La secuencia antes del cifrado

Las fases van en este orden porque cada una necesita a la anterior. No se llega a los servidores de archivos sin saber que existen, y no se entra en ellos con la cuenta de quien abrió la puerta: hay que conseguir otra con más alcance. Después se callan las defensas del equipo donde va a pasar lo importante, y solo entonces se saca una copia de los datos. El cifrado se deja para el último momento por una razón práctica: es lo único ruidoso de toda la lista. En cuanto empieza, la empresa entera se entera.

Para la defensa, ese orden es una buena noticia mal aprovechada. Entre la primera huella y el cifrado suele haber días, no minutos, y cada fase deja algo escrito que se podía haber visto. En el incidente de noviembre pasaron 78 horas entre lo primero y lo último. El problema no fue la falta de datos: fue que cada señal, mirada sola, se parecía a trabajo normal.

Hay una fase que no genera alertas: genera silencio. Antes de tocar los datos, alguien detuvo el servicio del agente de seguridad de un servidor, añadió una exclusión para que una carpeta dejara de revisarse y vació el registro de eventos. Tres acciones en once minutos, con una cuenta de administración y sin un solo ticket de cambio. A partir de ahí ese equipo dejó de contar lo que le pasaba, y en la consola eso no se ve como un problema: se ve como un equipo tranquilo.

Por eso en un SOC se vigila que cada equipo siga hablando. Una regla que avise cuando un agente lleva media hora callado habría saltado veintiséis horas antes del cifrado, y con una frase que ya decide sola: «este servidor dejó de reportar y nadie lo pidió». Busca en qué equipo pasó.

Una hora y media después del silencio salieron 48 GB del mismo servidor hacia un destino de almacenamiento en la nube que no estaba en ninguna lista de la empresa. Esa salida no es la más grande de la noche —el respaldo contratado mueve cien veces más, todas las noches, a la misma hora y al mismo sitio—, y ahí está la lección: el volumen solo no distingue nada. Lo que separa a una de otra son las otras columnas: otro equipo, otro destino, fuera de cualquier ventana prevista.

Esta fase cambia además lo que significa el incidente. Con los datos fuera, restaurar desde un respaldo deja de resolverlo todo: la empresa recupera sus archivos y sigue teniendo el problema de que otro los tiene. Por eso una salida de datos rara, de madrugada y a un destino nuevo, se escala aunque todavía no haya pasado nada más.

Vale la pena detenerse en por qué se molestan en sacar los datos antes de cifrar, porque explica cómo se negocia después y, sobre todo, cómo se escala. Un ataque que solo cifra pierde toda su fuerza contra una empresa con respaldos probados: se restaura y se sigue. Un ataque que además se llevó una copia conserva una amenaza que ningún respaldo arregla —publicar o vender lo que tiene—, y por eso la exfiltración es hoy parte de la secuencia y no un extra.

Para el turno, la consecuencia es concreta. En el escalado no basta con decir «cifraron el servidor de archivos»: hay que decir qué salió, cuándo y hacia dónde, porque de eso dependen avisos que no son técnicos —clientes, proveedores, la autoridad de protección de datos— y que tienen sus propios plazos.

Media intrusión cabe en una sola cuenta, y no es la de ninguna persona. Una cuenta de servicio no recibe notificaciones, no cambia de contraseña por su cuenta y suele poder entrar en muchos sitios, así que es cómoda para moverse sin que nadie note nada raro. En esta reconstrucción, cuatro de las ocho huellas llevan la misma, desde la noche en que apareció en tres servidores en once minutos hasta el cifrado. Encontrarla es lo que une las alertas sueltas en un solo incidente.