Ransomware o secuestro de sistemas

¿Es su caso?

• Equipos de la clínica cifrados y nota de rescate en el escritorio
• Servidor de historias clínicas o de gestión inaccesible
• Copias de seguridad borradas o cifradas
• Amenaza de publicar los datos de pacientes o clientes

Ante quién se denuncia

Esta es la ruta habitual. El orden importa: algunas vías tienen plazos que empiezan a correr con su primera comunicación, y otras exigen haber agotado un paso previo. El asistente la ajusta a su caso concreto —comunidad autónoma, tipo de entidad responsable, si dispone de certificado digital— y puede cambiarla por completo.

Apoyo disponible (no reciben denuncias)

Normativa que se cita en el escrito

• Artículo 264 del Código Penal, sobre daños informáticos por borrado, alteración o inutilización de datos, programas o documentos electrónicos ajenos sin autorización y con resultado grave.
• Artículo 264 bis del Código Penal, sobre la obstaculización o interrupción grave del funcionamiento de un sistema informático ajeno.
• Artículo 197 bis del Código Penal, sobre el acceso no autorizado a un sistema de información vulnerando las medidas de seguridad establecidas.
• Artículos 243 y 197.7 del Código Penal, cuando la exigencia de rescate se acompañe de amenaza de difusión de datos.
• Artículos 33 y 34 del Reglamento General de Protección de Datos, sobre notificación de la brecha a la autoridad de control y comunicación a los interesados.

Qué pruebas conservar, y cómo

Hágalo antes de nada: los rastros digitales se sobrescriben solos. Esta lista va de lo específico de su caso a lo que vale para cualquier incidente.

1. No apague los equipos; aíslelos de la redDesconecte el cable de red o el wifi, pero deje el equipo encendido. La memoria volátil puede contener la clave de cifrado y los rastros del atacante, y se pierde al apagar.
2. Conserve la nota de rescate y la dirección de contactoEl archivo de la nota, la dirección de correo o el portal «onion» que indica, el identificador de víctima y cualquier mensaje recibido. Permiten atribuir el ataque a una familia concreta de ransomware.
3. Guarde una muestra de archivo cifrado y su extensiónUn archivo cifrado y, si lo tiene, su versión original. Permiten comprobar si existe herramienta de descifrado pública en No More Ransom.
4. Preserve los registros antes de que rotenCortafuegos, VPN, servidor de correo, controlador de dominio, antivirus y acceso remoto. Muchos sistemas sobrescriben sus registros en pocos días: cópielos hoy a un soporte externo.
5. Verifique las copias de seguridad sin conectarlasCompruebe si las copias están intactas antes de conectarlas a la red afectada. Los atacantes las buscan y las cifran expresamente.
6. No pague el rescateNo garantiza la recuperación, marca a la organización como pagadora ante futuras campañas y financia la actividad delictiva. El pago tampoco extingue el deber de notificar la brecha.
7. No borre ni «limpie» nadaNo elimine correos, conversaciones, perfiles ni archivos, aunque resulten desagradables. Tampoco reinstale equipos. Todo ello es prueba y su desaparición juega en su contra.
8. Capture con fecha, hora y contexto visibleLas capturas de pantalla deben mostrar la dirección completa (URL), el remitente, la fecha y la hora del dispositivo. Una captura recortada sin contexto tiene escaso valor probatorio.
9. Calcule el hash de cada archivo que entregueUn hash SHA-256 acredita que el archivo no se ha modificado desde que lo obtuvo. En Windows: «certutil -hashfile ARCHIVO SHA256». En macOS o Linux: «shasum -a 256 ARCHIVO». Anote el resultado en el propio escrito.
10. Entregue copia, nunca el originalAporte una copia en un soporte que pueda dejar en la dependencia policial o judicial (un USB barato). Conserve usted el original intacto.
11. Anote la cronología mientras la recuerdeFecha y hora de cada hecho, de cada llamada y de cada gestión, con el nombre de quien le atendió y el número de referencia que le dieron. Esta bitácora es, a efectos prácticos, prueba.
12. Valore el sellado de tiempo o el acta notarialSi el contenido puede desaparecer (una publicación, un perfil, una web), un acta notarial o un servicio de sellado de tiempo cualificado fija su existencia en una fecha concreta. Es la forma más sólida de evitar la discusión sobre la autenticidad.

Preguntas frecuentes