# data[].attributes.body
Hola a mi este ejemplonde incidente ya me pasl con una de las empresas a las que asesoro en mi localidad.
Recibi la llamada de una operaria  y dueña del camping del pueblo. Que habia abierto un correo electronico con un ejecutable proveniente dm de una supuesta comunicacicon de su banco.
El ejecutable le empezo a encriptar todos los dscos duroa de los ordenadores de la oficina. Cuando me llamó el desastr estaba en marcha. Urgentemente le inste a que apagara todos los ordenadores y los router para q no se propagara a más disposituvos suyos onde clientes.  Al actuar ràpido pudimos dejar el incidente a la mitad del discoduro del pc de administracion y no llegóa clientes que en ese momentos estaba en el camping usando la red. Aconsejé que avisara a clientes y proveedores del incidente.  Así lo hizo y anuncio que estarín varios dias sin poder restablecer las tarras administrativas.
El virus en cuestión le encriptó 500gb de datos existentes en el pc. En cada carpeta habia dejado un archivo con avisos qje si queria restablecer pagara un rescate. A lo que nos negamos. 500$ de rescate qe la dueña estaba decidida a pagar por recuperar los datos. Le aconsejamos que era amejor no pagar porque seria acceder a màs amenazas. Para restablecer  el incidente me pus en contact con INCIBE  en aquella época era INTeCO tras mamdarle el ejecutable y analizarlo durante varios dias, nos mandaron el archivo para desencriptsr archivos.
Pudimos recuperar el 100x100 De los datos pero lasnperdidas fueron minimas. Eengorro de trabajo de oficina de varios dias atrasado. Las pérdidas económicas las evaluaria la empresa.
Actualmente solventan estos casos con formación y conciencia en temas de uso seguro de las TICs e internet que les vamos pasando periódicamente.
Eso me pasó hace unos años.
Aconsejo a todos los que os dediqueis a la seguridad tener como referencia a INCIBE  antes INTECO,

# data[].attributes.body
¿Cuándo o desde cuando ocurre?

Todo comienza cuando el comercial descarga el archivo adjunto al correo y reenvia a los compañeros para que prueben a abrirlo.

Quién ha podido hacerlo, por qué y cómo.

Nos piden un importe  para poder recuperar los datos. Además del lucro por la venta de los datos recopilados.
La Diputación no va a pagar ningún importe para subsanar este tema a través de la amenaza. Al menos de esta manera.
Se tendrá que buscar otras soluciones.

Quien crea estas situaciones suelen ser personas con ánimo de lucro, son expertos que entran en el sistema informático, bien sea, aprovechando el despiste y la buena intención del empleado. Les envía archivos de enlace para entrar en el sistema.
.

El lucro del ciber criminal puede ser directo con la empresa a la que abordan u obtener información de la misma para terceros (otras empresas de publicidad o ventas)
Otra posibilidad es el sabotaje de empresas de la competencia.
Antes de nada tenemos que avisar a todos los compañero/as que no están infectados para evitar que se agrave el problema.

Porqué ha ocurrido??

Posiblemente la persona que ha abierto el email ha tenido un exceso de confianza y no ha analizado el correo que le ha llegado antes de abrirlo.
Hay que tener además de formación mucha concienciación del peligro que tiene una red de internet, donde puede entrar cualquier cibernauta .

Debemos de tener actualizado un antivirus.

El correo que ha llegado está claro que tiene una intención determinada que en principio nosotros no sabemos determinar hasta el análisis  de lo ocurrido.

Ya que puede ser motivo de robo de datos internos de nuestra empresa, datos personales, económicos. etc

Ante cualquier sospecha aunque sea leve.
Se debe parar un segundo y
NUNCA reenviar a los compañeros.

Actuación

Lo mejor será que no toquemos los equipos.
Hay que asegurarse que equipos se han infectado y cuales no. Pero de manera real.
Y evitar transmisión física con pendrive,....

La empresa que se dedica al mantenimiento de los equipos y redes deberá trabajar para tratar de frenar el problema desconectando los ordenadores del servidor.
1 Desconectar los ordenadores infectados de la red
2 Contactar son el soporte informático para :
2.1 Reinstalar desde cero al menos un PC limpio
2.2 volcar las copias necesarias en el junto con los programas de clientes y facturación necesarios
2.3 Comunicar a los clientes que se va a ralentizar el servicio por problemas técnicos

Antes de nada tenemos que avisar a todos los compañeros/as que no están infectados para evitar que se agrave el problema.

Los que esten infectados ya poco podemos hacer. Lo mejor será que no toquemos los equipos y menos utilizar el correo electrónico.

La empresa que se dedique al mantenimiento de los equipos y redes deberá trabajar lo mas rápido posible para cuanto antes tratar de frenar el problema desconectando los ordenadores del servidor.

Una vez que conozcamos con certeza lo que ha ocurrido, y la gravedad que implica para nuestra empresa, nos pondremos en contacto con todos nuestros clientes y también con nuestros proveedores, a través de llamadas de teléfonos, e-mails, cartas.

Responsable de seguridad.

Informar al  INCIBE

3. ¿Cuándo o desde cuándo ocurre?
desde que llegó el mail.

5. ¿Cuáles son los daños materiales, personales y económicos? ¿Podemos valorarlos?
Daños materiales :
Los equipos infectados deben ser restablecidos libres del ataque y mientras eso se hace se deben asignar los recursos disponibles para restablecer la actividad normal de la empresa gradualmente.

Daños económicos:
Los distintos departamentos no han podido trabajar por lo que la actividad de la empresa esta parada.

Facturación  no ha podido facturar
El jornal de los profesionales.
El coste del día " Perdido".
Factura de la empresa que nos ayude.
Hay que hacer una previsión de gasto  de 15.000€ aprox.

Daños personales:
En principio no hay constancia, que haya habido daños personales.
Daños económicos: los distintos departamentos no han podido trabajar por lo que la actividad de la empresa esta parada

7. ¿Tiene consecuencias sobre nuestra reputación?
Si que afecta a nuestra reputación pero no de manera negativa.

a. El Delegado de Protección de Datos de la empresa deberá  comunicar a la Agencia Española de Protección de Datos la existencia de una brecha de seguridad.

b. Si la brecha de seguridad implica un riesgo potencial para los titulares de los datos personales afectados, habrá que comunicárselo para que adopte medidas de seguridad adecuadas.

c. Se puede solicitar asistencia técnica del CCN - CERT o Incibe para solucionar el incidente y evitar que pueda repetirse en otras empresas u organismos.

¿Implicaciones legales?

Tendremos que ponernos en contacto con un asesor legal y que nos asesore.
Ponernos en contacto con la policía o guardia civil.

Prevención

Para proteger la información de la NUBE:
- tener actualizado el dispositivo
- realizar frecuentes copias de seguridad
- tener contraseñas fuertes
- que el almacenamiento en la nube cuente con protección de datos.
- Vacunar los equipos

SOLUCIONES Y CONCLUSIONES:

SOLUCIÓN.
Crear una copia de los discos duros comprometidos para tratar de recuperar los datos, de forma que se dejen los equipos principal intacto por si se dañan los archivos al tratar de desencriptarlos. Así se podrá volver siempre al punto de partida. Además, de esta forma también podría ser usado como prueba en una investigación judicial.  Tras hacer eso, el usuario tendrá que desinfectar la copia mediante un antivirus para que, en caso de que se consigan liberar los documentos, el malware no los vuelva a cifrar. Con esto se elimina el programa malicioso que bloqueó el acceso a los datos, pero no el cifrado en sí. Es decir, el sistema ya estaría limpio pero todos los archivos afectados siguen encriptados.  Para tratar de solventar esto es  recomiendable usar la herramienta Crypto-sheriff, que ayuda a identificar la variante de malware que ha atacado el sistema.
Es el único método efectivo, con soluciones de ciberseguridad para empresas, auditorías continuas de vulnerabilidades, formación de los usuarios en buenas prácticas y, por supuesto, la realización de copias de seguridad de toda la información crítica de la empresa”

LA FORMACIÓN CONTINUA PARA "REFRESCAR" los riesgos actuales de estos problemas.
Hablar sobre los últimos avances y ataques en estos campos.

ANTIVIRUS
DE PAGO. los gratuitos pueden dar problemas o al final las prestaciones realmente necesarias para la empresa vamos a tener que pagar los complementos.

# data[].attributes.body
Antes de nada tenemos que avisar a todos los compañero/as que no están infectados para evitar que se agrave el problema.
Lo mejor será que no toquemos los equipos.
La empresa que se dedica al mantenimiento de los equipos y redes deberá trabajar para tratar de frenar el problema desconectando los ordenadores del servidor.
1 Desconectar los ordenadores infectados de la red
2 Contactar son el soporte informático para :
2.1 Reinstalar desde cero al menos un PC limpio
2.2 volcar las copias necesarias en el junto con los programas de clientes y facturación necesarios
2.3 Comunicar a los clientes que se va a ralentizar el servicio por problemas técnicos
1. ¿Qué ha ocurrido?
Porqué ha ocurrido??
Posiblemente la persona que ha abierto el email ha tenido un exceso de confianza y no ha analizado el correo que le ha llegado antes de abrirlo.

2. ¿Dónde se ha originado? ¿qué

dispositivos están afectados?

3. ¿Cuándo o desde cuándo ocurre?

4. ¿Quién ha podido hacerlo, por qué y cómo

(posibles causas)?

5. ¿Cuáles son los daños materiales,

personales y económicos? ¿Podemos

valorarlos?
:los distintos departamentos no han podido trabajar por lo que la actividad de la empresa esta parada
Daños materiales : los equipos infectados deben ser restablecidos libres del ataque y mientras eso se hace se deben asignar los recursos disponibles para restablecer la actividad normal de la empresa gradualmente

6. ¿Tendremos que avisar a nuestros clientes

o usuarios?

7. ¿Tiene consecuencias sobre nuestra

reputación?
El Delegado de Protección de Datos de la empresa deberá  comunicar a la Agencia Española de Protección de Datos la existencia de una brecha de seguridad.
2. Si la brecha de seguridad implica un riesgo potencial para los titulares de los datos personales afectados, habrá que comunicárselo para que adopte medidas de seguridad adecuadas.
3. Se puede solicitar asistencia técnica del CCN - CERT o Incibe para solucionar el incidente y evitar que pueda repetirse en otras empresas u organismos.

¿Implicaciones legales?
Tendremos que ponernos en contacto con un asesor legal y que nos asesore.
Ponernos en contacto con la policía o guardia civil.

# data[].attributes.body
Todo comienza cuando el comercial descarga el archivo adjunto al correo y reenvia a los compañeros para que prueben a abrirlo

# data[].attributes.body
Porqué ha ocurrido??
Posiblemente la persona que ha abierto el email ha tenido un exceso de confianza y no ha analizado el correo que le ha llegado antes de abrirlo.
Hay que tener además de formación mucha concienciación del peligro que tiene una red de internet, donde puede entrar cualquier cibernauta .
Debemos de tener actualizado un antivirus.
El correo que ha llegado está claro que tiene una intención determinada que en principio nosotros no sabemos determinar hasta el análisis  de lo ocurrido. Ya que puede ser motivo de robo de datos internos de nuestra empresa, datos personales, económicos. etc.

# data[].attributes.body
Lo mío es : Quién ha podido hacerlo, por qué y cómo.
Quien crea estas situaciones suelen ser personas con ánimo de lucro, son expertos que entran en el sistema informático, bien sea, aprovechando el despiste y la buena intención del empleado. Les envía archivos de enlace para entrar en el sistema.
El lucro del ciber criminal puede ser directo con la empresa a la que abordan u obtener información de la misma para terceros (otras empresas de publicidad o ventas)
Otra posibilidad es el sabotaje de empresas de la competencia.

# data[].attributes.body
Para proteger la información de la NUBE:
- tener actualizado el dispositivo
- realizar frecuentes copias de seguridad
- tener contraseñas fuertes
- que el almacenamiento en la nube cuente con protección de datos.

# data[].attributes.body
Hay que tener además de formación mucha concienciación del peligro que tiene una red de internet, donde puede entrar cualquier cibernauta y robar/bloquear toda la información. 

# data[].attributes.body
Hay que tener además de formación mucha concienciación del peligro que tiene una red de internet, donde puede entrar cualquier cibernauta y robar/bloquear toda la información. 

# data[].attributes.body
¿Qué hacemos para que la empresa siga funcionando lo antes posible?

1 Desconectar los ordenadores infectados de la red
2 COntactar son el soporte informático para :
2.1 Reinstalar desde cero al menos un PC limpio
2.2 volcar las copias necesarias en el junto con los pgoramas de clientes y facturación necesarios
2.3 Comunicar a los clientes que se va a ralentizar el servicio por problemas técnicos

# data[].attributes.body
Mª CARMEN CAMACHO
Creo que tenemos que designar a algunas personas del equipo de trabajo para poder ponernos en contacto y explicarle a todos nuestros clientes, proveedores, bancos, gestorias, etc.... (ya sea por vía telefónica, e-mail, wassap, e incluso  de forma presencial) lo que nos ha ocurrido en la empresa, es decir, que tenemos un malware, y parte de los ordenadores no funcionan, pero que estamos  trabajando lo más rápido y seguro posible sobre el tema.
Pienso que es muy importante ser coherente y sincero con los clientes, y debemos decir la gravedad de lo ocurrido pero a su vez transmitiendo tranquilidad porque en la empresa contamos con un especialista en seguridad y además todos trabajamos haciendo copias de seguridad, tenemos contraseñas, discos externos, ..ya que trabajamos con datos personales muy delicados de direcciones, cuentas bancarias,etc.
Se intentará llegar a un nuevo orden lo más rápido posible y que lo tendremos informados de los pasos a seguir que nos indique nuestro especialista en seguridad.

# data[].attributes.body
¿Implicaciones legales?
Tendremos que ponernos en contacto con un asesor legal y que nos asesore.
Ponernos en contacto con la policía o guardia civil.
La Agencia Española de Protección de datos podrá sancionarnos por no tener los mecanismo de seguridad.

# data[].attributes.body
Daños económicos
:los distintos departamentos no han podido trabajar por lo que la actividad de la empresa esta parada
Daños materiales : los equipos infectados deben ser restablecidos libres del ataque y mientras eso se hace se deben asignar los recursos disponibles para restablecer la actividad normal de la empresa gradualmente

# data[].attributes.body
1. El Delegado de Protección de Datos de la empresa deberá  comunicar a la Agencia Española de Protección de Datos la existencia de una brecha de seguridad.
2. Si la brecha de seguridad implica un riesgo potencial para los titulares de los datos personales afectados, habrá que comunicárselo para que adopte medidas de seguridad adecuadas.
3. Se puede solicitar asistencia técnica del CCN - CERT o Incibe para solucionar el incidente y evitar que pueda repetirse en otras empresas u organismos.
4.

# data[].attributes.body
Antes de nada tenemos que avisar a todos los compañero/as que no están infectados para evitar que se agrave el problema.
Los que ya estamos infectados ya poco podemos hacer. Lo mejor será que no toquemos los equipos y menos utilizar el correo electrónico.
La empresa que se dedica al mantenimiento de los equipos y redes deberá trabajar cuanto antes para tratar de frenar el problema desconectando los ordenadores del servidor.

# data[].attributes.body
Análisis Inicial:
¿Cuántos usuarios y equipos  han sido afectados?
¿La Causa del Problema (Fuente de Infección o Identificación del problema)

Si hay un protocolo,  ejecutar un Plan de Respuesta

Si no hay un protocolo establecido :
a) Desconexión inmediata de la red local e  Internet de equipos no infectados para evitar una propagación masiva
b)Evaluación  por Departamentos
c) Comunicación inmediata del problema
d) Si se detecta el equipo infectado Realizar un análisis completo del sistema para identificar el tipo de malware responsable

# data[].attributes.body
Almudena
Consecuencias en la reputación:
Si tiene consecuencias, los clientes pueden desconfiar de la empresa por robo de datos por lo que afectaria económica y operativamente

# data[].attributes.body
Antes de nada tenemos que avisar a todos los compañeros/as que no están infectados para evitar que se agrave el problema.

Lo mas conveniente  será que no toquemos ninguno de los equipos afectados.

El Servicio que tiene contratado la empresa que se dedique al mantenimiento de los equipos y redes deberá trabajar para tratar de frenar y eliminar el problema del ramsoware, en un principio desconectando los ordenadores del servidor y haciendo busqueda del virus desde equipo en remoto a todos los ordenadores de la empresa, por eso se les pedira a los empleados que dejen encendidos todos los ordenadores, y así testearlos.

1. ¿Qué ha ocurrido? ¿Porqué ha ocurrido?
Posiblemente la persona que ha abierto el email ha tenido un exceso de confianza,  no  analizando los correos entrantes antes de abrirlos. (puede pasarle a cualquiera).

Todo el personal que este a cargo del visionado de los correos electronicos, paginas webs y apps deberia tener una formación específica, sobre el peligro que exista y debe estar muy concienciado del peligro que tiene una red de internet y donde puede entrar cualquier cibernauta.

2. ¿Dónde se ha originado? ¿qué
dispositivos están afectados?

Todo comienza cuando el comercial  al descargar el archivo adjunto al correo y reenvia a los compañeros para que prueben a abrirlo.
En principio se supone que solo está afectado sólo uno de los equipos al descargar el archivo. Pero al final se ve que hay más de un equipo afectado por el ramsomware; por eso se pone en conocimento de la empresa de informatica para su arreglo y reparación.

3. ¿Cuándo o desde cuándo ocurre?
Ocurre desde que un comercial abre un correo y se los reenvia a los demas compañeros para que lo abran por el no poderlo abrir

4. ¿Quién ha podido hacerlo, por qué y cómo (posibles causas)?

Quien crea estas situaciones suelen ser personas con ánimo de lucro, son expertos que entran en los sistemas informáticos a traves de ficheros adjuntos a los correos electronicos enviados a las empresas aprovechando así el despiste y la buena intención de los empleados.

El lucro económico puede ser directo con la empresa o lucro económico con terceros, al que pueden facilitar datos de la empresa útiles (publicidad y ventas de distintos sectores)

5. ¿Cuáles son los daños materiales, personales y económicos? ¿Podemos valorarlos?

Daños materiales :
Los equipos infectados deben ser restablecidos libres del ataque y mientras eso se hace se deben asignar los recursos disponibles para restablecer la actividad normal de la empresa gradualmente.

Daños económicos:
Los distintos departamentos no han podido trabajar por lo que la actividad de la empresa esta parada.

Daños personales:
En principio no hay constancia, que haya habido daños personales.

6. ¿Tendremos que avisar a nuestros clientes o usuarios?

Antes de nada tenemos que avisar a todos los compañeros/as que no están infectados para evitar que se agrave el problema.

Los que esten infectados ya poco podemos hacer. Lo mejor será que no toquemos los equipos y menos utilizar el correo electrónico.

La empresa que se dedique al mantenimiento de los equipos y redes deberá trabajar lo mas rápido posible para cuanto antes tratar de frenar el problema desconectando los ordenadores del servidor.

Una vez que conozcamos con certeza lo que ha ocurrido, y la gravedad que implica para nuestra empresa, nos pondremos en contacto con todos nuestros clientes y también con nuestros proveedores, a través de llamadas de teléfonos, e-mails, cartas,

7. ¿Tiene consecuencias sobre nuestra reputación?

a. El Delegado de Protección de Datos de la empresa deberá  comunicar a la Agencia Española de Protección de Datos la existencia de una brecha de seguridad.

b. Si la brecha de seguridad implica un riesgo potencial para los titulares de los datos personales afectados, habrá que comunicárselo para que adopte medidas de seguridad adecuadas.

c. Si la empresa engargada del mantenimiento y de los equipos informaticos, no pudiera pudiese terminar de arreglar el problema de seguridad en la empresa se podría solicitar la asistencia técnica del CCN - CERT o Incibe para solucionar el incidente y evitar que pueda repetirse en otras empresas u organismos.

8. ¿Implicaciones legales?

Tendremos que ponernos en contacto con un asesor legal para que nos asesorase sobre como puede repecutir a la empresa por este ataque y que afectase a clientes y proveedores.

Ponernos en contacto con la policía o guardia civil.

SOLUCIONES Y CONCLUSIONES:

SOLUCIÓN.
Crear una copia de los discos duros comprometidos para tratar de recuperar los datos, de forma que se dejen los equipos principal intacto por si se dañan los archivos al tratar de desencriptarlos. Así se podrá volver siempre al punto de partida. Además, de esta forma también podría ser usado como prueba en una investigación judicial.  Tras hacer eso, el usuario tendrá que desinfectar la copia mediante un antivirus para que, en caso de que se consigan liberar los documentos, el malware no los vuelva a cifrar. Con esto se elimina el programa malicioso que bloqueó el acceso a los datos, pero no el cifrado en sí. Es decir, el sistema ya estaría limpio pero todos los archivos afectados siguen encriptados.  Para tratar de solventar esto es  recomiendable usar la herramienta Crypto-sheriff, que ayuda a identificar la variante de malware que ha atacado el sistema.
Es el único método efectivo, con soluciones de ciberseguridad para empresas, auditorías continuas de vulnerabilidades, formación de los usuarios en buenas prácticas y, por supuesto, la realización de copias de seguridad de toda la información crítica de la empresa”

CONCLUSION:

La prevención y formación del personal es fundamental

A pesar de todos estos esfuerzos, la complejidad para resolver los ataques de ramsonware a posteriori es tan elevada que en muchas ocasiones no se pueden recuperar los archivos encriptados. la mejor forma de defenderse contra este tipo de malware es la prevención.