Escenario, el segundo día en Panificadora Sibundoy

Esta mañana el cortafuegos bloqueó una conexión saliente desde uno de los sistemas que ya se habían restaurado y conectado a la red de producción. Esa conexión no la inició ninguna persona: salió de una tarea programada.

Los sistemas no se restauraron todos del mismo punto. Para el equipo de la tarea anterior se usó un punto de respaldo concreto, el más reciente que había en el catálogo en aquel momento.

La primera actividad confirmada del atacante está en la cronología. Todos los puntos del catálogo siguen disponibles, así que la pregunta no es cuál existe, sino cuál es anterior a esa primera actividad. Hay uno posterior que parece limpio porque la tarea sospechosa todavía no existía cuando se tomó, pero eso no lo vuelve seguro.

La gerencia pregunta cuánta operación queda fuera si se restaura desde el punto seguro. Se cuenta desde la hora de ese punto hasta el momento en que empezó el cifrado en el servidor de archivos, que es lo que se perdería si no existe otra copia.

El equipo restaurado lleva casi una hora en la red de producción, la tarea sospechosa volverá a intentar su conexión a las 08:30 de mañana y la gerencia espera una hora de facturación. El dueño del servicio quiere dejar el equipo como está porque «ya se bloqueó».