Checklist de respuesta ante ransomware

✅ Qué SÍ hacer

Desconecta de la red (cable y wifi) los equipos y servidores afectados, y déjalos encendidos.
Desconecta también los discos y unidades de respaldo que sigan conectados a la red.
Avisa de inmediato al responsable de sistemas y define una sola persona que coordine el incidente.
Anota la hora en que se detectó el ataque, qué equipos están afectados y qué se estaba haciendo.
Fotografía la nota de rescate y los mensajes que aparezcan en pantalla.
Identifica qué respaldos existen, dónde están y cuándo se hizo el último.
Contacta a especialistas antes de restaurar, reinstalar o negociar.

No pagues el rescate como primera opción: pagar no garantiza recuperar los archivos.
No borres la nota de rescate ni los archivos cifrados: sirven para identificar la variante.
No formatees ni reinstales los servidores afectados.
No restaures respaldos en la red sin verificar antes que estén limpios.
No ejecutes herramientas de descifrado descargadas de internet sin asesoría: una herramienta equivocada puede dañar los archivos.
No apagues ni reinicies los equipos afectados. Al apagarlos se pierde la información que está en la memoria del equipo, que puede ser clave para analizar el ataque y recuperar los archivos. Desconéctalos de la red y déjalos encendidos hasta hablar con un especialista.
No contactes a los atacantes por tu cuenta.