directorio activo reconstruido y credenciales rotadas. En organizaciones medianas eso son semanas de trabajo. Aquí la garantía que marca la diferencia es la de mejora de sistemas, que cubre la parte de la reconstrucción que deja la infraestructura mejor de lo que estaba, y que no todas las pólizas incorporan.
Las tres cosas que conviene tener resueltas hoy
Una copia de seguridad desconectada del dominio y probada con una restauración real en los últimos seis meses. Un teléfono de aviso a la aseguradora accesible fuera del correo corporativo, porque durante el incidente el correo no funciona. Y una lista impresa de contactos críticos: dirección, responsable de sistemas, asesor jurídico y corredor. Suena elemental hasta la noche en que hace falta.
